🔓 „0 Auszahlungen“ – und trotzdem lässt sich damit die gesamte Staking-Position leeren?

Am 31. Oktober um 09:29 Uhr (UTC) wurden 91 Staking-Aufträge von b14g auf der Core-Chain in einer einzigen Transaktion von derselben Wallet vollständig geleert.

📌 Die wichtigsten Zahlen
• Der Angreifer reichte 99 Auszahlungsanfragen mit dem Betrag „0“ ein
• Insgesamt wurden 97.045.563 CORE abgezogen. Bitquery schätzt den damaligen Wert auf rund 1,47 Millionen US-Dollar
• Ursache: Der Core-Staking-Vertrag interpretierte „0 auszahlen“ als „alles auszahlen“, und b14g blockierte solche Anfragen mit einem Nullbetrag nicht
• Das Protokoll pausierte den Vertrag erst etwa 66 Minuten später
• Laut b14g befinden sich noch rund 68 Millionen CORE auf der Core-Chain; Börsen froren etwa 9 Millionen ein (die Angaben zu den eingefrorenen Beträgen lassen sich nicht allein anhand der Blockchain überprüfen)

🛡️ Auswirkungen
• Core DAO erklärte, dass der Core-Netzwerkkonsens, die Validatoren und die Staking-Verträge normal funktionieren und direktes Staking nicht betroffen ist
• Laut b14g sind die von ihnen gestakten BTC weiterhin auf der Bitcoin-Chain gesperrt und nicht betroffen
• Bitquery wies außerdem darauf hin, dass der Quellcode von b14g noch nicht vorliegt. Daher lässt sich nicht genau sagen, welche Codezeile den Fehler enthält

📊 Was wir daraus lernen können
Der Betrag ist nicht besonders hoch, doch die Schwachstelle ist äußerst grundlegend: Ein Grenzwert von „0“ kann eine vollständige Auszahlung auslösen. Die Komponierbarkeit von DeFi bedeutet, dass fehlende Eingabeprüfungen in einem Protokoll das „Standardverhalten“ eines zugrunde liegenden Vertrags zum Einfallstor für Angriffe machen können. Bevor ihr Staking- oder Restaking-Protokolle nutzt, solltet ihr nicht nur auf die Rendite, sondern auch auf Audits und Pausenmechanismen achten.

💬 Würdet ihr euch nach solchen Vorfällen aus Restaking-Protokollen zurückziehen? Diskutiert in den Kommentaren.

👉 BTC handeln: https://www.binance.com/zh-CN/trade/BTC_USDT

#B14g约9700万枚CORE遭未授权转移 #链上安全 #CORE #BTC #DeFi

⚠️ Dies stellt keine Anlageberatung dar. Bitte beachtet die Risiken.