【Token aus dem Pool konnten wiederholt abgeholt werden – auf vier Chains wurden 1,49 Millionen US-Dollar abgezogen 🚨🔓】
Tritt über mein Profil dem Fan-Chat von Herrn X bei 🔥
Ein etabliertes Vesting-Tool, bei dem immer wieder Token aus dem Pool abgeholt wurden. Im Vesting-V2-Vertrag von UNCX klaffte eine Sicherheitslücke. Aus einzelnen Positionen konnten mehr Token abgezogen werden, als ihnen zustanden. Bis zum 15. Oktober wurden auf vier Chains rund 1,49 Millionen US-Dollar abgeschöpft. Viele haben im $UNCX-Protokoll schon LP-Token gesperrt. Diesmal betroffen war der Vesting-Vertrag. 🚨
Die Logik hinter der Sicherheitslücke war nicht kompliziert. Beim Freigeben von Token wurde der Gesamtanteil des Pools heruntergesetzt. Der in den einzelnen Positionen gespeicherte Anteil wurde jedoch nicht entsprechend angepasst. Wurde eine Position anschließend aufgelöst, zog das System den Anteil ein zweites Mal ab. So schrumpfte der Poolanteil immer weiter. Die verbleibenden Positionen konnten dadurch mehr abheben. ⚙️
Das Geld floss über vier Bereiche ab. Am meisten auf der BNB Chain: rund 969.000 US-Dollar. Auf Ethereum waren es etwa 242.000 US-Dollar, auf der neuen Chain aus dem Broker-Umfeld rund 169.000 US-Dollar und auf Base etwa 114.000 US-Dollar. Insgesamt gab es 11 Abhebungen, bei denen 10 Token betroffen waren. 💸
Die erste erfolgreiche Abhebung erfolgte am Mittag des 14. Oktober. Bis kurz nach zwei Uhr morgens am 15. Oktober waren die Zahlen für alle vier Chains vollständig. Danach kamen noch Wallets hinzu, die den Trick kopierten, und MEV-Bots. Eine Person entdeckte die Lücke, dann stiegen viele weitere ein. Ich finde, genau diese Geschwindigkeit der Nachahmer ist am schwersten abzuwehren. Aus den ersten 86.000 US-Dollar wurden 1,49 Millionen. 🧨
Das Projektteam erklärte am 16. Oktober, dass White Hats die Gelder zurückgegeben hätten. Auch die Transaktionen im Base-Pool wurden wieder aufgenommen. Wie hoch der Nettoverlust auf den vier Chains ist, wurde bislang nicht aktualisiert. Meiner Einschätzung nach sind die 1,49 Millionen US-Dollar bei $UNCX nur eine Bruttoschätzung. Wie viel zurückgeholt werden kann, ist eine andere Frage. Die Kontostände der Inhaber betroffener Token könnten sich bereits verändert haben. 🔍
Einfach gesagt: Ein Vesting-Vertrag ist keine Cold Wallet. Er ist eine Maschine, die ständig läuft. Wenn der Code eine Lücke hat, wird der Pool zum öffentlichen Geldautomaten. Bevor ihr solche Tools nutzt, solltet ihr den Vertrag und seine Version prüfen. Bei alten Vesting-Verträgen solltet ihr besser keine großen Positionen halten. Und erteilt Berechtigungen nicht gleich in unbegrenzter Höhe. 🛠️
📌 Ein nicht sauber verwalteter Anteilscounter genügte, um auf vier Chains wiederholt 1,49 Millionen US-Dollar abzuziehen. Wie viel zurückgeholt wird, ist noch offen.
Habt ihr noch Positionen in Vesting-Tools? Schreibt es in die Kommentare.
Tritt über mein Profil dem Fan-Chat von Herrn X bei 🔥
Ein etabliertes Vesting-Tool, bei dem immer wieder Token aus dem Pool abgeholt wurden. Im Vesting-V2-Vertrag von UNCX klaffte eine Sicherheitslücke. Aus einzelnen Positionen konnten mehr Token abgezogen werden, als ihnen zustanden. Bis zum 15. Oktober wurden auf vier Chains rund 1,49 Millionen US-Dollar abgeschöpft. Viele haben im $UNCX-Protokoll schon LP-Token gesperrt. Diesmal betroffen war der Vesting-Vertrag. 🚨
Die Logik hinter der Sicherheitslücke war nicht kompliziert. Beim Freigeben von Token wurde der Gesamtanteil des Pools heruntergesetzt. Der in den einzelnen Positionen gespeicherte Anteil wurde jedoch nicht entsprechend angepasst. Wurde eine Position anschließend aufgelöst, zog das System den Anteil ein zweites Mal ab. So schrumpfte der Poolanteil immer weiter. Die verbleibenden Positionen konnten dadurch mehr abheben. ⚙️
Das Geld floss über vier Bereiche ab. Am meisten auf der BNB Chain: rund 969.000 US-Dollar. Auf Ethereum waren es etwa 242.000 US-Dollar, auf der neuen Chain aus dem Broker-Umfeld rund 169.000 US-Dollar und auf Base etwa 114.000 US-Dollar. Insgesamt gab es 11 Abhebungen, bei denen 10 Token betroffen waren. 💸
Die erste erfolgreiche Abhebung erfolgte am Mittag des 14. Oktober. Bis kurz nach zwei Uhr morgens am 15. Oktober waren die Zahlen für alle vier Chains vollständig. Danach kamen noch Wallets hinzu, die den Trick kopierten, und MEV-Bots. Eine Person entdeckte die Lücke, dann stiegen viele weitere ein. Ich finde, genau diese Geschwindigkeit der Nachahmer ist am schwersten abzuwehren. Aus den ersten 86.000 US-Dollar wurden 1,49 Millionen. 🧨
Das Projektteam erklärte am 16. Oktober, dass White Hats die Gelder zurückgegeben hätten. Auch die Transaktionen im Base-Pool wurden wieder aufgenommen. Wie hoch der Nettoverlust auf den vier Chains ist, wurde bislang nicht aktualisiert. Meiner Einschätzung nach sind die 1,49 Millionen US-Dollar bei $UNCX nur eine Bruttoschätzung. Wie viel zurückgeholt werden kann, ist eine andere Frage. Die Kontostände der Inhaber betroffener Token könnten sich bereits verändert haben. 🔍
Einfach gesagt: Ein Vesting-Vertrag ist keine Cold Wallet. Er ist eine Maschine, die ständig läuft. Wenn der Code eine Lücke hat, wird der Pool zum öffentlichen Geldautomaten. Bevor ihr solche Tools nutzt, solltet ihr den Vertrag und seine Version prüfen. Bei alten Vesting-Verträgen solltet ihr besser keine großen Positionen halten. Und erteilt Berechtigungen nicht gleich in unbegrenzter Höhe. 🛠️
📌 Ein nicht sauber verwalteter Anteilscounter genügte, um auf vier Chains wiederholt 1,49 Millionen US-Dollar abzuziehen. Wie viel zurückgeholt wird, ist noch offen.
Habt ihr noch Positionen in Vesting-Tools? Schreibt es in die Kommentare.