Pythia von Reentrancy-Angriff betroffen

Dem dezentralen Finanzprotokoll Pythia Finance wurden am 3. September durch einen Reentrancy-Angriff 53.000 US-Dollar abgenommen, wie aus einem Bericht des Blockchain-Sicherheitsunternehmens Quill Audits hervorgeht. Pythia ist ein algorithmisches Stablecoin-Projekt, das darauf abzielt, künstliche Intelligenz zur Verwaltung seiner Kassen zu nutzen.

Der Angreifer rief die Funktion zum Einfordern von Belohnungen wiederholt auf, ohne den Belohnungssaldo nach jedem Aufruf zu aktualisieren. Dadurch sammelte er mehr Belohnungen ein, als ihm zustanden.

Dem Bericht zufolge konnte der Angreifer diese Funktion wiederholt und in schneller Folge aufrufen, da Pythia bei der Verteilung der Belohnungen die sichere Transferfunktion des Tokens aufrief. Ein böswilliger Token-Vertrag könnte also Pythia zurückrufen, was wiederum dazu führen würde, dass Pythia ihn erneut aufruft, was eine Kettenreaktion auslösen würde, die die Mittel des Protokolls aufbrauchen könnte.

Der teilweise Prüfbericht von Quill Audits für Pythia weist keinerlei ungelöste Sicherheitsprobleme auf. Dies deutet darauf hin, dass das Team den Vertrag möglicherweise aktualisiert hat, um eine weitere Verwendung dieses Exploits zu verhindern.

Ein Reentrancy-Angriff, bei dem ein Angreifer eine Funktion wiederholt aufruft, ohne die vollständige Ausführung ihres Codes zuzulassen, ist eine der häufigsten Arten von Smart-Contract-Exploits.

Kritische Sicherheitslücke bei Zyxel

Am 4. September gab der Netzwerkhardwarehersteller Zyxel eine kritische Sicherheitslücke in einigen seiner Netzwerkgeräte bekannt, die es Angreifern ermöglicht hätte, Code auf den Routern und Zugriffspunkten der Benutzer auszuführen und Hackern so möglicherweise Zugriff auf die Geräte der Benutzer zu verschaffen.

Laut der Offenlegung war die Sicherheitslücke das Ergebnis der unsachgemäßen Neutralisierung spezieller Elemente im Parameterhost im CGI-Programm mehrerer verschiedener Firmware-Versionen. Aufgrund dieser unsachgemäßen Neutralisierung könnten diese Firmware-Versionen einem nicht authentifizierten Angreifer ermöglichen, Betriebssystembefehle auszuführen, indem er ein manipuliertes Cookie an ein anfälliges Gerät sendet.

Benutzer von Krypto-Wallets sollten besonders vorsichtig sein, was mögliche Angriffe auf ihr Heimnetzwerk angeht. Wenn ein Angreifer Zugriff auf das Heimnetzwerk eines Benutzers erhält, kann er diesen Zugriff nutzen, um den Datenverkehr des Benutzers durch DNS-Spoofing umzuleiten, alle unverschlüsselten Daten anzuzeigen, die über das Netzwerk gesendet werden, oder verschlüsselte Daten mithilfe der Deep Packet Inspection zu entschlüsseln. Die erhaltenen Daten können für Social-Engineering-Angriffe verwendet werden, um den Benutzer dazu zu bringen, Transaktionen zu genehmigen oder seine privaten Schlüssel weiterzugeben.

Zyxel hat eine Liste der möglicherweise betroffenen Geräte bereitgestellt, die den NWA50AX PRO, NWA90AX, WAC500 und andere Access Points sowie den Router USG LITE 60AX umfasst. Der Hersteller riet den Benutzern dieser Geräte, ihre Firmware zu aktualisieren.

Penpie-Ausbeuter erstellt gefälschten Pendle-Markt

Der 27 Millionen Dollar teure Penpie-Exploit wurde durch einen Fehler ermöglicht, der es jedem Benutzer ermöglichte, einen Pendle-Markt zu erstellen, so ein Bericht des Blockchain-Sicherheitsunternehmens Zokyo vom 4. September. Der Bericht behauptet, dass eine frühere Version des Protokolls von Zokyo geprüft wurde, den Fehler damals aber nicht enthielt.

Penpie enthält eine Funktion namens „registerPenpiePool“, mit der eine neue Pooladresse und ein neuer Pendle Market registriert werden können, heißt es in dem Bericht. Um die Registrierung böswilliger Märkte zu verhindern, enthält es einen Modifikator, der prüft, ob der Pendle Market bereits im Fabrikvertrag von Pendle Finance aufgeführt ist. Wenn er nicht in diesem Fabrikvertrag aufgeführt ist, kann er nicht registriert werden. Jeder Benutzer kann jedoch seinen Markt im Fabrikvertrag auflisten lassen, indem er die Funktion „createNewMarket“ im Fabrikvertrag aufruft. Laut dem Bericht bedeutet dies im Wesentlichen, dass jeder Benutzer einen Pendle Market erstellen und registrieren kann.

Der Angreifer nutzte diese Schwachstelle aus, um einen gefälschten Pendle-Markt und -Pool zu erstellen, die so konfiguriert waren, dass sie wertvolle Pendle-Token als Belohnung bereitstellten.

Funktion „createNewMarket“ von Pendle Finance. Quelle: Zokyo.

Das Protokoll enthielt außerdem einen Reentrancy-Fehler, der es jedem Markt ermöglichte, wiederholt Token einzuzahlen, bevor andere Guthaben aktualisiert werden konnten. Der Angreifer rief die Einzahlungsfunktion immer wieder auf und erhöhte so die zu verdienenden Belohnungen künstlich. Anschließend hob er die Einzahlung ab und beanspruchte die Belohnungen, wodurch das Protokoll um über 27 Millionen Dollar beraubt wurde.

Dem Bericht zufolge war der Reentrancy-Fehler in der von Zokyo geprüften Version vorhanden. Aber in dieser Version hätte nur das Protokollteam einen neuen Pool und Markt registrieren können, was einen externen Angreifer daran hindern sollte, davon Gebrauch zu machen. Im Bericht heißt es:

Es wurde nicht davon ausgegangen, dass der in der Methode batchHarvestMarketRewards(…) empfangene Parameter _market böswillig ist, da in der früheren Version des von Zokyo geprüften Codes nur der Eigentümer (Multi-Sig) einen Pool registrieren kann.

In einem separaten Bericht, der am 3. September veröffentlicht wurde, behauptete das Penpie-Team, dass es die erlaubnisfreie Pool-Registrierung etwa ein Jahr nach der Prüfung durch Zokyo eingeführt habe. Damals beauftragte es die Sicherheitsfirma AstraSec mit der Prüfung des neuen Registrierungssystems. Allerdings waren nur die neuen Verträge Gegenstand dieser Prüfung. Da der Exploit aus einer Interaktion zwischen zwei verschiedenen Verträgen resultierte, die von zwei verschiedenen Teams geprüft wurden, wurde die Schwachstelle von keinem der beiden Teams entdeckt. Penpie behauptete, dass es in Zukunft regelmäßige Prüfungen des gesamten Protokolls durchführen werde, um sicherzustellen, dass sich solche Vorfälle nicht wiederholen.

Penpie ist ein dezentralisiertes Finanzprotokoll, das versucht, den Nutzern von Pendle Finance höhere Erträge zu verschaffen. Der Exploit dagegen erfolgte am 3. September.