Sentiment, eine dezentralisierte Finanzplattform (DeFi), die Kredit- und Darlehensdienste im Layer-2-Netzwerk von Arbitrum anbietet, wurde am 4. April Opfer eines böswilligen Angriffs, der zu einem Verlust von fast 1 Million US-Dollar führte.
Der Angreifer nutzte einen Reentrancy-Bug in Balancer, einem Liquiditätsprotokoll, in das Sentiment integriert ist, um betrügerische Transaktionen auszuführen und Gelder von der Plattform abzuziehen.
Dem offiziellen Twitter-Account von Sentiment zufolge bemerkte das Team am 4. April gegen 18:00 UTC eine ungewöhnliche Kreditaktivität und setzte den Hauptvertrag sofort aus, um weitere Verluste zu vermeiden.
Das Team nahm außerdem die Hilfe externer Sicherheitsexperten von PeckShield in Anspruch, die die Art und das Ausmaß des Angriffs bestätigten und einen Fix für die Sicherheitslücke bereitstellten.
1/4Ein Statusupdate zur aktuellen Situation: Gegen 18:00:00 Uhr +UTC wurde dem Sentiment-Team eine ungewöhnliche Kreditaktivität aufgefallen, die nun als böswilliger Exploit deklariert wurde.
– Sentiment (@sentimentxyz), 5. April 2023
Sentiment teilte mit, dass die Benutzer nun ihre Schulden zurückzahlen und ihre Gelder abheben können. Außerdem arbeite man mit den Strafverfolgungsbehörden und anderen Parteien zusammen, um den Hacker aufzuspüren und die gestohlenen Krypto-Assets wiederzuerlangen.
Das könnte Sie auch interessieren: DeFi-Protokoll Euler Finance wird Opfer eines Hacks im Wert von 197 Millionen US-Dollar
Der Sicherheitsberater der Plattform, PeckShield, veröffentlichte auf seinem Blog eine detaillierte Analyse des Exploits und erklärte, wie der Angreifer einen View-Reentrancy-Bug in Balancer ausnutzte, um Pool-Guthaben zu manipulieren und seine Kredite bei Sentiment überzubesichern.
Laut Peckshield nutzte der Angreifer dann Blitzkredite, um große Mengen an Token von Sentiment zu leihen und zu liquidieren, und erbeutete Kryptowährungen im Wert von etwa 1 Million US-Dollar.
Die Grundursache ist bekanntlich die schreibgeschützte Wiedereintrittsmöglichkeit von Balancer: https://t.co/ynuWr6PZMR. Hier ist die zugehörige tx: https://t.co/iqvS48njau https://t.co/Mxkc1xoJn5 pic.twitter.com/IPzmtLKrBx
— PeckShield Inc. (@peckshield) 5. April 2023
DeFi-Exploits auf dem Vormarsch
Der Angriff auf Sentiment ist der jüngste in einer Reihe von Diebstählen, die auf DeFi-Plattformen abzielen. Am 13. März war Euler Finance Opfer eines Flash-Loan-Angriffs, der zum Verlust von digitalen Vermögenswerten im Wert von 197 Millionen US-Dollar führte.
Peckshields Analyse des Angriffs ergab, dass der Angreifer einen Fehler in der Spenden- und Liquidationslogik von Euler Finance ausnutzte, um das Geld zu stehlen.
Der Hacker gab das gestohlene Geld jedoch nach wochenlanger Aufregung zurück, zu der auch ein Kopfgeldangebot in Millionenhöhe von Euler, die Androhung rechtlicher Schritte und ein reumütiges Geständnis des Täters gehörten.
Diese Angriffe haben die Sicherheitsrisiken für DeFi-Plattformen verstärkt, vor allem wenn sie auf externen Protokollen basieren, die möglicherweise versteckte Mängel oder Schwachstellen aufweisen.
Die Kryptoindustrie hat im Jahr 2022 mehr als 3 Milliarden Dollar an Hacker und Betrüger verloren, und in diesem Jahr kam es zu einem Wiederaufleben solcher Raubüberfälle und Diebstähle. Allein im letzten Monat haben Hacker, wie crypto.news berichtete, über 21 Millionen Dollar aus DeFi-Protokollen gestohlen.
Weiterlesen: Paxful setzt Marktplatz aus, kehrt möglicherweise nicht zurück