Das Multichain-Kreditprotokoll Hundred Finance hat eine erhebliche Sicherheitsverletzung in der Ethereum-Layer-2-Blockchain Optimism erlebt. Laut dem Protokoll auf Twitter belaufen sich die Verluste auf 7,4 Millionen US-Dollar.

Hundred Finance gab den Exploit am 15. April bekannt und teilte mit, dass es den Hacker kontaktiert habe und mit verschiedenen Sicherheitsteams an dem Vorfall arbeite. Obwohl das Protokoll nicht verriet, wie der Angriff ausgeführt wurde, stellte das Blockchain-Sicherheitsunternehmen Certik fest, dass es sich um einen Flash-Loan-Angriff handelte:

#CertiKSkynetAlert Der Angreifer von @HundredFinance manipulierte den Wechselkurs zwischen ERC-20-Token und hToken, wodurch er mehr Token abheben konnte, als er ursprünglich eingezahlt hatte. Die geschätzten Verluste durch diesen Angriff liegen bei etwa 7,4 Millionen Dollar. Bleiben Sie wachsam! https://t.co/1hxAnFoNjj

— CertiK Alert (@CertiKAlert) 15. April 2023

Flash-Loan-Angriffe finden statt, wenn ein Hacker über einen Flash-Loan (eine Art unbesichertes Darlehen) eine große Summe Geld von einem Kreditprotokoll leiht. Der Hacker kombiniert dies dann mit anderen Techniken, um den Preis eines Vermögenswerts auf einer dezentralen Finanzplattform (DeFi) zu manipulieren.

Im Fall von Hundred manipulierte der Angreifer den Wechselkurs zwischen ERC-20-Token und hTOKENS, wodurch er laut Certik mehr Token abheben konnte, als ursprünglich eingezahlt wurden. Das Blockchain-Sicherheitsunternehmen führte weiter aus:

„Die Wechselkursformel wurde über den Barwert manipuliert. Der Barwert ist die Menge an WBTC, die der hBTC-Vertrag hat. Der Angreifer hat ihn manipuliert, indem er große Mengen an WBTC an den hToken-Vertrag gespendet hat, sodass der Wechselkurs steigt.“

Certik sagt, dass große Kredite zu dem manipulierten Wechselkurs aufgenommen wurden. Hundred Finance bereitet einen Obduktionsbericht über den Vorfall vor.

Dieser Angriff erfolgte fast 12 Monate, nachdem Hundred einem anderen Exploit in der Gnosis-Kette ausgesetzt war. Damals hatte der Hacker durch einen Re-Entrancy-Angriff die gesamte Liquidität des Protokolls aufgebraucht. Über 6 Millionen Dollar gingen verloren. Mit demselben Exploit stahl der Hacker auch Gelder aus dem Agave-Protokoll.

Seit letztem Jahr haben eine Reihe von Tätern Flash-Loan-Angriffe genutzt, um DeFi-Protokolle anzugreifen. Zu den jüngsten Fällen zählen Angriffe auf Euler Finance (196 Millionen US-Dollar) und Mango Markets (46 Millionen US-Dollar). Während Eulers Hack den Großteil der Gelder zurückgab, wurde Mangos Dieb von den US-Behörden festgenommen.

Magazin: Sollten Kryptoprojekte jemals mit Hackern verhandeln? Wahrscheinlich