Der White-Hat-MEV-Bot-Betreiber „c0ffebabe.eth“ sicherte sich im Curve-Exploit Gelder und gab sie später an Curve Finance zurück.

In einem lobenswerten Akt des ethischen Hackens gab ein MEV-Bot-Betreiber mit dem ENS-Namen „c0ffeebabe.eth“ nach dem Curve Finance-Exploit 2.879 ETH (ungefähr 5,4 Millionen US-Dollar) zurück. Die Mittel wurden aus dem CRV-ETH-Liquiditätspool entnommen.

Curve Finance wurde gestern Opfer eines schwerwiegenden Hacks, der in zwei getrennten Phasen stattfand. Zunächst wurden aufgrund einer Reentrancy-Schwachstelle in den Factory-Pools schätzungsweise 26 Millionen US-Dollar unterschlagen, was verschiedene Projekte betraf, darunter JPEG'd, Metronome und Alchemix.

Auf den ersten Angriff folgte eine zweite Phase, in der 7,1 Millionen CRV (4,4 Millionen US-Dollar) und 7.680 Wrapped Ether (14,37 Millionen US-Dollar) aus dem CRV-ETH-Pool von Curve Finance abgezogen wurden. Mithilfe eines MEV-Bots konnte der ethische Hacker „c0ffeebabe.eth“ einem böswilligen Angreifer geschickt zuvorkommen und die oben genannten 2.879 ETH während der zweiten Phase schützen. Die Gelder wurden anschließend von „c0ffeebabe.eth“ an die Deployer-Adresse von Curve zurückgegeben, vermutlich an den rechtmäßigen Eigentümer.

Code-Schwachstelle auf dem Prüfstand:
Der Curve-Vorfall wurde durch eine Schwachstelle in einer veralteten Version der Programmiersprache Vyper ausgelöst, die zu Reentrancy-Problemen im Smart-Code von Curve führte. Dieser Fehler ermöglichte es Angreifern, Gelder aus mehreren Projekten abzuzweigen.

Die Gesamtsumme der Vermögenswerte, die aufgrund dieser Sicherheitslücke und nachfolgender böswilliger Aktivitäten aus Curve-Pools extrahiert wurden, wurde von der Sicherheitsfirma PeckShield auf unglaubliche 52 Millionen US-Dollar geschätzt. Nach der Rückkehr von „c0ffebabe.eth“ würde dieser Betrag jedoch auf 46,5 Millionen US-Dollar geschätzt werden.

Nach dem Angriff brach der Total Value Locked (TVL) von Curve Finance dramatisch ein. Laut DefiLlama-Daten fiel er von 3,26 Milliarden Dollar am 30. Juli auf 1,74 Milliarden Dollar, was einem Rückgang von fast 46 % innerhalb von 24 Stunden entspricht.