Analyse technique du vol d'environ 11,3 millions de dollars sur UXLINK
L'attaquant a mené une série d'opérations, notamment en appelant la fonction execTransaction du contrat Gnosis Safe Proxy et le contrat MultiSend, afin de retirer progressivement les autres propriétaires, de finalement prendre le contrôle du contrat et de procéder à une émission malveillante de tokens UXLINK.
Titre original : « Analyse technique du vol d’environ 11,3 millions de dollars chez UXLINK »
Source originale : ExVul Security
Description de l’événement
Le 23 septembre, la clé privée du portefeuille multi-signatures du projet UXLINK a été compromise, entraînant le vol d’actifs en cryptomonnaies d’une valeur d’environ 11,3 millions de dollars, qui ont ensuite été dispersés vers plusieurs plateformes d’échange centralisées (CEX) et décentralisées (DEX). Dès la première minute de l’attaque, nous avons mené une enquête conjointe avec UXLINK pour analyser l’incident et surveiller les flux de fonds. UXLINK a contacté en urgence les principales plateformes d’échange pour demander le gel des fonds suspects, a signalé l’incident à la police et aux institutions compétentes afin d’obtenir un soutien juridique et de récupérer les actifs. La majorité des fonds volés par le hacker ont été marqués et gelés par les plateformes d’échange, réduisant ainsi au maximum les risques supplémentaires pour la communauté. L’équipe du projet s’est engagée à maintenir la transparence envers la communauté, et ExVul continuera à suivre et analyser l’évolution de l’incident.
（）
Dernières évolutions
Pendant le transfert des fonds du hacker, les actifs transférés vers les plateformes d’échange ont été gelés. Selon un premier suivi on-chain, il a été découvert que le hacker ayant précédemment volé les actifs UXLINK aurait été victime d’une attaque de phishing par Inferno
Drainer. Après vérification, environ 542 millions de tokens $UXLINK obtenus illégalement ont été dérobés via une méthode dite d’« autorisation de phishing ».
Analyse de l’attaque
1. Le contrat avait précédemment un problème d’opération malveillante ou de fuite de clé privée du propriétaire multi-signatures, ce qui a permis d’ajouter une adresse malveillante comme membre multi-signatures, et de réinitialiser le seuil de signature (threshold) du contrat à 1, c’est-à-dire qu’une seule signature suffisait pour exécuter des opérations sur le contrat. Le hacker a défini une nouvelle adresse Owner : 0x2EF43c1D0c88C071d242B6c2D0430e1751607B87.
()
2. L’attaquant a d’abord appelé la fonction execTransaction du contrat Gnosis Safe Proxy. Cette fonction a servi de point d’entrée pour retirer de façon malveillante des membres multi-signatures, toutes les opérations malveillantes ultérieures ayant été exécutées dans le cadre de cette transaction.
()
3. Lors de l’appel à execTransaction, l’attaquant a spécifié dans le paramètre data une opération malveillante : appeler par delegatecall le contrat d’implémentation Safe: Multi Send Call
Only 1.3.0.
()
4. Dans la fonction multiSend de Safe: Multi Send Call Only 1.3.0, le flux d’exécution revient à la fonction removeOwner du contrat Gnosis Safe Proxy. Concrètement, l’attaquant a d’abord appelé, via delegatecall sur le contrat proxy, le contrat d’implémentation MultiSend, l’exécutant dans le contexte du proxy ; ensuite, multiSend, selon les paramètres construits par l’attaquant, rappelle le contrat Gnosis Safe Proxy via call et déclenche la fonction removeOwner, supprimant ainsi les adresses Owner existantes.
()
5. La clé du succès de cet appel réside dans la condition msg.sender== address(this). Dans la fonction removeOwner, pour empêcher les appels externes directs, le contrat a mis en place une vérification authorized, qui exige généralement que l’appelant soit le contrat lui-même (msg.sender == address(this)). Ainsi, seule une exécution interne du contrat peut réussir à appeler removeOwner.
6. Le hacker a ensuite supprimé un à un les autres Owner du multi-signatures selon la méthode ci-dessus, compromettant le mécanisme multi-signatures et prenant finalement le contrôle du contrat.
7. À ce stade, l’attaquant, en répétant les étapes ci-dessus, a rendu le mécanisme de sécurité multi-signatures totalement inefficace. Désormais, la signature d’un seul Owner malveillant suffisait pour valider les opérations multi-signatures, permettant ainsi un contrôle total du contrat.
()
Résumé
En raison d’opérations malveillantes ou de la fuite de la clé privée d’un Owner multi-signatures, l’attaquant a ajouté une adresse malveillante comme membre multi-signatures et a fixé le seuil de signature (threshold) du Gnosis Safe Proxy à 1, rendant ainsi le mécanisme de sécurité multi-signatures totalement inefficace. Par la suite, un seul Owner malveillant pouvait valider les opérations multi-signatures. L’attaquant a ensuite supprimé progressivement les autres Owner du contrat, prenant ainsi le contrôle total du contrat et transférant les actifs, tout en forgeant de manière malveillante des tokens $UXLINK on-chain.
Cet incident met en lumière le rôle clé de la gestion multi-signatures dans la sécurité blockchain. Bien que le projet ait adopté le mécanisme multi-signatures Safe et configuré plusieurs comptes multi-signatures, des défauts dans la gestion ont rendu le dispositif inefficace. L’équipe ExVul recommande aux équipes de projet de privilégier la décentralisation dans la gestion des multi-signatures, par exemple en confiant la garde des clés privées à différents membres et en diversifiant les méthodes de stockage des clés, afin de garantir l’efficacité réelle du mécanisme multi-signatures en matière de sécurité.
Annexe
Voici les adresses suspectes de hackers identifiées on-chain par l’équipe ExVul :
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Rapport financier de Nvidia, IPO trillionnaire d'Anthropic : les tests majeurs du trading AI arrivent la semaine prochaine
Les répercussions de la démission de Jensen Huang ne se sont pas encore dissipées. La semaine prochaine, le secteur de l'IA devra relever un double défi majeur : le premier rapport financier de Nvidia après l'ère Huang et, si les résultats sont inférieurs aux attentes, la punition du marché pourrait être amplifiée ; Anthropic se prépare quant à elle à une introduction en bourse retentissante avec une valorisation de plusieurs billions. Ces deux suspenses successifs détermineront directement si la confiance mondiale du capital envers l'IA peut perdurer.
Perspectives de Goldman Sachs sur les marchés mondiaux : Les dépenses d’investissement en IA atteindront un sommet l’an prochain, forte décélération de la croissance des bénéfices, les géants du cloud deviennent des “actifs défensifs”
La stratégie boursière mondiale de Goldman Sachs pour 2027 indique que la vague de dépenses d'investissement liée à l'IA approche de son apogée, entraînant un ralentissement significatif de la croissance des bénéfices à l'échelle mondiale. La croissance des bénéfices du S&P 500 devrait passer de 36 % à 11 %, avec des pressions de dépréciation qui commencent à apparaître progressivement. Toutefois, la valorisation des géants du cloud a déjà été ajustée à un ratio cours/bénéfices attendu de 19,7, inférieur à celui du secteur des biens de consommation essentiels, ce qui leur confère un statut d'actifs « relativement défensifs ». Goldman Sachs prévoit un objectif de 8 700 points pour le S&P 500 et recommande une surpondération des marchés américain et japonais, tout en sous-pondérant l'Europe.
Avec 135 milliards de dollars en actions Nvidia, Jensen Huang va-t-il vendre pour encaisser ?
Après la démission de Jensen Huang, ses 812 millions d'actions Nvidia, d'une valeur de 135 milliards de dollars, deviennent un « poids important » pour le cours de l'action. La possibilité de vendre ces actions est soumise à des restrictions légales et de marché : il doit attendre la divulgation d'informations négatives non publiques avant de pouvoir les vendre conformément à la réglementation, et leur volume représente l'équivalent du volume d'échanges sur le marché pendant six jours. La liquidation à grande échelle devra donc s'étaler sur plusieurs mois.
Y aura-t-il encore le traditionnel rallye de Noël sur le marché américain cette année ?
Après une reprise technique et au niveau des positions sur le marché américain, Goldman Sachs, Morgan Stanley et JPMorgan ont successivement émis des signaux de rebond de fin d’année. Le désengagement extrême des positions, le retour à la moyenne des valorisations et le soutien saisonnier constituent ensemble les conditions d’un short squeeze. Cependant, l’inflation annuelle des prix à l’importation pour le secteur manufacturier mondial atteint environ 24 %, dépassant ainsi le pic de la pandémie, et l’addition liée à l’inflation arrivera à échéance au premier trimestre de l’année prochaine. Goldman Sachs met en garde : si l’euphorie de fin d’année se concrétise, elle risque d’épuiser les marges de progression pour l’avenir.
Prix des cryptos
Plus
