Am 16. Mai um 15:21 Uhr wurde Solanas Pump.fun-Ökosystem, die Meme-Währungsplattform, ausgenutzt. Der Vorfall führte zu einem Verlust von etwa 12.300 SOL, was bei aktuellen Marktpreisen einem Wert von fast 2 Millionen US-Dollar entspricht.
Angreifer nutzten die Flash-Darlehensmanipulationsplattform von Margin.fi aus, um an SOL zu gelangen und Pump.fun-Tokens zu kaufen, ohne ihr eigenes Geld zu verwenden. Dieser neueste Exploit hat Schockwellen durch die Kryptowährungs-Community ausgelöst.
Den Angreifer von innen finden: Pump.fun-Sicherheitslücke
Der Angreifer, der zunächst anhand der Wallet-Adresse 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP identifiziert wurde, nutzte Pump.fun aus, indem er innerhalb von Minuten alle Token für neue Projekte kaufte, die auf der Plattform gestartet wurden. Diese Aktion brachte die Bindungskurve an ihre Grenzen.
In der Welt des dezentralen Finanzwesens (DeFi) ist eine Bonding-Kurve ein intelligenter Vertrag, der einen Markt für Token schafft, ohne auf eine Kryptowährungsbörse angewiesen zu sein. Wie erwartet verhinderte diese Manipulation, dass der Token an der dezentralen Börse Raydium DEX von Solana gelistet wurde.
Als Reaktion auf den Angriff verbesserte pump.fun seinen Vertrag, um eine weitere Verschlechterung zu verhindern. Darüber hinaus hat das Team den Handel ausgesetzt und den Benutzern versichert, dass der Total Value Locked (TVL) des Protokolls sicher ist.
„Wir sind bestrebt, die Sicherheit unserer Benutzer zu gewährleisten und arbeiten mit relevanten Parteien, einschließlich der Strafverfolgungsbehörden, zusammen, um Schäden zu minimieren“, sagte das Team.
Interessanterweise handelt es sich bei dem Angreifer um Jarrett, einen ehemaligen Pump.fun-Mitarbeiter, der unter dem Pseudonym STACCOverflow auftritt. Jarrett nutzte die sozialen Medien, um seine Unzufriedenheit mit dem Unternehmen zum Ausdruck zu bringen und sagte, er beabsichtige, die Plattform zu stören.
„Der gruselige Chef, der sieht, wie Sie sich die Hand brechen und Sie fragt, was passiert ist und Sie sagen, Sie seien über einen Glastisch gestolpert, wird sagen: ‚Ist der Tisch in Ordnung?‘“, schrieb Jarrett nach dem Angriff. Keine hilfreiche Person für Blockchain. "
Er stellte klar, dass er einen Plan habe, „den Lauf der Geschichte zu ändern“. Darüber hinaus sagte er, er habe keine Angst davor, ins Gefängnis zu gehen.
In einem anderen Beitrag erklärte Jarrett außerdem, dass er seine Beute per Luftabwurf an verschiedene Communities verteilen werde, darunter Slerf, Stacc, Saga und Risklol. Aufgrund seiner Entscheidung, einen Airdrop durchzuführen, nannten ihn einige in der Krypto-Community „Web3 Robinhood“.
Ungefähr fünf Stunden nach der ersten Ankündigung veröffentlichte pump.fun eine Obduktion. Sie setzten den Vertrag neu um und nahmen den Handel mit 0 % Gebühren für die nächsten 7 Tage wieder auf. Sie arbeiten außerdem daran, einen Liquiditätspool (LP) für die betroffenen Token einzurichten, um die Handelsfunktionalität wiederherzustellen.
„Token, die zwischen 15:21 und 17:00 Uhr 100 % erreicht haben, sind in der Schwebe, was bedeutet, dass niemand sie handeln kann, bis LP für sie auf Raydium bereitgestellt wird. Um die Benutzer intakt zu halten, wird das pump.fun-Team LP in den nächsten 24 Jahren hinzufügen.“ Stunden für jeden betroffenen Token mit einem SOL-Liquiditätsbetrag, der mindestens der Liquidität dieses Tokens um 15:21 UTC entspricht.