Le token Truebit s'effondre de 99,9 % après qu'un hacker ait vidé 26,6 millions de dollars en ether

Le token TRU de Truebit s’est effondré de près de 100 % jeudi après qu’une faille a vidé environ 8 535 ether, soit environ 26,6 millions de dollars, des réserves du protocole, selon les données on-chain et des chercheurs indépendants.

Truebit, un projet de vérification et de calcul basé sur Ethereum, a déclaré être « conscient d’un incident de sécurité impliquant un ou plusieurs acteurs malveillants », ajoutant qu’il est en contact avec les forces de l’ordre et qu’il prend des mesures pour résoudre la situation.

Les analystes blockchain de Lookonchain ont estimé le vol à 8 535 ETH. Le chercheur Weilin Li a attribué l’attaque à une faille dans un ancien smart contract déployé il y a environ cinq ans, où une fonction de mint pouvait renvoyer un prix d’achat de zéro pour un achat de token exceptionnellement élevé.

Cela a permis à l’attaquant d’acheter à plusieurs reprises du TRU pratiquement sans frais, puis de le revendre immédiatement à la réserve de la courbe de bonding pour retirer de l’ether.

Le chercheur indépendant on-chain « n0b0dy » a décrit le processus comme une série de boucles d’achats et de ventes exploitant une mauvaise tarification à mesure que le solde de la réserve changeait, vidant progressivement le pool. Le portefeuille impliqué aurait versé un petit pot-de-vin à un builder pour prioriser les transactions.

L’exploit a provoqué l’effondrement quasi total du TRU, le token chutant jusqu’à 99,9 % alors que la liquidité s’évaporait et que les détenteurs se précipitaient vers la sortie.

Cet incident rappelle une fois de plus que les anciens contrats peuvent rester une surface d’attaque longtemps après être tombés dans l’oubli.

Même si le code actuel d’un protocole est mis à jour, les déploiements hérités et les logiques de tarification oubliées peuvent toujours être ciblés s’ils détiennent de la valeur ou sont connectés à des réserves.

Truebit n’a pas encore publié d’analyse complète post-mortem ni confirmé si les contrats affectés ont été mis en pause.