Piratage : Spankchain perd 40 000 dollars à cause d’une brèche de son contrat intelligent

Actualités

12 octobre 2018 par Clémentine

Partager Tweet Partager Partager À épingler

SpankChain, une plateforme de crypto-monnaie axée sur du contenu pour adulte a perdu près de 40 000 dollars en Ethereum après une exploitation d’une faille dans ses contrats intelligents. Apparemment, une partie des fonds perdus appartiennent à des utilisateurs que SpankChain devra rembourser.

Près de 40 000 dollars volés à cause des contrats intelligents.

La cybercriminalité relative aux crypto-monnaies fait rage depuis quelque temps. Après que Bancor ait été dévalisé pour quelques millions de dollars en Ether, voici que le tour de SpankChain arrive avec une perte d’environ 40 000 dollars. Cette société qui exploite la crypto-monnaie pour du contenu adulte a annoncé ce vol sur son blog officiel.

L’explication apportée se résume à une violation des comptes clients via un contrat intelligent non sécurisé permettant aux pirates de drainer les actifs numériques.

D’autre part, la société aurait fait une courte pause (de quelques jours), en mettant hors ligne la Blockchain pour des raisons de sécurisation,

« Malheureusement, alors que nous étions en train d’enquêter sur d’autres bugs de contrats intelligents, nous n’avions pas réalisé que le piratage avait eu lieu avant 19h, heure à laquelle nous avons mis Spank.Live hors ligne pour éviter le dépôt des fonds supplémentaires, dans les contrats de paiement par smart contract », déclare l’équipe de Spank.

Le contrat intelligent à la base du piratage

Toute plateforme est exposée à des risques de piratage quel que soit son niveau de sécurisation. Pour le cas de SpankChain, le contrat intelligent malveillant déguisé en jeton ERC 20 permettra aux voleurs de subtiliser les actifs numériques de la plateforme et des clients. Selon les explications de l’équipe, l’attaque a été facilitée par un bug de réentrance, qui actionne la fonction de transfert plusieurs fois dans le contrat de la chaîne de paiement.

Un programme de compensation a été pensé par Spankchain pour rembourser les fonds perdus des utilisateurs (environ 9 000 dollars en ETH et Booty). Toutefois, la société a préféré abandonner l’audit de sécurité de son programme de paiement pour des raisons pécuniaires (un audit coûte extrêmement cher). D’autant plus que le temps d’analyse pour une telle opération ne vaut pas la peine face aux dégâts. En même temps, l’équipe de Spank a promis d’étudier de plus près son système de sécurité en prenant en compte de futurs audits internes et externes

Que pensez-vous du piratage de SpankChain ? Réagissez dans la section des commentaires.