Hacker “hacken” nicht den Code, sondern kaufen Stimmen für die Wahl – Kreditvereinbarung wird um 8,5 Millionen US-Dollar geplündert
Die Krypto-Sicherheitswelt hat schon wieder ein neues Drehbuch: Das Ethereum-Kreditprotokoll Term Finance wurde angegriffen, der Schaden liegt bei rund 8,5 Millionen US-Dollar. Die Vorgehensweise ist ziemlich raffiniert. Die Angreifer gingen nicht hart auf den Code, sondern kauften direkt die Rechte zur Verwaltung per Governance-Voting.
Mit Governance-Voting steuerten sie anschließend die Parameter des Protokolls und plünderten danach die Kasse. Das ist „jemandem etwas in die Hand geben und dann den Anderen schlagen“ – keine Code-Schwachstelle, sondern das Problem liegt im Governance-Mechanismus selbst. Der ist nur schwer zu verteidigen.
Nach dem Vorfall distanzierte sich Yearn sofort und erklärte, angegriffen worden sei der individuell gebaute Governance-Wrapper von Term; die Standard-Yearn-V3-Tresore seien nicht betroffen. Die Verantwortung lässt sich aber trotzdem nicht so leicht abschütteln – schließlich steht „Yearn“ mit drauf.
Das hier ist das, worauf man bei diesem Fall besonders achten sollte: Governance-Angriffe werden langsam zu einem neuen Favoriten der Hacker. Projekte lassen Code aufwendig prüfen – und die Angreifer gehen stattdessen den Weg über die menschlichen bzw. Governance-relevanten Bereiche. Weil die Gewichte in der Community-Governance verteilt sind, sind Stimmrechte kaufbar. Das ist die ganz offensichtliche Schwachstelle mit weichem Punkt.
Für Projektteams ist die Lehre sehr klar: Die Konzentration von Governance-Token, das manipulationssichere Design des Voting-Mechanismus – das ist genauso wichtig wie Code-Audits. Für Nutzer gilt: Große Geldbeträge, die in eine reine „Single-Order“-Protokolllogik gesteckt werden, sind an sich schon ein Hochrisiko-Schachzug.
Sicherheit gibt es nicht „für immer“. Es ist ein endloses Tauziehen zwischen Angreifer und Verteidiger. Untergrund/„Bad Actors“ entwickeln sich weiter – die Verteidiger müssen nur noch schneller laufen.
Die gestohlenen Gelder sind bereits on-chain markiert, aber die Chance auf Rückholung ist gering. Sobald Assets on-chain transferiert sind, ist das Einfrieren nahezu unmöglich – das ist die andere Seite dezentraler Coins.
Jeden Tag nehme ich dich mit zu den Sicherheits-Highlights – nicht nur um zu sehen, was in den News passiert, sondern um die Logik und die Chancen dahinter zu verstehen 👀🚀
Klicke auf die folgenden Links, um mich zu folgen👇🏻加入小恐龙粉丝群
#DeFi-Sicherheit #Hacker #Kryptomarkt
Die Krypto-Sicherheitswelt hat schon wieder ein neues Drehbuch: Das Ethereum-Kreditprotokoll Term Finance wurde angegriffen, der Schaden liegt bei rund 8,5 Millionen US-Dollar. Die Vorgehensweise ist ziemlich raffiniert. Die Angreifer gingen nicht hart auf den Code, sondern kauften direkt die Rechte zur Verwaltung per Governance-Voting.
Mit Governance-Voting steuerten sie anschließend die Parameter des Protokolls und plünderten danach die Kasse. Das ist „jemandem etwas in die Hand geben und dann den Anderen schlagen“ – keine Code-Schwachstelle, sondern das Problem liegt im Governance-Mechanismus selbst. Der ist nur schwer zu verteidigen.
Nach dem Vorfall distanzierte sich Yearn sofort und erklärte, angegriffen worden sei der individuell gebaute Governance-Wrapper von Term; die Standard-Yearn-V3-Tresore seien nicht betroffen. Die Verantwortung lässt sich aber trotzdem nicht so leicht abschütteln – schließlich steht „Yearn“ mit drauf.
Das hier ist das, worauf man bei diesem Fall besonders achten sollte: Governance-Angriffe werden langsam zu einem neuen Favoriten der Hacker. Projekte lassen Code aufwendig prüfen – und die Angreifer gehen stattdessen den Weg über die menschlichen bzw. Governance-relevanten Bereiche. Weil die Gewichte in der Community-Governance verteilt sind, sind Stimmrechte kaufbar. Das ist die ganz offensichtliche Schwachstelle mit weichem Punkt.
Für Projektteams ist die Lehre sehr klar: Die Konzentration von Governance-Token, das manipulationssichere Design des Voting-Mechanismus – das ist genauso wichtig wie Code-Audits. Für Nutzer gilt: Große Geldbeträge, die in eine reine „Single-Order“-Protokolllogik gesteckt werden, sind an sich schon ein Hochrisiko-Schachzug.
Sicherheit gibt es nicht „für immer“. Es ist ein endloses Tauziehen zwischen Angreifer und Verteidiger. Untergrund/„Bad Actors“ entwickeln sich weiter – die Verteidiger müssen nur noch schneller laufen.
Die gestohlenen Gelder sind bereits on-chain markiert, aber die Chance auf Rückholung ist gering. Sobald Assets on-chain transferiert sind, ist das Einfrieren nahezu unmöglich – das ist die andere Seite dezentraler Coins.
Jeden Tag nehme ich dich mit zu den Sicherheits-Highlights – nicht nur um zu sehen, was in den News passiert, sondern um die Logik und die Chancen dahinter zu verstehen 👀🚀
Klicke auf die folgenden Links, um mich zu folgen👇🏻加入小恐龙粉丝群
#DeFi-Sicherheit #Hacker #Kryptomarkt
