Un pool de liquidit\u00e9 de type Balancer V1<\/strong> a perdu environ 234 000 $<\/strong> en raison d’une exploitation d’une erreur d’arrondi<\/em> le 31 ao\u00fbt, selon Slowmist<\/strong>. Ce type de bug avait d\u00e9j\u00e0 permis de siphonner 116 millions de dollars<\/strong> des pools V2 de Balancer en novembre dernier. Bien que Balancer ait d\u00e9j\u00e0 connu un sc\u00e9nario similaire, l’histoire s’est une fois de plus r\u00e9p\u00e9t\u00e9e.<\/p>\n Il y a quelques heures, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 blockchain Slowmist<\/strong> a mis en lumi\u00e8re une nouvelle exploitation visant un pool de type Balancer V1, cette fois pour un montant relativement modeste de 234 000 $<\/strong>. Bien que ce montant soit faible par rapport aux pr\u00e9c\u00e9dents incidents de Balancer, la nature du bug est ind\u00e9niable : il s’agit d’une erreur d’arrondi<\/em> dans le calcul des montants de jetons lors d’un \u00e9change.<\/p>\n Selon l’analyse technique de Slowmist, l’attaquant a cibl\u00e9 la fonction Ce calcul inverse, g\u00e9r\u00e9 par Slowmist a signal\u00e9 que le pool manquait de protections de base qui auraient pu pr\u00e9venir cette exploitation, notamment une entr\u00e9e minimale efficace<\/strong>, un solde de pool minimum<\/strong> et une validation d’erreur relative<\/strong>. La v\u00e9rification Slowmist a \u00e9galement publi\u00e9 le portefeuille de l’attaquant ainsi que l’adresse du contrat d’attaque dans le cadre de son alerte.<\/p>\n<\/blockquote>\n En mars, Balancer Labs, la soci\u00e9t\u00e9 derri\u00e8re le protocole, a annonc\u00e9 qu’elle fermerait en tant qu’entit\u00e9 corporative, citant une exposition l\u00e9gale croissante, cinq mois apr\u00e8s l’exploitation de novembre 2022 qui avait fait chuter la valeur totale verrouill\u00e9e du protocole d’environ 775 millions de dollars<\/strong> \u00e0 environ 300 millions de dollars<\/strong>. Le co-fondateur Fernando Martinelli<\/strong> a d\u00e9clar\u00e9 \u00e0 l’\u00e9poque que le DAO prendrait en charge les op\u00e9rations sous une forme plus l\u00e9g\u00e8re, sp\u00e9cifiquement pour se lib\u00e9rer de \u00ab\u00a0la responsabilit\u00e9 des incidents de s\u00e9curit\u00e9 pass\u00e9s\u00a0\u00bb.<\/p>\n Le portefeuille associ\u00e9 \u00e0 cette premi\u00e8re exploitation est \u00e9galement rest\u00e9 actif, r\u00e9apparaissant cinq mois plus tard pour d\u00e9placer 1 100 ETH<\/strong> via Thorchain. L’exploitation d’aujourd’hui a touch\u00e9 WBTC, une repr\u00e9sentation tokenis\u00e9e de Bitcoin, plut\u00f4t que le jeton de gouvernance de Balancer, rappelant que m\u00eame si le prix du Bitcoin se situe confortablement pr\u00e8s de 78 000 $<\/strong>, les versions envelopp\u00e9es et tokenis\u00e9es de celui-ci, vivant \u00e0 l’int\u00e9rieur des protocoles de finance d\u00e9centralis\u00e9e (DeFi<\/strong>), comportent leur propre ensemble de risques distincts.<\/p>\n La plateforme Metaverse The Sandbox<\/strong> a r\u00e9cemment confirm\u00e9 qu’un pont exploit\u00e9 a permis \u00e0 un attaquant de frapper du SAND<\/strong> non soutenu sur Base et BNB.<\/p>\n","protected":false},"excerpt":{"rendered":" Exploitation d’un pool de liquidit\u00e9 Balancer V1 Un pool de liquidit\u00e9 de type Balancer V1 a perdu environ 234 000 $ en raison d’une exploitation d’une erreur d’arrondi le 31 ao\u00fbt, selon Slowmist. Ce type de bug avait d\u00e9j\u00e0 permis de siphonner 116 millions de dollars des pools V2 de Balancer en novembre dernier. Bien que Balancer ait d\u00e9j\u00e0 connu un sc\u00e9nario similaire, l’histoire s’est une fois de plus r\u00e9p\u00e9t\u00e9e. D\u00e9tails de l’exploitation Il y a quelques heures, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 blockchain Slowmist a mis en lumi\u00e8re une nouvelle exploitation visant un pool de type Balancer V1, cette fois<\/p>\n","protected":false},"author":3,"featured_media":17981,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64],"tags":[9004,10792,788,159,12,65,2732,9759,425],"class_list":["post-17982","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-balancer","tag-balancer-v2","tag-base","tag-bnb","tag-defi","tag-hack","tag-slowmist","tag-the-sandbox","tag-wrapped-bitcoin"],"yoast_description":"Un pool de liquidit\u00e9 Balancer V1 a \u00e9t\u00e9 pirat\u00e9 pour 234 000 $ en raison d'une erreur d'arrondi, faisant \u00e9cho \u00e0 une pr\u00e9c\u00e9dente exploitation de 116 millions de dollars dans les pools V2 de Balancer.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/17982","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/comments?post=17982"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/17982\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media\/17981"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media?parent=17982"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/categories?post=17982"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/tags?post=17982"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}D\u00e9tails de l’exploitation<\/h2>\n
\n
joinswapPoolAmountOut<\/code> du pool, qui permet \u00e0 un utilisateur de sp\u00e9cifier combien de BPT<\/strong> (Balancer Pool Tokens) il souhaite recevoir, tandis que le contrat calcule l’entr\u00e9e requise.<\/p>\n<\/blockquote>\ncalcSingleInGivenPoolOut<\/code>, utilise des math\u00e9matiques \u00e0 virgule fixe \u00e0 18 d\u00e9cimales. En effectuant une s\u00e9rie d’\u00e9changes publics, l’attaquant a r\u00e9duit les r\u00e9serves de WBTC<\/strong> du pool \u00e0 presque rien. Avec des r\u00e9serves quasi nulles, les math\u00e9matiques ont arrondi l’entr\u00e9e requise \u00e0 seulement 1 satoshi<\/strong> de WBTC, une fraction de cent, tandis que le contrat a toujours \u00e9mis le montant total de BPT demand\u00e9 par l’attaquant.<\/p>\nManque de protections<\/h2>\n
MIN_BALANCE<\/code> du contrat n’\u00e9tait appliqu\u00e9e que lors des fonctions de liaison et de re-liaison, et non lors des \u00e9changes ordinaires.<\/p>\n\n
Contexte et cons\u00e9quences<\/h2>\n
Autres incidents r\u00e9cents<\/h2>\n