Radiant Capital révèle l'autopsie de l'attaque du 16 octobre qui a entraîné le vol de plus de 50 millions de dollars d'actifs numériques

Radiant Capital a divulgué une autopsie de l'attaque du 16 octobre qui a entraîné le vol de plus de 50 millions de dollars d'actifs numériques sur les réseaux BNB Chain et Arbitrum.

DeFi platform Radiant Capital has disclosed a post-mortem for the Oct. 16 attack that saw over $50 million in digital assets stolen from the BNB Chain and Arbitrum networks. According to Radiant, the attacker compromised the devices of three of its long-standing developers.

La plateforme DeFi Radiant Capital a divulgué une autopsie de l'attaque du 16 octobre qui a vu plus de 50 millions de dollars d'actifs numériques volés sur les réseaux BNB Chain et Arbitrum. Selon Radiant, l'attaquant a compromis les appareils de trois de ses développeurs de longue date.

Hackers were able to compromise the devices through a “sophisticated malware injection” used to sign malicious transactions.

Les pirates ont pu compromettre les appareils grâce à une « injection sophistiquée de logiciels malveillants » utilisée pour signer des transactions malveillantes.

“The devices were compromised in such a way that the front-end of Safe{Wallet} (f.k.a. Gnosis Safe) displayed legitimate transaction data while malicious transactions were signed and executed in the background,” the Radiant team explained in a blog post.

"Les appareils ont été compromis de telle manière que le front-end de Safe{Wallet} (anciennement Gnosis Safe) affichait des données de transaction légitimes tandis que des transactions malveillantes étaient signées et exécutées en arrière-plan", a expliqué l'équipe Radiant dans un article de blog.

Radiant Capital is a decentralized finance (DeFi) platform that allows users to earn interest and borrow assets across multiple blockchain networks. It operates like an “omnichain money market,” enabling cross-chain transactions on lending markets in different networks, such as Ethereum, BNB and Arbitrum.

Radiant Capital est une plateforme de finance décentralisée (DeFi) qui permet aux utilisateurs de gagner des intérêts et d'emprunter des actifs sur plusieurs réseaux blockchain. Il fonctionne comme un « marché monétaire omnichain », permettant des transactions inter-chaînes sur les marchés de prêts de différents réseaux, tels que Ethereum, BNB et Arbitrum.

The attack

L'attaque

According to the company, the breach occurred during a routine multisignature emissions adjustment, a process that takes place “periodically to adapt to market conditions and utilization rates.”

Selon l’entreprise, la violation s’est produite lors d’un ajustement de routine des émissions multisignatures, un processus qui a lieu « périodiquement pour s’adapter aux conditions du marché et aux taux d’utilisation ».

Multisignature is the dominant means of securing Web3 protocols. it requires multiple signatures to authorize a transaction.

La multisignature est le moyen dominant de sécuriser les protocoles Web3. il nécessite plusieurs signatures pour autoriser une transaction.

Once the transactions were approved, the compromised devices intercepted these approvals and replaced them with a malicious transaction, which was then forwarded to the hardware wallets for signature. As soon as the Safe Wallet detected an issue, it displayed an error message, prompting the users to attempt the signature again.

Une fois les transactions approuvées, les appareils compromis ont intercepté ces approbations et les ont remplacées par une transaction malveillante, qui a ensuite été transmise aux portefeuilles matériels pour signature. Dès que Safe Wallet détectait un problème, il affichait un message d'erreur, invitant les utilisateurs à tenter à nouveau la signature.

This type of failure can arise from a number of factors, such as gas price fluctuations, nonce mismatch, network congestion, and insufficient gas limit, among others.

Ce type de défaillance peut résulter d'un certain nombre de facteurs, tels que les fluctuations du prix du gaz, les décalages occasionnels, la congestion du réseau et une limite de gaz insuffisante, entre autres.

“As a result, this behavior did not raise immediate suspicion,” said the team. This process ultimately allowed the attackers to gather three valid signatures.

"En conséquence, ce comportement n'a pas immédiatement éveillé des soupçons", a déclaré l'équipe. Ce procédé a finalement permis aux attaquants de rassembler trois signatures valides.

Losses across various attack types in 2024. Source: Hacken

Pertes liées à différents types d’attaques en 2024. Source : Hacken

As per Radiant, the signed transactions still appeared legitimate within the user interface, making the attack difficult to detect. The breach was also undetectable during the manual review of the Gnosis Safe UI and Tenderly simulation stages of the routine transaction.

Selon Radiant, les transactions signées semblaient toujours légitimes dans l'interface utilisateur, ce qui rendait l'attaque difficile à détecter. La violation était également indétectable lors de l’examen manuel des étapes de simulation de l’interface utilisateur Gnosis Safe et de Tenderly de la transaction de routine.

“This has been confirmed by external security teams, including SEAL911 and Hypernative,” noted the post-mortem.

"Cela a été confirmé par des équipes de sécurité externes, notamment SEAL911 et Hypernative", note l'autopsie.

Along with draining assets worth $50 million, the hackers exploited open approvals to withdraw funds from users’ accounts. Other Radiant core developers may also have had their devices compromised. The protocol has requested users to revoke approvals on all chains to mitigate further incidents:

En plus de drainer des actifs d'une valeur de 50 millions de dollars, les pirates ont exploité les approbations ouvertes pour retirer des fonds des comptes des utilisateurs. D'autres développeurs Radiant Core peuvent également avoir vu leurs appareils compromis. Le protocole a demandé aux utilisateurs de révoquer les approbations sur toutes les chaînes pour atténuer d'autres incidents :

According to a report by cybersecurity firm Hacken, access control exploits were responsible for $316 million in lost funds during the third quarter. This accounts for nearly 70% of all crypto funds stolen during the quarter.

Selon un rapport de la société de cybersécurité Hacken, les exploits du contrôle d'accès ont été responsables d'une perte de fonds de 316 millions de dollars au cours du troisième trimestre. Cela représente près de 70 % de tous les fonds cryptographiques volés au cours du trimestre.