Michael Patryn et la crise de sécurité chez UwU Lend : la attaque de 20 millions de dollars

Le protocole de prêts UwU Lend a récemment subi une attaque ayant entraîné une perte de 20 millions de dollars. Derrière cette plateforme se trouve Michael Patryn, entrepreneur connu sous le pseudonyme 0xSifu, qui a proposé une compensation aux attaquants dans le cadre d’un accord pour récupérer les fonds volés. Cet incident remet en lumière les risques persistants dans la finance décentralisée.

Qui est Michael Patryn : De QuadrigaCX à 0xSifu

Michael Patryn a acquis une notoriété dans l’écosystème crypto en tant que cofondateur de QuadrigaCX, une plateforme d’échange de cryptomonnaies canadienne qui s’est effondrée en 2018 suite à une faillite liée à des escroqueries. Patryn s’était éloigné de l’entreprise deux ans avant sa fermeture définitive. Des années plus tard, sous le pseudonyme 0xSifu, il réapparaît dans l’espace DeFi en tant que responsable de la trésorerie de Wonderland, un protocole qui a gagné en popularité mais dont le token s’est effondré en janvier 2022 lorsque sa véritable identité a été révélée.

Avec ce parcours complexe, Michael Patryn a lancé UwU Lend en 2022, en concevant la plateforme comme une variante du protocole Aave, qui à l’époque gérait plus de 20 milliards de dollars en dépôts d’utilisateurs, se positionnant comme le deuxième protocole le plus important du secteur.

L’attaque contre le protocole : oracles manipulables et flash loans

Le piratage a été réalisé par une combinaison sophistiquée de deux vulnérabilités techniques. L’attaquant a exploité l’utilisation d’oracles de prix facilement manipulables fournissant à UwU des informations sur la valeur de divers tokens. Selon l’analyse de Blocksec, une société spécialisée en sécurité cryptographique, le perpetrateur a également utilisé un prêt flash massif (estimé à environ 4 milliards de dollars) pour exploiter ces faiblesses du protocole.

“L’attaquant a emprunté une quantité énorme d’actifs”, a expliqué Matthew Jiang, directeur des services de sécurité chez Blocksec. “Il a pratiquement emprunté tous les actifs disponibles sur la chaîne pouvant être utilisés dans des prêts flash.” Cette combinaison a permis au criminel de détourner environ 20 millions de dollars de la plateforme.

Les prêts flash ou flash loans sont des opérations permettant d’obtenir des crédits sans garantie, à condition qu’ils soient remboursés dans la même transaction sur blockchain. Bien que ces mécanismes soient utiles pour des opérations légitimes d’arbitrage, ils ont aussi été exploités par des acteurs malveillants pour détourner la liquidité de protocoles DeFi vulnérables.

Proposition de compensation et la réalité des attaques DeFi

Face à l’incident, Michael Patryn a proposé une incitation peu conventionnelle : si les attaquants restituent environ 16 millions de dollars en cryptomonnaies, le protocole s’engage à ne pas engager d’actions légales ni coopérer avec les autorités compétentes. Patryn a offert une récompense de 20 % des fonds récupérés en guise d’incitation supplémentaire.

“Nous proposons une compensation de white hat de 20 % de tout fonds obtenu”, a déclaré Patryn via un message sur Ethereum. “Ils ne risqueront aucun problème juridique s’ils acceptent cet accord, et aucune autorité n’interviendra.”

Cette tactique est relativement courante dans l’écosystème crypto, où les coûts et la complexité de récupérer des tokens volés représentent un défi considérable. Cependant, les attaquants refusent souvent ces offres, bien que certains cas notables aient abouti à leur acceptation.

La tendance croissante des attaques par flash loans

UwU Lend n’est pas un cas isolé. Euler Finance, un protocole de prêts sur Ethereum, a subi une attaque similaire qui a initialement entraîné une perte de 197 millions de dollars, bien que l’attaquant ait ensuite remboursé 85 % des fonds dérobés. D’autres exemples récents incluent le piratage de Sonne Finance pour 20 millions de dollars il y a plusieurs mois, et celui du protocole Hedgey pour 44 millions de dollars au premier semestre de l’année.

Selon des données compilées par DefiLlama, durant les cinq premiers mois du dernier exercice fiscal, les attaquants ont extrait environ 560 millions de dollars de protocoles DeFi, ce qui représente une augmentation de 32 % par rapport à la même période de l’année précédente. Cette tendance souligne la vulnérabilité persistante des plateformes décentralisées face à des exploits de sécurité sophistiqués.

Le cas de Michael Patryn et UwU Lend illustre comment, même avec un passé douteux dans l’industrie, les entrepreneurs crypto continuent de lancer de nouveaux projets. La sécurité de ces protocoles reste un défi critique nécessitant une attention accrue tant des développeurs que des régulateurs.