Letzte Woche wurde nicht nur Binance gehackt – auch drei andere Projekte, die kaum jemand beachtet hat!
Der Binance-Hack über 6,3 Milliarden US-Dollar beherrschte die Schlagzeilen. Doch in derselben Woche wurden mindestens drei weitere Projekte gehackt – die Summen waren jeweils kleiner und die Aufmerksamkeit dafür umso geringer.
Hier zunächst die Zahlen im Überblick:
Binance, 29. Oktober: rund 6,3 Milliarden US-Dollar.
Unleash Protocol, ebenfalls um den 29. Oktober: rund 3,9 Millionen US-Dollar. Der Angreifer nutzte eine Schwachstelle in der Multisig-Governance aus, verschaffte sich Admin-Rechte und spielte ein vom Team nicht genehmigtes Vertragsupdate ein. Anschließend zog er das Geld direkt ab; 1337 ETH wurden an Tornado Cash überwiesen.
Troves, 31. Oktober: 8,6 BTC, rund 670.000 US-Dollar. Der alte Rebalancing-Vertrag war längst ersetzt worden, doch man hatte vergessen, seine Berechtigungen zu widerrufen. Durch diese offene Tür kam der Angreifer herein. Das Team entzog ihm innerhalb von 40 Minuten die Berechtigungen, schickte anschließend eine On-Chain-Nachricht mit der Bitte um Rückgabe des Geldes und bot 1 WBTC als Kopfgeld.
Premia Labs, 1. November: rund 464.000 US-Dollar (laut PeckShield). Der Angreifer erstellte einen leeren Optionspool, kaufte mit einem Flash Loan Optionen und sperrte damit die Sicherheiten von sechs Vaults ein, um sie anschließend als Liquidität abzuziehen. Der gesamte TVL auf Arbitrum betrug nur rund 530.000 US-Dollar – damit wurde fast neun Zehntel auf einen Schlag abgeräumt. Der gestohlene Betrag war größer als die Marktkapitalisierung des eigenen Tokens.
Laut PeckShield gab es im Oktober branchenweit 56 größere Angriffe mit einem Gesamtschaden von 6,48 Milliarden US-Dollar – allein auf den Binance-Hack entfielen rund 97 %. Die übrigen 55 Fälle summierten sich auf rund 180 Millionen US-Dollar und gingen in einzelnen Eilmeldungen unter, die kaum jemand weiterverbreitete.
Gehackt zu werden bedeutet nicht für alle dasselbe: Binance sagte, es werde den Schaden selbst tragen, und habe die Mittel bereits zu rund 95 % wieder aufgefüllt. Troves konnte nur 1 BTC anbieten und den Hacker um Gnade bitten. Und Premia hat bis heute nicht gesagt, ob es die Betroffenen entschädigen wird.
Ich habe bei diesen drei Projekten kein Geld angelegt; meine Coins liegen alle bei Binance. Dieser Artikel ist also kein unbeteiligter Kommentar aus sicherer Entfernung: Dass eine große Börse diesmal für den Schaden aufkommen kann, liegt an ihren tiefen Taschen. In diesen Vaults liegen die Sicherheiten ganz gewöhnlicher Nutzer wie ich. Wenn ihr das nächste Mal einen besonders verlockenden Jahreszins seht, stellt euch zuerst drei Fragen: Wurden die Berechtigungen des alten Vertrags entfernt? Wer verwaltet die Multisig? Und wer kommt im Schadensfall dafür auf?
Der Jahreszins ist klar ausgewiesen. Sicherheit ist es nie.
$BTC #安全 #链上数据
Der Binance-Hack über 6,3 Milliarden US-Dollar beherrschte die Schlagzeilen. Doch in derselben Woche wurden mindestens drei weitere Projekte gehackt – die Summen waren jeweils kleiner und die Aufmerksamkeit dafür umso geringer.
Hier zunächst die Zahlen im Überblick:
Binance, 29. Oktober: rund 6,3 Milliarden US-Dollar.
Unleash Protocol, ebenfalls um den 29. Oktober: rund 3,9 Millionen US-Dollar. Der Angreifer nutzte eine Schwachstelle in der Multisig-Governance aus, verschaffte sich Admin-Rechte und spielte ein vom Team nicht genehmigtes Vertragsupdate ein. Anschließend zog er das Geld direkt ab; 1337 ETH wurden an Tornado Cash überwiesen.
Troves, 31. Oktober: 8,6 BTC, rund 670.000 US-Dollar. Der alte Rebalancing-Vertrag war längst ersetzt worden, doch man hatte vergessen, seine Berechtigungen zu widerrufen. Durch diese offene Tür kam der Angreifer herein. Das Team entzog ihm innerhalb von 40 Minuten die Berechtigungen, schickte anschließend eine On-Chain-Nachricht mit der Bitte um Rückgabe des Geldes und bot 1 WBTC als Kopfgeld.
Premia Labs, 1. November: rund 464.000 US-Dollar (laut PeckShield). Der Angreifer erstellte einen leeren Optionspool, kaufte mit einem Flash Loan Optionen und sperrte damit die Sicherheiten von sechs Vaults ein, um sie anschließend als Liquidität abzuziehen. Der gesamte TVL auf Arbitrum betrug nur rund 530.000 US-Dollar – damit wurde fast neun Zehntel auf einen Schlag abgeräumt. Der gestohlene Betrag war größer als die Marktkapitalisierung des eigenen Tokens.
Laut PeckShield gab es im Oktober branchenweit 56 größere Angriffe mit einem Gesamtschaden von 6,48 Milliarden US-Dollar – allein auf den Binance-Hack entfielen rund 97 %. Die übrigen 55 Fälle summierten sich auf rund 180 Millionen US-Dollar und gingen in einzelnen Eilmeldungen unter, die kaum jemand weiterverbreitete.
Gehackt zu werden bedeutet nicht für alle dasselbe: Binance sagte, es werde den Schaden selbst tragen, und habe die Mittel bereits zu rund 95 % wieder aufgefüllt. Troves konnte nur 1 BTC anbieten und den Hacker um Gnade bitten. Und Premia hat bis heute nicht gesagt, ob es die Betroffenen entschädigen wird.
Ich habe bei diesen drei Projekten kein Geld angelegt; meine Coins liegen alle bei Binance. Dieser Artikel ist also kein unbeteiligter Kommentar aus sicherer Entfernung: Dass eine große Börse diesmal für den Schaden aufkommen kann, liegt an ihren tiefen Taschen. In diesen Vaults liegen die Sicherheiten ganz gewöhnlicher Nutzer wie ich. Wenn ihr das nächste Mal einen besonders verlockenden Jahreszins seht, stellt euch zuerst drei Fragen: Wurden die Berechtigungen des alten Vertrags entfernt? Wer verwaltet die Multisig? Und wer kommt im Schadensfall dafür auf?
Der Jahreszins ist klar ausgewiesen. Sicherheit ist es nie.
$BTC #安全 #链上数据
