Mehrere stabile Pools auf Curve Finance wurden für über 26 Millionen US-Dollar in wETH und CRV genutzt.
Die betroffenen stabilen Pools verwendeten Vyper, das über eine fehlerhafte Reentrancy-Sperre verfügte.
Auf den Exploit folgte ein zweiter Angriff auf den CRV/ETH-Pool, der zu einem Abfluss von weiteren 14 Millionen US-Dollar führte.
Der native Token CRV verlor mehr als 19 % seines Wertes und erreichte ein Vierwochentief von 0,61 $.
Das führende DeFi-Protokoll Curve Finance wurde heute zum Ziel mehrerer Angriffe, bei denen Angreifer drei stabile Pools angriffen, was zu einem Abfluss von mehr als 40 Millionen US-Dollar führte. Der erste Angriff zielte auf die Fabrikpools von Alchemix, Metronome und JPEGd, die alle unter einer Sicherheitslücke namens Reentrancy-Schwachstelle litten.
Whitehat-Operation durch zweiten Curve-Finance-Exploit beendet
Laut Daten, die von der Blockchain-Sicherheitsfirma Ancilia zusammengestellt wurden, verwendeten die betroffenen stabilen Pools, nämlich alETH, msETH und pETH, alle eine Pythonic Smart Contract Language namens Vyper. Die Versionen 0.2.15, 0.2.16 und 0.3.0 von Vyper waren Berichten zufolge anfällig für fehlerhafte Reentrancy-Locks, die es dem Hacker ermöglichten, wiederholt Geld aus dem Smart Contract abzuheben.
Dem Angreifer gelang es, Alchemix im Wert von 13,6 Millionen US-Dollar auszunutzen, während das NFT-Kreditprotokoll JPEGd 11,4 Millionen US-Dollar verlor. 1,6 Millionen US-Dollar wurden aus dem sETH-ETH-f-Pool von Metronome DAO abgezogen. Die mit allen drei Projekten verbundenen Token erlebten nach den Exploits einen deutlichen Abwärtstrend.
Kurz nachdem Berichte über die Exploits die Krypto-Community auf Twitter überfluteten, wurde eine White-Rettungsaktion angekündigt. Curve Finance versicherte der Community, dass crvUSD-Verträge und zugehörige Pools von den Angriffen nicht betroffen seien. Das DeFi-Protokoll wies außerdem alle betroffenen Parteien an, sich mit den White-Hat-Bemühungen abzustimmen.
CRV/ETH-Pool wurde Minuten vor einer Whitehack-Operation geleert :(https://t.co/rhALBzkTEi
– banteg (@bantg) 30. Juli 2023
Bevor die White-Hat-Operation jedoch die Sicherheit der Gelder gewährleisten konnte, wurde ein weiterer Angriff auf den CRV/ETH-Pool durchgeführt. Daten von Etherscan zeigten, dass der Angreifer bei dem Exploit 7 Millionen Curve DAO Tokens (CRV) und Wrapped Ether (wETH) im Wert von 14 Millionen US-Dollar abgezogen hat. Das bei diesem Exploit verwendete Wallet wurde Berichten zufolge von Binance finanziert. Der jüngste Exploit brachte den Gesamtverlust auf über 46 Millionen US-Dollar.
Die Flut an Exploits hatte erhebliche Auswirkungen auf die Token der betroffenen Projekte. CRV verlor mehr als 19 % seines Wertes und erreichte ein Vierwochentief von 0,61 $. Zum Zeitpunkt des Schreibens wurde der Token bei 0,63 $ gehandelt.