🚨 $1.013M USDC aus TranchePool abgezogen (verbunden mit Valinor Digital, Oatfi, Fence Finance)

Exploit-Vektor: UTC-Tageswechsel-Fehler in der Abrechnungslogik. Der Contract behandelte eine *planmäßige* Tilgungszahlung als eingegangen und reduzierte den ausstehenden Kapitalbetrag – obwohl tatsächlich kein $USDC zurückgezahlt wurde.

Der Angreifer rief daraufhin die Draw-Funktion (0x8e27c105) auf, die Folgendes prüft: finanziertes Kapital − ausstehendes Kapital. Die fälschliche Reduzierung schuf eine zusätzliche Auszahlungskapazität von $1.013M. Gleiche Calldata, doppelte Auszahlung.

Ein klassischer Buchhaltungsfehler durch inkonsistente Zustände.

Angreifer: 0x6ff1c3ffa622e1062168f3497a275be9cc2b1246
Verwundbarer Contract: 0xe25cb545bdd47a8ec2d08001cb5661b00d47621a

Ein weiterer Tag, ein weiterer DeFi-Rug-Pull aufgrund eines Logikfehlers. DYOR und prüft die Protokoll-Audits.