Le token CCC sur BSC a subi un exploit qui a entraîné une perte estimée à 117 000 $ après qu'un attaquant a manipulé la fonction sell() du contrat du token et a brûlé les tokens détenus dans son pool de liquidité.

Selon la société de sécurité blockchain TenArmorAlert, son système de surveillance a détecté une activité suspecte impliquant CCC sur BSC le 28 août et a retracé l'incident jusqu'à la fonction sell() du contrat du token. La société a déclaré que la fonction a été utilisée pour brûler des tokens CCC directement à partir de la paire de fournisseurs de liquidité, ce qui a été suivi d'un mouvement anormal du prix du token.

TenArmorAlert a estimé les pertes de l'attaque à environ 117 000 $. La société a identifié une transaction d'attaque commençant par "0x89d805064" dans son alerte de sécurité, mais n'a pas fourni de ventilation complète des actifs retirés ou des gains finaux de l'attaquant.

Les informations disponibles n'indiquent pas comment l'attaquant a obtenu la capacité de déclencher la fonction affectée, si les contrôles d'accès ont été contournés, ou si une autre interaction contractuelle était nécessaire avant que les tokens ne puissent être brûlés.

L'exploit de CCC a ciblé les tokens à l'intérieur du pool de liquidité

L'attaque signalée était centrée sur les tokens CCC détenus par la paire LP plutôt que sur un retrait direct d'actifs du pool.

TenArmorAlert a déclaré que la fonction sell() du contrat a brûlé des CCC de la paire LP. Le retrait de tokens d'une paire de trading de cette manière peut altérer les soldes de tokens utilisés par le pool, bien que la société de sécurité n'ait pas encore publié une analyse technique détaillée expliquant la séquence complète des transactions dans l'incident CCC.

La société a spécifiquement lié l'activité à un mouvement de prix anormal du CCC après le burn. Des rapports indépendants publiés après l'alerte ont fait état de la même perte estimée à 117 000 $ et de la même explication de la fonction sell().

Aucune information disponible au moment de la rédaction n'indiquait si l'équipe CCC avait mis en pause le contrat affecté, modifié ses permissions, récupéré des fonds ou annoncé une compensation pour les fournisseurs de liquidité affectés.

Les détails concernant le token CCC lui-même restent limités dans l'alerte de sécurité. TenArmorAlert a identifié le réseau affecté comme BSC, communément appelé BNB Smart Chain, mais son message initial n'a pas nommé l'échange décentralisé hébergeant la paire LP.

Les mécanismes décrits par TenArmorAlert présentent des similitudes avec des exploits de tokens précédents où des fonctions de contrat ont été manipulées pour modifier les soldes des tokens détenus par les pools de liquidité.

BNB Chain a connu d'autres exploits de contrats ces derniers mois

L'incident CCC fait suite à plusieurs attaques impliquant des contrats de tokens et des infrastructures de liquidité sur BNB Chain cette année.

En juillet, crypto.news avait précédemment signalé que Swan Treasury avait perdu 625 000 $ après que des attaquants aient obtenu une clé de signataire hors chaîne utilisée par son contrat ZhaiquanBuy. La clé compromise a permis aux attaquants de générer des signatures valides et d'acheter des tokens STY à un prix très réduit avant de les vendre via un pool de liquidité STY-USDT.

La société de sécurité blockchain Defimon Alerts a découvert que l'incident de Swan Treasury impliquait la fonction buy() du contrat. La fonction calculait le montant de STY distribué en fonction d'une valeur de réduction signée, et le signataire compromis a permis à l'attaquant de générer des signatures définissant ce paramètre à un. L'attaquant pouvait alors obtenir des STY pour environ un centième de leur prix prévu.

Un autre token basé sur BNB Chain a subi une forte chute de prix en juillet après un exploit distinct. Balance Coin a chuté de plus de 99% après que des sociétés de sécurité aient lié deux transactions suspectes à une attaque estimée à 915 000 $ impliquant 42DAO.

TenArmor a rapporté dans ce cas qu'une transaction a minté environ 4,5 millions de tokens BLC non garantis avant qu'ils ne soient déplacés vers PancakeSwap V2. L'attaquant aurait échangé les tokens contre des USDT et BTCB liés à Binance, tandis que le BLC a chuté de près de son peg de 1 $ prévu à un plus bas historique de 0,001209 $.

Les attaques de pools de liquidité ont utilisé différentes faiblesses contractuelles

D'autres attaques cette année ont atteint les pools de liquidité via différentes faiblesses au niveau des contrats.

En juin, Token of Power a subi un exploit de 1,58 million de dollars impliquant son pool TOP/WETH Balancer V1. Blockaid a décrit l'incident comme une attaque de prise de contrôle de gouvernance, tandis que Cyvers a retracé la perte au pool Balancer affecté.

L'attaquant a vidé 944,2 WETH du pool, le laissant fortement dilué en tokens TOP. PeckShield a ensuite suivi 945,1 ETH envoyés à Tornado Cash. Les entreprises de sécurité n'avaient pas publié de rapport technique complet sur cette attaque au moment du rapport de juin.

Une attaque de mai sur DxSale a impliqué une autre forme de manipulation de contrat sur BNB Chain. Un attaquant aurait utilisé une porte dérobée de contrat cachée pour retirer des BNB bloqués par plus de 1 400 fournisseurs de liquidité, avec des pertes estimées à 7,3 millions de dollars. PeckShield a ensuite suivi environ 1,87 million de dollars en BNB se déplaçant d'une adresse contrôlée par l'attaquant vers deux portefeuilles principaux avant que les actifs ne soient distribués à plusieurs adresses de dépôt Binance.

Un incident plus ancien sur BNB Chain offre une comparaison technique plus proche du mécanisme décrit dans l'alerte CCC. SafeMoon a perdu environ 8,9 millions de dollars en mars 2023 après qu'un attaquant ait exploité une fonction de burn publique qui permettait de brûler des tokens appartenant à d'autres adresses. La vulnérabilité avait été introduite par une mise à niveau du projet et a été utilisée contre le pool de liquidité du protocole.

TenArmorAlert n'a pas précisé si la fonction sell() de CCC contenait une faille de permission comparable ou si l'attaque nécessitait une séquence différente d'appels de contrat. Son alerte du 28 août a seulement identifié la fonction, le burn de tokens CCC de la paire LP, le comportement de prix anormal qui en a résulté et la perte estimée à 117 000 $.

Au moment de l'alerte, aucun post-mortem détaillé, plan de récupération ou information supplémentaire sur l'attaquant n'avait été divulgué.