Introduction

Le 21 février 2025, un incident grave de sécurité s'est produit à la bourse de cryptomonnaie Bybit, entraînant le vol de plus de 1,5 milliard de dollars d'actifs. Bien que les responsables de Bybit aient réagi rapidement et aient déclaré qu'ils pouvaient supporter les pertes, l'événement a quand même causé un choc généralisé dans l'industrie. Dans ce contexte, nous ne pouvons nous empêcher de nous rappeler le vol du protocole de prêt croisé Radiant Capital le 17 octobre 2025. Bien que les deux incidents diffèrent en termes de méthodes d'attaque et de voies de mise en œuvre, ils révèlent tous deux les défis sérieux auxquels l'industrie des cryptomonnaies est confrontée en matière de sécurité.

En particulier, les experts de l'industrie, Yu Xi, fondateur de l'équipe SlowMist, ont souligné que le vol de Bybit pourrait être lié à des groupes de pirates informatiques nord-coréens (pure spéculation, il n'y a actuellement aucune preuve montrant qu'il a effectivement été commis par des groupes de pirates informatiques nord-coréens, pas de conseils de référence), et la manière dont les attaquants de l'incident Radiant prennent le contrôle en contrôlant des clés privées multi-signatures et en exploitant des vulnérabilités de contrats malveillants est également similaire à certaines tactiques de hackers nord-coréens. Que ce soit en contrôlant des portefeuilles froids ou en falsifiant des contrats intelligents, les deux incidents indiquent que les méthodes d'attaque des hackers sont devenues plus complexes et plus secrètes, posant un défi à la sécurité du marché des crypto-monnaies. En prenant Radiant comme exemple, cet article analysera le processus des attaques multi-signatures.

Image :https://x.com/evilcos/status/1892970435194863997

Brève description de l’attaque de la capitale radieuse

Le 17 octobre, le protocole de prêt cross-chain de Radiant Capital a été touché par une attaque réseau, entraînant une perte de plus de 50 millions de dollars. Radiant est un marché de fonds universel sur toutes les chaînes où les utilisateurs peuvent déposer n'importe quel actif sur n'importe quelle blockchain principale et emprunter des actifs. Les données on-chain montrent que le pirate a rapidement transféré les actifs volés d'Arbitrum et de BNB Chain, avec environ 12 834 ETH et 32 112 BNB déposés respectivement dans deux adresses.

Analyse des processus

Le cœur de cette attaque est que l'attaquant a pris le contrôle des clés privées de plusieurs signataires, prenant ainsi le contrôle de plusieurs contrats intelligents. Ensuite, nous examinerons en détail le processus spécifique de cette attaque et les moyens techniques qui la sous-tendent.

1. L'attaquant a invoqué la fonction multicall à travers un contrat malveillant (c'est-à-dire 0x57ba8957ed2ff2e7ae38f4935451e81ce1eefbf5). multicall permet l'exécution de plusieurs opérations différentes en une seule invocation. Dans cette invocation, l'attaquant a ciblé deux composants du système Radiant, notamment le fournisseur d'adresse de pool et le pool de prêt.

1. Dans la transaction 1, l'attaquant contrôlait un portefeuille Gnosis multisig (GnosisSafeProxy_e471_1416). Grâce à des appels malveillants, l'attaquant a réussi à exécuter un execTransaction, qui incluait l'utilisation de transferOwnership pour modifier l'adresse du contrat du fournisseur de pool de prêt. De cette manière, l'attaquant peut contrôler le contrat de pool de prêt et effectuer plus amplement des opérations malveillantes.
2. L'attaquant a exploité le mécanisme de mise à niveau du contrat en appelant la fonction setLendingPoolImpl pour remplacer le contrat de mise en œuvre du pool de prêt de Radiant par son propre contrat malveillant 0xf0c0a1a19886791c2dd6af71307496b1e16aa232. Ce contrat malveillant contient une fonction de porte dérobée qui permet à l'attaquant de manipuler davantage le flux de fonds dans le système.

Une fonction backdoor est un type de fonction cachée dans des contrats malveillants, généralement conçue pour sembler normale mais qui permet en réalité aux attaquants de contourner les mesures de sécurité normales et d'obtenir ou de transférer directement des actifs.

1. Après le remplacement du contrat dans le pool de prêt, l'attaquant a appelé la fonction upgradeToAndCall pour exécuter la logique de la porte dérobée dans le contrat malveillant, transférant ainsi davantage d'actifs du marché du prêt au contrat contrôlé par l'attaquant, réalisant ainsi un profit.

Conclusion : De Radiant à Bybit, la sécurité reste une priorité absolue dans l'industrie des cryptomonnaies

Bien que les incidents de vol de Bybit et Radiant se soient produits dans des projets différents, leurs méthodes d'attaque ont mis en évidence les risques de sécurité communs sur le marché des cryptomonnaies. Que ce soit en contrôlant des clés privées multi-signatures ou en altérant des contrats intelligents, les pirates informatiques ont réussi à contourner facilement les défenses de sécurité traditionnelles en utilisant des moyens techniques sophistiqués.

Avec les moyens de plus en plus sophistiqués des attaques de pirates informatiques, comment renforcer la sécurité des échanges de cryptomonnaies et des protocoles est devenu un problème que l'ensemble de l'industrie doit profondément considérer. Qu'il s'agisse de renforcer la protection technique ou d'ajouter des examens de sécurité plus stricts lors des mises à jour de contrats, les futurs projets de cryptage devront continuellement améliorer leurs propres capacités de sécurité pour assurer la sûreté des actifs des utilisateurs.

Gate.io est bien conscient de l'importance de la sécurisation de la sécurité des actifs des utilisateurs et l'a toujours priorisée. Nous effectuons régulièrement des audits de sécurité grâce à une gestion détaillée des portefeuilles froids et des portefeuilles chauds, combinée à des instantanés des soldes des utilisateurs et à des structures d'arbres de Merkle, ainsi qu'à des technologies avancées, pour optimiser de manière exhaustive les processus de stockage et de gestion des actifs, garantissant la sécurité et la transparence de chaque actif.

Cet incident de vol rappelle une fois de plus à toute l'industrie les défis en matière de sécurité. Gate.io en tirera des leçons, améliorera continuellement le système de protection de la sécurité, adoptera des moyens techniques plus avancés et des mesures de surveillance des risques, garantira que la plateforme est toujours stable et fiable. Nous promettons de ne ménager aucun effort pour protéger les actifs des utilisateurs et fournir aux utilisateurs un environnement commercial stable et fiable.