Tapioca DAO subit un exploit massif entraînant une baisse de 95 % du prix du jeton TAP

Le Tapioca DAO a subi un exploit massif entraînant une baisse de plus de 95 % du prix du jeton TAP. Environ 4,5 millions de dollars de crypto-monnaies ont été volés

The Tapioca DAO suffered a huge exploit, leading to a more than 95% drop in the TAP token price. Around $4.5 million in cryptocurrencies were stolen, although the team says it is recovering funds with help from web3 security firm Fuzzland and others.

Le Tapioca DAO a subi un énorme exploit, entraînant une baisse de plus de 95 % du prix du jeton TAP. Environ 4,5 millions de dollars en crypto-monnaies ont été volés, bien que l'équipe affirme avoir récupéré les fonds avec l'aide de la société de sécurité web3 Fuzzland et d'autres.

"All current Tapioca DAO Platform users are advised to revoke approvals to our Contracts until the recent Compromise has been resolved,” the Tapioca Foundation said on X. “Please reach out to website support upon any issues revoking approvals."

"Il est conseillé à tous les utilisateurs actuels de la plate-forme Tapioca DAO de révoquer les approbations de nos contrats jusqu'à ce que le récent compromis soit résolu", a déclaré la Fondation Tapioca sur X. "Veuillez contacter l'assistance du site Web en cas de problème de révocation des approbations."

According to the foundation, the attacker was able to compromise the token’s vesting contract, giving him access to sell its 30 million vested TAP tokens — at the time worth around $1.40, now less than $0.04 — as well as the USDO stablecoin contract.

Selon la fondation, l'attaquant a pu compromettre le contrat d'acquisition du jeton, lui donnant ainsi accès à la vente de ses 30 millions de jetons TAP acquis – d'une valeur d'environ 1,40 $ à l'époque, maintenant moins de 0,04 $ – ainsi que du contrat stablecoin de l'USDO.

In total, the attacker walked away with about $4,405,600, including $2.8 million USDC and $​​1,575,606 in ETH drained from the USDO/USDC liquidity pair. The stolen funds were swapped for ETH, then USDT, and then bridged from Arbitrum to BNB Chain, where they remained at press time.

Au total, l'attaquant est reparti avec environ 4 405 600 $, dont 2,8 millions de dollars USDC et 1 575 606 $ en ETH drainés de la paire de liquidités USDO/USDC. Les fonds volés ont été échangés contre de l'ETH, puis de l'USDT, puis transférés d'Arbitrum vers BNB Chain, où ils sont restés au moment de la publication.

Tapioca is a decentralized money market protocol built on LayerZero for borrowing cryptocurrencies across multiple blockchains. It uses a stablecoin called USDO and Tapioca Omnichain Fungible Tokens (TOFTs) to allow users to move wrapped assets between networks.

Tapioca est un protocole de marché monétaire décentralisé construit sur LayerZero pour emprunter des crypto-monnaies sur plusieurs blockchains. Il utilise un stablecoin appelé USDO et Tapioca Omnichain Fungible Tokens (TOFT) pour permettre aux utilisateurs de déplacer des actifs enveloppés entre les réseaux.

According to Fuzzland, it seems likely the attacker obtained the private keys through social engineering. On Discord, Tapioca co-founder Matt Marino said Discord member 0xRektora was contacted about a friend being hired, which tricked him into lowering his guard enough to connect the hardware wallet that the attacker used to gain ownership of TAP.

Selon Fuzzland, il semble probable que l'attaquant ait obtenu les clés privées grâce à l'ingénierie sociale. Sur Discord, le co-fondateur de Tapioca, Matt Marino, a déclaré que le membre de Discord 0xRektora avait été contacté au sujet de l'embauche d'un ami, ce qui l'avait incité à baisser suffisamment sa garde pour connecter le portefeuille matériel que l'attaquant avait utilisé pour devenir propriétaire de TAP.

“North Korea is always the garbage collector here,” Fuzzland said, adding that the connection to the Hermit Kingdom has not yet been proven and that the situation is “complicated.”

"La Corée du Nord est toujours l'éboueur ici", a déclaré Fuzzland, ajoutant que le lien avec le Royaume ermite n'a pas encore été prouvé et que la situation est "compliquée".

Those attacks “were the result of fake job scams” where North Korean actors posed as interview subjects or vendors to gain inside access or information needed to steal funds, ZachXBT said. There have been a slew of anecdotes and a recent CoinDesk investigation suggesting this type of “contagious interview” scam is a widespread and growing issue across crypto.

Ces attaques « étaient le résultat de fausses escroqueries à l’emploi » dans lesquelles des acteurs nord-coréens se faisaient passer pour des sujets d’entretien ou des vendeurs pour obtenir un accès interne ou des informations nécessaires au vol de fonds, a déclaré ZachXBT. Il y a eu de nombreuses anecdotes et une enquête récente de CoinDesk suggérant que ce type d'arnaque aux « entretiens contagieux » est un problème répandu et croissant dans le domaine de la cryptographie.

Recovering funds?

Récupérer des fonds ?

“We have coordinated and are active in a war room with the necessary individuals and entities to proceed forward, and will be communicating on further steps when the situation is under control,” the foundation wrote.

"Nous avons coordonné et sommes actifs dans une salle de crise avec les individus et entités nécessaires pour aller de l'avant, et communiquerons sur les prochaines étapes lorsque la situation sera sous contrôle", a écrit la fondation.

Tony, a security engineer at Fuzzland and member of the volunteer emergency response team SEAL911, was one of the members in the war room, which worked to help them recover a portion of the funds that the hacker didn't notice, he told The Block.

Tony, ingénieur en sécurité chez Fuzzland et membre de l'équipe volontaire d'intervention d'urgence SEAL911, était l'un des membres de la salle de guerre, qui a travaillé pour les aider à récupérer une partie des fonds que le pirate informatique n'avait pas remarqué, a-t-il déclaré à The Block. .

According to Marino on Discord, the organization moved 1,000 ETH — worth about $2.7 million — from a vault to a secure location — the DAO multisig. "The 1000 ETH was DAO collateral within Big Bang Origins to mint USDO for USDO/USDC LP," he added.

Selon Marino sur Discord, l'organisation a déplacé 1 000 ETH – d'une valeur d'environ 2,7 millions de dollars – d'un coffre-fort vers un emplacement sécurisé – le multisig DAO. "Les 1 000 ETH étaient une garantie DAO au sein de Big Bang Origins pour créer de l'USDO pour USDO/USDC LP", a-t-il ajouté.

"The team attempted to rescue these assets by first approving the Multicall, which anyone can take away these assets. Luckily, no one found out and they managed to still rescue these assets," Fuzzland co-founder Chaofan Shou told The Block.

"L'équipe a tenté de sauver ces actifs en approuvant d'abord le Multicall, grâce auquel n'importe qui peut retirer ces actifs. Heureusement, personne ne l'a découvert et ils ont quand même réussi à sauver ces actifs", a déclaré Chaofan Shou, co-fondateur de Fuzzland, à The Block.

However, the response team has not yet been able to fully recover any of the stolen assets. The DAO’s treasury currently stands at $4.2 million, Marino said.

Cependant, l’équipe d’intervention n’a pas encore été en mesure de récupérer entièrement les avoirs volés. La trésorerie du DAO s'élève actuellement à 4,2 millions de dollars, a déclaré Marino.