Qu’est-ce qu’une attaque de prêt flash ?
Les attaques de prêts flash sont des exploits de la finance décentralisée (DeFi) dans lesquels un contrat intelligent désigné pour prendre en charge la fourniture de prêts flash est attaqué afin de siphonner les actifs stockés dans un pool particulier. Dans de telles attaques, l’acteur malveillant ouvre un prêt, utilise ce capital emprunté pour acheter d’autres actifs avec arbitrage et rembourse rapidement son prêt, prenant les actifs qui lui restent tout au long du processus comme profit.
Il est important de comprendre que cette exposition ne peut se produire qu’au sein des protocoles DeFi, car ils sont sans autorisation et entièrement gérés par des contrats intelligents. Bien que la désintermédiation offre de nombreux avantages tels que des économies de coûts et une résistance à la censure, l’absence de tiers supervisant l’octroi de prêts non garantis fournis par le biais de contrats de prêt flash rend les plateformes DeFi vulnérables à de telles attaques.
Ce type d’activité malveillante est en réalité complexe et difficile à mettre en œuvre, mais il existe de nombreux cas où les cybercriminels ont réussi dans cette entreprise.
La plupart des attaques de prêts flash impliquent l'utilisation de capitaux empruntés pour arbitrer des actifs provenant d'autres protocoles DeFi. Par exemple, lors de l’une des attaques du protocole bZx, le pirate informatique a contracté un emprunt sur un contrat et l’a immédiatement converti en pièces stables. Mais comme les contrats intelligents fonctionnent uniquement sur la base des données qui leur sont fournies, ils peuvent être vulnérables à certains exploits. L'attaquant en a profité en manipulant le prix du stablecoin, sUSD, en plaçant un ordre d'achat important sur celui-ci, ce qui a contribué à faire monter le prix du stablecoin à deux fois la valeur qu'il était censé être. À partir de là, il a contracté un prêt plus important en utilisant le sUSD qu’il a échangé comme garantie. Ensuite, il a remboursé tous ces prêts et a emporté avec lui les actifs restants à titre de profit.
Une autre attaque de prêt flash bien connue s’est produite plus tôt, sur la même plateforme. L'attaquant du prêt flash a contracté un prêt flash sur dYdx, qui est un DApp de prêt, et a envoyé le capital de ce prêt flash à la fois à Compound et à Fulcrum. Sur Fulcrum, l'attaquant a vendu l'ETH contre Wrapped Bitcoin (WBTC), tout en retirant également un prêt composé de WBTC. Sans trop entrer dans les détails, lorsque le prix du WTBC a augmenté en raison des effets de l'acquisition du WBTC par Fulcrum, l'attaquant du prêt flash a retourné son WBTC sur Uniswap, a remboursé le sien et s'est enfui avec l'ETH restant.
En mai 2021, le populaire agrégateur agricole de rendement basé sur Binance Smart Chain, PancakeBunny, a également subi une attaque de prêt flash. L'attaquant du prêt flash a emprunté une grande quantité de BNB sur PancakeBunny, manipulant ainsi son prix par rapport au stablecoin Binance USD et aux jetons Bunny – lorsque le pirate du prêt flash a jeté son Bunny sur le marché, le prix a chuté.
