En échange de la découverte et du colmatage d’une faille dans son principal contrat intelligent, SushiSwap a récompensé HYDN, une société de sécurité blockchain, avec une prime de 200 000 dollars. Bien que cette faille ait permis à un attaquant de retirer 1800 ETH du pool de liquidité ETH/USDT, HYDN a tenté de récupérer les fonds en utilisant une transaction astucieuse. Malheureusement, des robots ont profité de la même faille avant eux. Néanmoins, SushiSwap a réussi à récupérer les fonds restants et les a transférés vers un nouveau contrat.
Une faille dans le menu de SushiSwap : le bug du routeur RouterProcessor2
Pour revenir en arrière, le contrat RouterProcessor2 était un nouveau routeur lancé par SushiSwap le 8 avril dernier pour faciliter les échanges sur sa plateforme DeFi. En général, un routeur DeFi est un contrat intelligent qui permet aux utilisateurs de réaliser des échanges de cryptomonnaies entre différents protocoles ou pools de liquidité, en sélectionnant la meilleure source de liquidité pour une transaction donnée. RouterProcessor2 était conçu pour être utilisé sur toutes les versions des pools AMM de SushiSwap (v2, Trident, v3) et pour l’agrégation sur d’autres protocoles tels que Uni, Pancake, etc. Il a été déployé sur 14 réseaux différents, y compris Ethereum, Polygon et la Binance Smart Chain. Cependant, le contrat contenait une vulnérabilité qui n’a pas été identifiée lors de son lancement, ce qui a permis à un pirate informatique connu sous le pseudonyme de 0xSifu sur Twitter, de détourner 1800 ETH.
SushiSwap n’a pas baissé les baguettes et a fait appel à des hackers blancs
Pour minimiser les pertes, SushiSwap a sollicité l’assistance de la startup de sécurité blockchain HYDN, qui a suggéré une technique de « sauvetage blanc ». Cette méthode consiste à devancer les transactions malveillantes et à transférer les fonds vulnérables avant qu’ils ne soient dérobés. Dans le cas de SushiSwap, HYDN a tenté de sauver les fonds en exécutant une transaction qui appelait une fonction du contrat intelligent pour retirer les liquidités du pool. Cependant, un autre hacker bien intentionné a eu la même idée et a envoyé une transaction similaire avec un prix du gaz plus élevé pour être traitée plus rapidement. Malheureusement, des bots MEV ont repéré cette transaction dans le mempool et ont répliqué cette action en envoyant des transactions avec des prix du gaz encore plus élevés pour être incluses avant elle ! Par conséquent, les bots MEV ont réussi à s’emparer d’une partie des fonds qui auraient pu être sauvés par le hacker bien intentionné…
Après avoir empêché un festin des hackers, HYDN va rendre les fonds
Après avoir mis en place un sauvetage blanc, SushiSwap a réussi à récupérer plus de 600 000 dollars en crypto-monnaies, principalement en ETH. En outre, d’autres fonds en ETH avaient déjà été récupérés directement après l’attaque. Au total, SushiSwap a pu récupérer 885 ETH, soit une valeur de 1,76 million de dollars, et conserve 795 ETH, soit une valeur de 1,58 million de dollars, dans un coffre-fort de récompenses pour le moment.
Les fonds sécurisés sont toujours sous la garde de HYDN et seront restitués aux utilisateurs concernés une fois que SushiSwap aura terminé son audit pour le contrat de réclamation Merkle.
Par ailleurs, SushiSwap a prévu de verser 200 000 dollars à HYDN pour son intervention de sauvetage et son contrat « cross-chain watcher » ingénieux destiné à protéger la plateforme contre d’autres attaques. Cette entreprise est très renommée dans ce domaine, notamment grâce à son fondateur, Warren Mercer, qui est un expert en cybersécurité et en blockchain ayant travaillé pour des entreprises telles que NYSE, Cisco et Alert Logic.
