Le protocole de staking de bitcoin b14g affirme que quelque 97 millions de CORE stakés ont été retirés de ses contrats sans autorisation. Les registres de la chaîne Core, consultés par Coindaro le samedi 31 octobre, montrent cette somme sortir en une seule transaction à 09 h 29 min 51 s UTC. À 0,01407 $ le CORE, prix lu sur la page Core de CoinGecko à 17 h 52 UTC, cela représente environ 1,37 million de dollars. Ce montant est notre calcul, fait avec un prix postérieur aux faits, et non un chiffre de b14g.
Dans son récit du piratage de b14g, l’équipe dit avoir mis en pause les contrats touchés, des plateformes d’échange partenaires auraient gelé environ 9 millions de CORE, et le BTC staké n’aurait pas été touché. Nous n’avons pas lu cette déclaration à la source : la publication de b14g sur X ne s’est pas ouverte pour nous. Tout ce que nous attribuons ici à l’équipe vient donc de TechFlow, de The Defiant et d’autres médias qui la relaient.
Ce que dit b14g sur le piratage
Selon le récit de TechFlow, les CORE ont été envoyés vers des adresses contrôlées par l’attaquant, le suivi indique qu’environ 68 millions restent sur la chaîne Core, et les 9 millions gelés sont liés à cet attaquant. Le BTC staké via b14g reste verrouillé dans le temps sur le réseau Bitcoin, affirme l’équipe. Elle travaille avec l’équipe de Core, des partenaires de sécurité et des plateformes d’échange, et promet un rapport d’incident couvrant la cause technique, l’impact et les dispositions pour les utilisateurs touchés.
Un gel n’est pas une récupération. Comme l’a relevé EconoTimes, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il n’établit ni la part revenue ni la perte finale. Environ 9 % du montant drainé est bloqué, d’après les chiffres de b14g, et aucune plateforme n’a été nommée.
Ce que montre la chaîne Core
b14g n’a publié aucune adresse dans les articles que nous avons trouvés. Nous sommes donc partis de la liste de contrats de l’adaptateur public b14g de DefiLlama et avons interrogé directement le nœud public de Core. Un portefeuille a fait un seul appel au contrat « factory » de b14g, et le contrat de staking de Core a enregistré 99 événements pour cette transaction, pour un total de 97 045 563 CORE. Cela correspond aux quelque 97 millions attribués à b14g.
| Heure (UTC, 31 oct.) | Ce que montre le registre |
|---|---|
| 09 h 29 min 51 s | Un portefeuille appelle le contrat factory de b14g ; le contrat de staking de Core enregistre 99 mouvements, soit environ 97,05 millions de CORE |
| 09 h 37 à 10 h 10 | Le portefeuille envoie 23,4 millions de CORE à 11 autres portefeuilles, par lots de 1 à 2,9 millions |
| 10 h 36 min 33 s | Il envoie les 73,65 millions de CORE restants à un seul portefeuille |
| 11 h 07 min 03 s | Le multisig propriétaire de la factory met en pause le vault CORE de b14g |
| À partir de 16 h 46 | Des médias commencent à relayer l’annonce de b14g |
Le portefeuille a ensuite versé environ 97,05 millions de CORE en 12 transferts simples, dont le dernier et le plus gros à 10 h 36 UTC. Son compteur de transactions affiche 13 : l’appel et ces transferts sont donc tout ce qu’il a jamais envoyé. Auparavant, il avait reçu un seul transfert simple, de 615,6 CORE à 09 h 00 min 42 s UTC. Il ne figure pas parmi les quatre signataires du multisig propriétaire de la factory. La pause est intervenue 97 minutes après l’appel, depuis ce multisig, qui exige deux signatures sur quatre, et le vault CORE de b14g se déclare toujours en pause.
À 17 h 54 UTC, le portefeuille qui avait reçu les 73,65 millions en détenait 63,65 millions, après en avoir envoyé environ 10 millions plus loin. Le chiffre de b14g pour ce qui reste sur Core est d’environ 68 millions, soit un écart d’environ 4,4 millions que nous ne savons pas expliquer. Nous n’avons pas suivi les fonds plus loin : impossible de dire si une partie a atteint une plateforme d’échange.
Une limite sur tout cela : b14g n’a pas désigné ce portefeuille dans ce que nous avons lu, et le considérer comme celui de l’attaquant est notre inférence, tirée d’un montant et d’une heure qui concordent. Nous avons cherché une déclaration de Core DAO, ou une publication de PeckShield, CertiK, SlowMist, Cyvers ou Blockaid, et n’en avons trouvé aucune à 17 h 55 UTC. Aucune plateforme n’a non plus confirmé le gel officiellement.
Le BTC staké serait à l’abri, et l’essentiel de la valeur de b14g est en BTC
DefiLlama chiffrait b14g à environ 248,9 millions de dollars de valeur totale verrouillée à 13 h 41 UTC le 31 octobre, dont environ 245,8 millions sur Bitcoin. Une part bien plus petite se trouve sur Babylon Genesis. La perte touche donc le versant CORE d’un produit surtout Bitcoin, ce qui cadre avec les dires de l’équipe, même si nous n’avons pas vérifié le BTC nous-mêmes. L’affirmation du verrouillage dans le temps repose sur b14g seul. Comment les stakers de BTC perçoivent leur rendement ou débloquent leurs fonds pendant la pause des contrats n’a pas été expliqué.
Les personnes exposées sont celles qui ont staké du CORE via b14g, dont les jetons étaient placés sous ses contrats. Notre guide des jetons de staking liquide explique le fonctionnement de ce type de staking, et notre explication sur les endroits où les piratages crypto ont réellement lieu distingue la défaillance d’un protocole de celle d’une chaîne. Nous n’avons trouvé aucune preuve que Core elle-même ait été arrêtée ou forkée.
Ce que l’on ignore encore du piratage de b14g
La chaîne montre ce qui a bougé et quand, pas pourquoi la factory l’a permis. La méthode reste inexpliquée : aucune source ne nomme une faille, une clé volée ou un rôle d’administrateur détourné, et nous ne ferons pas de supposition. Le nombre d’utilisateurs touchés, une éventuelle indemnisation, les plateformes à l’origine du gel, la capacité de Core à agir sur les jetons encore présents sur sa chaîne et la réouverture des contrats restent autant de questions ouvertes.
Le prochain jalon est le rapport d’incident de b14g, dont aucune date n’a été donnée. Nous mettrons cet article à jour dès sa publication.