Schon wieder wurde ein „Tranche-Yield-Vault“ mit zwei Flash-Loan-Transaktionen leergeräumt. Diesmal traf es den Tranche Vault auf Avalanche, der mit Fence Finance und Valinor Digital in Verbindung steht. Laut Blockaid beläuft sich der Schaden auf rund 1,01 Millionen USDC.
Die Methode ist alles andere als neu: Mit einem Flash Loan Geld in den Vault bringen, damit überbewertete Tranche-Anteile prägen und diese Anteile dann einlösen, um die verbliebenen USDC aus dem Vault abzuziehen. Jemand hat die Transaktionen nachverfolgt: um 23:56 UTC wurden Anteile geprägt, um 00:00 UTC wurden sie eingelöst – dazwischen lagen gerade einmal vier Minuten. Laut Arkham landeten 1.013.353,61 USDC in der Wallet des Angreifers. The Defiant zufolge haben sie die Contract-Bestände geprüft: Kein einziger USDC war übrig.
Was mich wirklich an dem Begriff „Tranche“ stört: Die Geschichte, die man dir dazu verkauft, lautet: vorrangige und nachrangige Tranchen, Risiken sauber getrennt, die konservativen Anleger bekommen etwas Sicheres. Wenn der Anteilspreis aber schon durch einen einzigen Flash Loan aus dem Gleichgewicht gebracht werden kann – was wird hier dann eigentlich getrennt? Wenn die Preisbildung des Basiswerts nicht gegen Manipulation innerhalb desselben Blocks geschützt ist, ist die angeblich vorrangige Tranche bloß die erste, die leergeräumt wird.
Und dann noch die Haltung des Teams. Bis zum Mittag schrieben noch jede Menge Accounts: „Keine Stellungnahme des Teams, kein Wiederherstellungsplan.“ Beim Einzahlen wird die APY lauter angepriesen als von allen anderen, aber wenn etwas schiefgeht, ist es auf Twitter stiller als bei allen anderen.
Ein On-Chain-Detektiv-Account hat außerdem einen langen Thread veröffentlicht. Darin heißt es, die Gelder seien von KuCoin eingezahlt worden, man habe zunächst einen Probelauf gemacht, dann zugeschlagen und die Gelder schließlich per CCTP nach Solana transferiert. Das wurde von ihnen selbst als „verified“ gekennzeichnet. Unabhängig überprüfen kann ich es nicht – also betrachtet es einfach als Hinweis.
Bevor ihr U in so einen kleinen Vault steckt, um die Jahresrendite mitzunehmen, fragt erst einmal: Wer berechnet den Anteilspreis, und kann eine einzige Transaktion ihn aus dem Gleichgewicht bringen? Wenn darauf niemand eine Antwort hat, ist diese APY ohnehin für jemand anderen gedacht.
#DeFi安全 #Avalanche
Die Methode ist alles andere als neu: Mit einem Flash Loan Geld in den Vault bringen, damit überbewertete Tranche-Anteile prägen und diese Anteile dann einlösen, um die verbliebenen USDC aus dem Vault abzuziehen. Jemand hat die Transaktionen nachverfolgt: um 23:56 UTC wurden Anteile geprägt, um 00:00 UTC wurden sie eingelöst – dazwischen lagen gerade einmal vier Minuten. Laut Arkham landeten 1.013.353,61 USDC in der Wallet des Angreifers. The Defiant zufolge haben sie die Contract-Bestände geprüft: Kein einziger USDC war übrig.
Was mich wirklich an dem Begriff „Tranche“ stört: Die Geschichte, die man dir dazu verkauft, lautet: vorrangige und nachrangige Tranchen, Risiken sauber getrennt, die konservativen Anleger bekommen etwas Sicheres. Wenn der Anteilspreis aber schon durch einen einzigen Flash Loan aus dem Gleichgewicht gebracht werden kann – was wird hier dann eigentlich getrennt? Wenn die Preisbildung des Basiswerts nicht gegen Manipulation innerhalb desselben Blocks geschützt ist, ist die angeblich vorrangige Tranche bloß die erste, die leergeräumt wird.
Und dann noch die Haltung des Teams. Bis zum Mittag schrieben noch jede Menge Accounts: „Keine Stellungnahme des Teams, kein Wiederherstellungsplan.“ Beim Einzahlen wird die APY lauter angepriesen als von allen anderen, aber wenn etwas schiefgeht, ist es auf Twitter stiller als bei allen anderen.
Ein On-Chain-Detektiv-Account hat außerdem einen langen Thread veröffentlicht. Darin heißt es, die Gelder seien von KuCoin eingezahlt worden, man habe zunächst einen Probelauf gemacht, dann zugeschlagen und die Gelder schließlich per CCTP nach Solana transferiert. Das wurde von ihnen selbst als „verified“ gekennzeichnet. Unabhängig überprüfen kann ich es nicht – also betrachtet es einfach als Hinweis.
Bevor ihr U in so einen kleinen Vault steckt, um die Jahresrendite mitzunehmen, fragt erst einmal: Wer berechnet den Anteilspreis, und kann eine einzige Transaktion ihn aus dem Gleichgewicht bringen? Wenn darauf niemand eine Antwort hat, ist diese APY ohnehin für jemand anderen gedacht.
#DeFi安全 #Avalanche