Heute wurden bei predict.fun mehrere Konten leergeräumt. Besonders bitter: Die Betroffenen wollten eigentlich nur Punkte farmen und auf den TGE warten.
Der On-Chain-Ermittler @Naeven_ hat bislang 19 Opfer gezählt. Insgesamt wurden rund 105 ETH gestohlen, also etwa 260.000 Dollar. Das Geld wurde von der BNB Chain auf Ethereum überbrückt und anschließend direkt an Tornado Cash weitergeleitet. Ein ziemlich klassischer Ablauf.
Während ich das hier schreibe, hat das Projektteam noch keine offizielle Erklärung abgegeben. Niemand weiß, wo die Schwachstelle lag. In den Antworten behaupten manche bereits ganz selbstsicher, es sei eine PHP-Sicherheitslücke, ein Drittanbieter-Bot oder ein Frontend-Problem gewesen … Alles Spekulation, kein einziger Beleg. Verbreitet das nicht weiter.
Was ich eigentlich sagen will, ist etwas anderes: Die Plattform nutzt Privy Embedded Wallets und ZeroDev Smart-Contract-Konten. Die Registrierung ist bequem, man meldet sich mit der E-Mail-Adresse an und kann sofort loslegen – das Erlebnis ist nahtlos. Der Preis dafür: Du kannst nicht sehen, wer tatsächlich die Signaturberechtigungen kontrolliert, wozu die Sitzungsschlüssel berechtigt sind oder auf welcher Ebene etwas schiefgeht. Du glaubst, du hast die „Selbstverwahrung“ – tatsächlich ist deine Sicherheit nur so stark wie das schwächste Glied in der gesamten Plattform-Infrastruktur.
Dazu kommt, dass die Belohnungsaktion sich dem Ende nähert und die PREDICT-Pre-Market-Kontrakte bereits an Börsen gelistet sind. Niemand will ausgerechnet jetzt aussteigen, weil die Punkte in den letzten Tagen sonst möglicherweise nicht mehr durchgehend gezählt werden. Hacker wissen auch, dass der Pool zu diesem Zeitpunkt am vollsten ist und die wenigsten bereit sind zu gehen.
Für einen Airdrop ohne festgelegten Betrag echtes Geld langfristig auf einer Plattform liegen zu lassen, die nach einem Vorfall noch keine Erklärung geliefert hat – das lohnt sich einfach nicht. Solange das Team nichts klarstellt: Holt euer Geld erst einmal raus. Dann gibt es eben ein paar Punkte weniger.
#predictfun #Sicherheit
Der On-Chain-Ermittler @Naeven_ hat bislang 19 Opfer gezählt. Insgesamt wurden rund 105 ETH gestohlen, also etwa 260.000 Dollar. Das Geld wurde von der BNB Chain auf Ethereum überbrückt und anschließend direkt an Tornado Cash weitergeleitet. Ein ziemlich klassischer Ablauf.
Während ich das hier schreibe, hat das Projektteam noch keine offizielle Erklärung abgegeben. Niemand weiß, wo die Schwachstelle lag. In den Antworten behaupten manche bereits ganz selbstsicher, es sei eine PHP-Sicherheitslücke, ein Drittanbieter-Bot oder ein Frontend-Problem gewesen … Alles Spekulation, kein einziger Beleg. Verbreitet das nicht weiter.
Was ich eigentlich sagen will, ist etwas anderes: Die Plattform nutzt Privy Embedded Wallets und ZeroDev Smart-Contract-Konten. Die Registrierung ist bequem, man meldet sich mit der E-Mail-Adresse an und kann sofort loslegen – das Erlebnis ist nahtlos. Der Preis dafür: Du kannst nicht sehen, wer tatsächlich die Signaturberechtigungen kontrolliert, wozu die Sitzungsschlüssel berechtigt sind oder auf welcher Ebene etwas schiefgeht. Du glaubst, du hast die „Selbstverwahrung“ – tatsächlich ist deine Sicherheit nur so stark wie das schwächste Glied in der gesamten Plattform-Infrastruktur.
Dazu kommt, dass die Belohnungsaktion sich dem Ende nähert und die PREDICT-Pre-Market-Kontrakte bereits an Börsen gelistet sind. Niemand will ausgerechnet jetzt aussteigen, weil die Punkte in den letzten Tagen sonst möglicherweise nicht mehr durchgehend gezählt werden. Hacker wissen auch, dass der Pool zu diesem Zeitpunkt am vollsten ist und die wenigsten bereit sind zu gehen.
Für einen Airdrop ohne festgelegten Betrag echtes Geld langfristig auf einer Plattform liegen zu lassen, die nach einem Vorfall noch keine Erklärung geliefert hat – das lohnt sich einfach nicht. Solange das Team nichts klarstellt: Holt euer Geld erst einmal raus. Dann gibt es eben ein paar Punkte weniger.
#predictfun #Sicherheit