Tapioca DAO empêche le vol de 1 000 ETH d'une valeur de 2,7 millions de dollars après une exploitation qui vide la majorité de ses fonds

Le Tapioca DAO a subi une exploitation massive entraînant une baisse de plus de 95 % du prix du jeton TAP. Environ 4,5 millions de dollars de cryptomonnaies ont été volés, bien que l'équipe affirme être en train de récupérer les fonds avec l'aide de la société de sécurité web3 Fuzzland et d'autres.

"Tous les utilisateurs actuels de la plateforme Tapioca DAO sont invités à révoquer les approbations de nos contrats jusqu'à ce que le récent compromis soit résolu", a déclaré la Fondation Tapioca sur X. "Veuillez contacter le support du site web en cas de problème pour révoquer les approbations."

Selon la fondation, l'attaquant a pu compromettre le contrat de vesting du jeton, lui donnant accès à la vente de ses 30 millions de jetons TAP en vesting — valant à l'époque environ 1,40 $, maintenant valant moins de 0,04 $ — ainsi que le contrat du stablecoin USDO.

Au total, l'attaquant est reparti avec environ 4 405 600 $, dont 2,8 millions de USDC et 1 575 606 $ en ETH drainés de la paire de liquidité USDO/USDC. Les fonds volés ont été échangés contre de l'ETH, puis de l'USDT, et ensuite transférés d'Arbitrum à la BNB Chain où, au moment de la presse, ils restent.

Tapioca est un protocole de marché monétaire décentralisé basé sur LayerZero pour emprunter des cryptomonnaies à travers plusieurs blockchains. Il utilise un stablecoin appelé USDO et des jetons fongibles omnichaînes Tapioca (TOFTs) pour permettre aux utilisateurs de déplacer des actifs enveloppés entre les réseaux.

Selon Fuzzland, il semble probable que l'attaquant ait obtenu les clés privées par ingénierie sociale. Sur Discord, le co-fondateur de Tapioca, Matt Marino, a déclaré que le membre de Discord 0xRektora a été contacté au sujet de l'embauche d'un ami, ce qui l'a trompé en abaissant sa garde suffisamment pour connecter le portefeuille matériel que l'attaquant a utilisé pour prendre possession de TAP.

"La Corée du Nord est toujours le ramasseur d'ordures ici", a déclaré Fuzzland, faisant écho à ZachXBT que la connexion avec le Royaume ermite n'a pas encore été prouvée et que la situation est "compliquée".

Ces attaques "étaient le résultat de fausses escroqueries d'emploi" où des acteurs nord-coréens se faisaient passer pour des sujets d'entretien ou des vendeurs pour obtenir un accès ou des informations nécessaires pour voler des fonds, a déclaré ZachXBT. Il y a eu une série d'anecdotes et une récente enquête de CoinDesk suggérant que ce type d'escroquerie d'entretien "contagieuse" est un problème répandu et croissant dans la crypto.

Récupération des fonds ?

"Nous avons coordonné et sommes actifs dans une salle de guerre avec les individus et entités nécessaires pour aller de l'avant, et nous communiquerons sur les prochaines étapes lorsque la situation sera sous contrôle", a écrit la fondation.

Tony, un ingénieur en sécurité chez Fuzzland et membre de l'équipe de réponse d'urgence bénévole SEAL911, était l'un des membres dans la salle de guerre, qui a travaillé pour les aider à récupérer une partie des fonds que le pirate n'a pas remarqués, a-t-il dit à The Block.

Selon Marino sur Discord, l'organisation a déplacé 1 000 ETH d'une valeur d'environ 2,7 millions de dollars d'un coffre-fort vers un endroit sécurisé — le multisig de la DAO. "Les 1000 ETH étaient des garanties de la DAO au sein de Big Bang Origins pour frapper des USDO pour le LP USDO/USDC", a-t-il ajouté.

"L'équipe a tenté de sauver ces actifs en approuvant d'abord le Multicall, ce qui permet à quiconque de prendre ces actifs. Heureusement, personne ne l'a découvert et ils ont réussi à sauver ces actifs", a déclaré Chaofan Shou, co-fondateur de Fuzzland, à The Block.

Cependant, l'équipe de réponse n'a pas encore été en mesure de récupérer l'un des actifs volés. Le trésor de la DAO s'élève actuellement à 4,2 millions de dollars, a déclaré Marino.