Un hacker a vidé environ 86 000 dollars du pool de vesting partagé des tokens d’UNCX Network sur Ethereum mercredi, s’appropriant des tokens que d’autres projets avaient verrouillés. La société de sécurité Blockaid a indiqué que l’attaque était toujours en cours.
UNCX, anciennement UniCrypt, propose aux projets crypto un moyen de verrouiller leurs propres tokens afin que les initiés ne puissent pas vendre prématurément. Ses contrats détiennent environ 179,7 millions de dollars à travers plusieurs blockchains, dont 111,4 millions sur Ethereum.
Comment l’attaquant a-t-il pu retirer des tokens appartenant à d’autres ?
Blockaid a indiqué que la perte provenait d’une seule transaction de drainage. Les tokens verrouillés de nombreux projets sont conservés ensemble dans le même pool.
L’attaquant a d’abord ouvert plusieurs positions de vesting dans ce pool. Une position de vesting est un emplacement où sont stockés des tokens et qui les libère selon un calendrier prédéfini.
Ensuite, l’attaquant a débloqué une grande position et a ajouté des tokens supplémentaires dans le pool. Il a ensuite annulé une position qui avait été approvisionnée.
Cette initiative a laissé derrière elle une très petite position résiduelle. Selon Blockaid, cette petite tranche pouvait alors retirer des tokens appartenant à d’autres utilisateurs.
Le guide d’UNCX décrit lui-même les tokens en vesting comme étant verrouillés dans un contrat audité pendant une durée définie.
« ne peuvent pas être envoyés, vendus, ajoutés à la liquidité ou stakés », peut-on lire dans le guide .
Blockaid a identifié deux wallets des hackers. Etherscan montrait qu’un d’eux contenait environ 5 874 dollars répartis sur huit transactions.
Pourquoi une perte de 86 000 dollars reste significative pour les petits projets
UNCX n’avait pas publié de déclaration publique concernant le hack d’UNCX au moment de la publication.
Le token natif de la plateforme a à peine réagi. UNCX Network (UNCX) s’échangeait à 24,80 dollars, en hausse de 0,16 % sur 24 heures selon les données de BeInCrypto. Sa capitalisation totale avoisine les 905 000 dollars.
De petites pertes peuvent malgré tout entraîner la chute d’un projet. L’exchange décentralisé Full Sail a cessé son activité après un hack ayant coûté environ 91 000 dollars en août.
Du code de contrats plus anciens a également fait les frais de tels incidents. Notional Finance a perdu 1,73 million de dollars à cause d’un bug de dépassement d’entier sur des contrats legacy en septembre.
Les lockers de tokens existent pour permettre aux acheteurs de vérifier que les initiés ne peuvent pas déverser l’offre. Les questions ouvertes sont désormais de savoir quels projets ont perdu des tokens et si UNCX peut stopper le pool avant de nouveaux retraits.
