Ein Hacker hat über 49 Millionen Dollar in USDC aus der Infini-Stablecoin-Bank abgezogen. Der Exploit könnte auf Insiderzugang zu einem Smart Contract zurückzuführen sein, bei dem der Entwickler nach der Lieferung an Infini den Zugang behielt.
Der Admin-Zugang zu einem Smart Contract ermöglichte es einem Ausbeuter, 49 Millionen Dollar aus dem Infini-Protokoll, einer Stablecoin-DeFi-Bank, abzuziehen. Infini selbst hat auf den Exploit nicht reagiert oder die Art des Hacks erklärt. Infini ist ein Herausgeber von Krypto-Karten, der Stablecoin-Sicherheiten verwendet, um tägliche Zahlungen durchzuführen.
Infini bewirbt seine Zahlungsdienste als Neobank, die Krypto und traditionelle Finanzen kombiniert. Das Produkt zog in den letzten Wochen 500 % mehr Nutzer an, als es seine Kartenkampagnen startete. Die Neobank bietet auch hochverzinsliche Ertragsprodukte an, was zu einem Anstieg der verfügbaren Liquidität für den Ausbeuter führte.
Es waren genau die Ertragsprodukte, die die Bedingungen für den Exploit geschaffen haben, da Berichten zufolge Mittel aus dem Morpho MEV Capital Usual USDC Vault entnommen wurden. Morpho hat keine Warnungen ausgesprochen oder verlorene Gelder gemeldet.
Der Exploit wurde nach einer regulär aussehenden Wal-Transaktion festgestellt, bei der eine neue Brieftasche alle in dem Vertrag gesperrten Mittel abgehoben hat. Die Brieftasche des Angreifers war Infini bekannt, da das Projekt Berichten zufolge den Ausbeuter beauftragte, den Smart Contract zu erstellen. Unbekannt für das Projekt behielt der Angreifer die Admin-Rechte und konnte den Befehl geben, die gesamte Liquidität abzuziehen.
🚨ALARM🚨 Heute erlitt @0xinfini einen $49M $USDC-Exploit aufgrund eines Angreifers, der sich die erhaltenen administrativen Privilegien zunutze machte.
Der Angreifer, der von 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1 aus operierte, hatte den Vertrag ursprünglich als Teil des Infini-Projekts entwickelt. Allerdings, nachdem… pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 24. Februar 2025
Die unmittelbare Aktion des Ausbeuters bestand darin, USDC gegen 17.696 ETH zu tauschen. Der Ausbeuter ging über DAI, das über dezentrale Protokolle verfügbar war. Die Mittel wurden über Uniswap, Sky Protocol und 0x Protocol bewegt. Der schnellstmögliche Tausch von USDC ermöglichte es dem Hacker, Gelder in ETH zu verschieben, die nicht eingefroren, sondern nur von Börsen auf eine schwarze Liste gesetzt werden können.
Danach teilte der Angreifer die Einnahmen in kleinere Summen und mehrere Adressen auf. Der Ausbeuter verwendete eine neue Brieftasche, um einen kleinen Betrag an ETH für Gas zu senden und die Transaktion abzuschließen. Die ursprüngliche Finanzierung für die Brieftasche kam von Tornado Cash, was einen Teil der On-Chain-Präsenz des Hackers verschleierte.
Danach wurde das ETH durch eine Reihe von Überweisungen bewegt. Zum Zeitpunkt des Schreibens waren die Mittel noch nicht gemischt.
Haben DPRK-Hacker wieder zugeschlagen?
Die Identität des Vertragserstellers bleibt unbekannt, da Infini nicht bekannt gegeben hat, wer beauftragt wurde, den Smart Contract zu erstellen.
Der Infini-Hack folgt dem größten Exploit von 2025, bei dem die Bybit-Börse bis zu 1,5 Milliarden Dollar in Ethereum (ETH) verlor. Der Bybit-Hacker hatte einen ähnlichen Ansatz, ETH vor dem Mischen zu teilen. Der On-Chain-Ermittler ZachXBT hat auf mehrere Beispiele hingewiesen, dass dieser Ansatz eine der charakteristischen Methoden der Lazarus-Hackergruppe ist. Bis jetzt hat Infini keine der Wallets des Ausbeuters mit anderen bekannten Lazarus-Adressen in Verbindung gebracht.
Diesmal wurden keine privaten Schlüssel geleakt, und Infini hat die Abhebungen und Einzahlungen nicht gestoppt.
Der Gründer von Infini, @christianeth, übernahm die volle Verantwortung für den Exploit und erklärte, dass er bei dem Prozess der Übertragung der Autorität vom Entwickler an das Projekt nachlässig war. Der Gründer versicherte den Nutzern, dass das Protokoll liquide bleibt und im schlimmsten Fall eine volle Entschädigung ausgezahlt wird.
„Mein persönlicher privater Schlüssel wurde nicht geleakt, daher besteht kein Grund zur übermäßigen Sorge. Ich war nachlässig, als ich die Autorität zuvor übertrug. Letztendlich liegt die Verantwortung bei mir. Das hat Alarm geschlagen… Es gibt kein Problem mit der Liquidität. Die volle Entschädigung kann gezahlt werden und die Mittel werden zurückverfolgt“, schrieb @christianeth auf X.
Andere On-Chain-Analysen zeigen eine mögliche Leckage des privaten Schlüssels, die dem Hacker Zugang zum Vertrag ermöglichte. PeckShield bemerkte, dass der Ingenieur, der zum Hacker wurde, identifiziert wurde. Nach dem Angriff löschte einer der Mitbegründer von Infini, @0xsexybanana, ihr X-Konto. Der aktuelle Raub wird als vermuteter Insiderangriff angesehen, da dem Ingenieur genug Vertrauen entgegengebracht wurde, um einen Smart Contract zu erstellen.
Die jüngsten Exploits und das Horten von ETH werfen die Frage auf, ob die Kette für Geldwäsche und potenziell feindliche Regimefinanzierung genutzt wird. Gleichzeitig katalysierten die Exploits eine kleine ETH-Rallye, bei der der Vermögenswert zum ersten Mal seit Wochen über 2.800 $ stieg. Die ETH-Verluste bedeuteten, dass die Börsen ihre Reserven wieder auffüllen mussten, was zu einer zusätzlichen Nachfrage führte.
Cryptopolitan Academy: KOSTENLOSE Web3 Lebenslauf-Spickzettel - Jetzt herunterladen