Wiedereintritt, Preisorakel-Angriffe und Exploits in sieben Protokollen führten dazu, dass der dezentralisierte Finanzraum (DeFi) im Februar mindestens 21 Millionen US-Dollar an Krypto verlor.
Nach Für die DeFi-zentrische Datenanalyseplattform DefiLlama war einer der größten des Monats der Flash-Loan-Reentrancy-Angriff auf Platypus Finance, der zu einem Verlust von 8,5 Millionen US-Dollar führte.
DefiLlama hob in diesem Monat sechs weitere bemerkenswerte Hacks hervor, der erste war der Preisorakel-Angriff auf BonqDAO am 1. Februar.
BonqDAO: 1,7 Millionen Dollar
BonqDAO enthüllte seinen Anhängern in einem Beitrag vom 1. Februar, dass sein Bonq-Protokoll einem Orakelangriff ausgesetzt war, der es dem Exploiter ermöglichte, den Preis des AllianceBlock (ALBT)-Tokens zu manipulieren.
Der Ausbeuter erhöhte den ALBT-Preis und prägte große Mengen an BEUR. Die BEUR wurden dann auf Uniswap gegen andere Token getauscht. Dann wurde der Preis auf fast null gesenkt, was die Liquidation von ALBT-Funden auslöste.
Die Blockchain-Sicherheitsfirma PeckShield schätzte die Verluste auf rund 120 Millionen US-Dollar. Später wurde jedoch bekannt, dass Hacker Berichten zufolge nur rund 1 Million US-Dollar ausgezahlt hatten, weil BonqDAO keine Liquidität hatte.
Orion-Protokoll: 3 Millionen Dollar
Nur einen Tag später erlitt der dezentrale Austausch des Orion-Protokolls einen Verlust von rund 3 Millionen US-Dollar am 2. Februar durch einen Reentrancy-Angriff, bei dem Angreifer einen böswilligen Smart Contract nutzten, um Gelder von einem Ziel mit wiederholten Auszahlungsaufträgen abzuziehen.
Wir haben diesen sehr ausgeklügelten Angriff von Anfang an untersucht. Wir werden die Einzahlungsfunktion nicht wieder öffnen, bis wir sicher sind, dass der Fehler behoben wurde, was erst nach dem erfolgreichen Bestehen neuer Audits von führenden Wirtschaftsprüfungsunternehmen geschehen wird.
— Alexey Koloskov (@alexeykoloskov) 2. Februar 2023
Alexey Koloskov, CEO von Orion Protocol, bestätigte damals den Angriff und versicherte allen: „Die Gelder aller Benutzer sind sicher und geschützt.“
„Wir haben Grund zu der Annahme, dass das Problem nicht auf Mängel in unserem Kernprotokollcode zurückzuführen ist, sondern möglicherweise durch eine Schwachstelle beim Mischen von Bibliotheken von Drittanbietern in einem der Smart Contracts verursacht wurde, die von unseren experimentellen und privaten Brokern verwendet werden ,” er sagte.
dForce-Netzwerk: 3,65 Millionen US-Dollar
Das dForce-Netzwerk des DeFi-Protokolls war im Februar ein weiteres Opfer eines Reentrancy-Angriffs, der zu Verlusten von rund 3,65 Millionen US-Dollar führte.
In einem 10. Februar Post, dForce bestätigte den Exploit; In einer Wendung wurden jedoch alle Gelder zurückerstattet, als der Hacker sich als Whitehat-Hacker meldete.
2/5 Kurz nach dem Vorfall kamen wir ins Gespräch mit dem Ausbeuter, der sich als Whitehat gemeldet hat. Wir haben zugestimmt, ein Kopfgeld anzubieten und werden alle laufenden Ermittlungen und Strafverfolgungsmaßnahmen einstellen.
— dForce (@dForcenet) 13. Februar 2023
„Am 13. Februar 2023 wurden die genutzten Gelder vollständig an unsere Multi-Sig sowohl für Arbitrum als auch für Optimismus zurückgegeben, ein perfektes Ende für alle“, sagte dForce.
Platypus Finance: 9,1 Millionen Dollar
Am 16. Februar erlitt das DeFi-Protokoll Platypus Finance einen Blitzkreditangriff, der dazu führte, dass 8,5 Millionen Dollar aus dem Protokoll abgezogen wurden.
Ein Post-Mortem-Bericht des Platypus-Auditors Omniscia stellte fest, dass der Angriff aufgrund eines Codes in der falschen Reihenfolge möglich war.
Am 23. Februar gab das Team bekannt, dass es versucht, rund 78 % der Hauptpoolgelder durch die Neuprägung eingefrorener Stablecoins zurückzugeben.
Vergütungsseite aktualisiert
Wir haben heute unsere Vergütungsseite aktualisiert! Wenn Sie vor der Pool-Pause LP-Token von unseren Ertragsaggregatoren eingezahlt oder abgehoben haben, wird Ihr Entschädigungsbetrag entsprechend aktualisiert.
Mehr https://t.co/GfLIn5jmtF— Schnabeltier (++) (@Platypusdefi) 3. März 2023
Das Team bestätigte auch zweite und dritte Vorfälle, die zu weiteren 667.000 US-Dollar führten, was zu einem Gesamtverlust von rund 9,1 Millionen US-Dollar führte.
Die französische Polizei verhaftete zwei Verdächtige im Zusammenhang mit dem Hack und beschlagnahmte am 25. Februar Krypto-Assets im Wert von rund 222.000 Dollar.
Hoffnungsfinanzierung: 1,86 Millionen Dollar
Ein paar Tage später fielen Benutzer des Arbitrum-basierten algorithmischen Stablecoin-Projekts Hope Finance am 20. Februar einem Smart-Contract-Exploit zum Opfer, bei dem den Benutzern rund 2 Millionen Dollar gestohlen wurden.
#CommunityAlarm @hope_fin haben angekündigt, dass die Community für ~ 2 Millionen US-Dollar betrogen wurde, was dies zum größten macht #exitscam auf Arbitrum im Jahr 2023.
1,86 Millionen Dollar wurden überwiesen @TornadoCash.
Hope_fin hat Schritte für Benutzer veröffentlicht, um ihre eingesetzten LP zurückzuziehenhttps://t.co/hJbFXiKujt
— CertiK-Alarm (@CertiKAlert) 21. Februar 2023
Die Web3-Sicherheitsfirma CertiK meldete den Vorfall am 21. Februar, nachdem der Twitter-Account von Hope Finance die Benutzer über den Betrug informiert hatte.
Ein Mitglied des CertiK-Teams teilte Cointelegraph damals mit, dass der Betrüger die Details des Smart Contracts geändert habe, was dazu führte, dass Gelder aus dem Genesis-Protokoll von Hope Finance abgezogen wurden:
„Es scheint, dass der Betrüger den TradingHelper-Vertrag geändert hat, was bedeutete, dass, wenn 0x4481 OpenTrade im GenesisRewardPool anruft, die Gelder an den Betrüger überwiesen werden.“
Flexibel: 2 Millionen Dollar
Der Multichain-Börsenaggregator Dexible wurde von einem Exploit getroffen, der auf die SelfSwap-Funktion der App abzielte, wobei Kryptowährung im Wert von 2 Millionen Dollar als Folge des Angriffs vom 17. Februar verloren ging.
Laut einem Post der Börse vom 18. Februar „nutzte ein Hacker eine Schwachstelle in unserem neuesten Smart Contract aus. Dies ermöglichte es dem Hacker, Gelder aus jeder Brieftasche zu stehlen, die eine nicht ausgegebene Ausgabengenehmigung für den Vertrag hatte.“
Liebe Dexible-Community, wir bedauern, Ihnen mitteilen zu müssen, dass ein Hacker in den frühen Morgenstunden des 17. Februar eine Schwachstelle in unserem neuesten Smart Contract ausgenutzt hat. Dies ermöglichte es dem Hacker, Gelder aus jeder Brieftasche zu stehlen, die eine nicht ausgegebene Ausgabengenehmigung für den Vertrag hatte.
1/5
— Flexibel (@DexibleApp) 17. Februar 2023
Nach einer Untersuchung stellte das Dexible-Team fest, dass der Angreifer die SelfSwap-Funktion der App verwendet hatte, um Krypto im Wert von über 2 Millionen US-Dollar von Benutzern zu verschieben, die die App zuvor autorisiert hatten, ihre Token zu verschieben.
Nachdem der Angreifer die Token in seinen eigenen Smart Contract aufgenommen hatte, zog er die Coins über Tornado Cash in unbekannte BNB-Wallets zurück.
LaunchZone: 700.000 $
Dem auf der BNB-Kette basierenden DeFi-Protokoll LaunchZone wurden am 27. Februar Gelder im Wert von 700.000 $ abgezogen.
Nach an die Blockchain-Sicherheitsfirma Immunefi, nutzte ein Angreifer einen unbestätigten Vertrag, um die Gelder abzuschöpfen.
„Der unbestätigte Vertrag wurde vor 473 Tagen vom LaunchZone-Betreiber genehmigt“, sagte Immunefi.
Verwandt: Krypto-Exploit-Verluste im Januar gehen im Jahresvergleich um fast 93 % zurück
Die Februar-Zahlen sind laut DefiLlama-Zahlen ein starker Anstieg gegenüber Januar.
Der Tracker listet nur 740.000 Dollar an Hacks auf DeFi-Plattformen im Monat über zwei Protokolle auf – Midas Capital und ROE Finance.
In seinem Jahr 2023 Bericht über Kryptokriminalitätenthüllte das Blockchain-Datenunternehmen Chainalysis, dass Hacker im Jahr 2022 3,1 Milliarden US-Dollar aus DeFi-Protokollen gestohlen haben, was mehr als 82 % des im Jahr gestohlenen Gesamtbetrags ausmacht.