Vier Angriffe in drei Tagen: Der Markt steigt, Hacker sind beschäftigter denn je

Jetzt geht es nicht mehr um die Erzählung, sondern darum, wer prägen kann, wer Parameter ändern kann und ob jemand auf die Vorschläge achtet, während sie auf der Blockchain stehen.

Verfasser: Maher, Foresight News

In weniger als einer Woche wurden drei Krypto-Protokolle zum Ziel von Angreifern.

Am 20. August stellte die Zahlungs-Blockchain Keeta Network ihr Hauptnetz auf den Nur-Lese-Modus um und gab an, dass ein einzelnes Bauteil ein Sicherheitsproblem aufwies. Daraufhin forderte sie die Angreifer auf, innerhalb von 72 Stunden die Gelder zurückzugeben; am 22. August wurde das Metaverse-Projekt The Sandbox Opfer eines Cross-Chain-Prägungsangriffs, bei dem die Angreifer auf Base und BNB Chain eine große Menge SAND prägten. Das Projektteam unterbrach die Brücken zwischen den beiden Chains, und Sicherheitsbehörden schätzten, dass etwa 670.000 US-Dollar an Reserven tatsächlich abgezogen wurden; am 23. August wurde das feste Zinssatz-Kreditprotokoll Term Finance aufgrund der Ausführung eines Governance-Vorschlags angegriffen, wobei etwa 2843 ETH und 1,68 Millionen USDC aus der Schatzkammer abgezogen wurden, was einem Verlust von etwa 8,5 Millionen US-Dollar entspricht.

Die drei Vorfälle sind unabhängig voneinander, die Angriffswege sind unterschiedlich, aber sie fanden alle in derselben Woche statt.

Keeta: Hauptnetz auf Nur-Lese-Modus gesetzt

Keeta ist eine Zahlungs-Blockchain. Ihr Mitbegründer und CEO Ty (X-Konto @schenkty) erklärte in einem Update am 20. August, dass die Ursache des Sicherheitsvorfalls gefunden wurde und das Problem auf das betroffene Bauteil beschränkt sei, ohne das Ankersystem und externe Verbindungssysteme zu betreffen; die auf Base bereitgestellte KTA sei nicht betroffen.

Als Vorsichtsmaßnahme wurde das Hauptnetz in den Nur-Lese-Modus versetzt, bis die Patches getestet und zusätzliche Sicherheitsmaßnahmen implementiert sind. Das Team erklärte auch, dass es evaluiert, wie betroffene Nutzer vollständig entschädigt werden können, und dass strategische Reserven im Bedarfsfall die verlorenen Gelder abdecken können.

Offiziell wurde die geprüfte „Gesamtmenge der gestohlenen Gelder“ noch nicht veröffentlicht. Lookonchain überwachte jedoch eine neue Adresse, die über die Cross-Chain-Brücke etwa 9,3 Millionen KTA (damals etwa 685.000 US-Dollar) sowie etwa 2 Milliarden GALA erhielt, die dann verkauft wurden, um etwa 1902 ETH (ca. 3,64 Millionen US-Dollar) zu erhalten.

Am 19. August fiel der Preis von KTA von einem Höchststand von 0,09 US-Dollar auf einen Tiefststand von 0,05 US-Dollar, was einem Rückgang von etwa 37 % entspricht, und liegt derzeit bei 0,077 US-Dollar.

Am 22. August gab Ty erneut eine Erklärung ab, in der er erklärte, dass die Untersuchung wesentliche Fortschritte gemacht habe und Beweise gesammelt wurden, die auf die Angreifer hinweisen, einschließlich der IP-Adressen, der verwendeten VPNs und VPSs, der Benutzeragenten und technischen Umgebungen bei unautorisierten Anfragen, der zugehörigen E-Mail-Adressen sowie Informationen zu Software- und Infrastruktur-Anbietern; die Beweise wurden gesichert und den zuständigen Stellen übergeben. In der Erklärung wurde gefordert, dass die Gegenpartei innerhalb von 72 Stunden alle Erträge zurückgeben soll, entweder in KTA, ETH oder USDC an die Base-Adresse. Bei vollständiger Rückgabe ist Keeta bereit, über eine Bug-Bounty zu diskutieren und die Angelegenheit ohne rechtliche Konsequenzen zu klären; bei Überschreitung der Frist behält man sich rechtliche Schritte und die Rückforderung der Gelder vor.

Ein vollständiger technischer Bericht wird nach der Untersuchung veröffentlicht. Bis zum 24. August bleibt das Hauptnetz im Nur-Lese-Modus, die Entschädigungsdetails wurden noch nicht veröffentlicht, und es ist unklar, ob das 72-Stunden-Fenster erfüllt wird.

Die Lehre aus diesem Vorfall ist nicht kompliziert: Wenn die Anwendungskette „wer kann Berechtigungen ändern“ als standardmäßig locker oder umgehbar festlegt, kommt oft die Stilllegung schneller als der Patch. Keeta wählte es, einige off-chain Hinweise öffentlich zu machen und eine Rückgabefrist festzulegen, was in den letzten Jahren bei Diebstahlfällen nicht häufig vorkam, aber ob das Geld zurückfließt und ob der Bericht mit der Blockchain übereinstimmt, ist der Maßstab zur Überprüfung dieser Vorgehensweise.

The Sandbox: Falsche Münzen in astronomischen Zahlen geprägt

Am 22. August wurde der Cross-Chain-Vertrag von SAND, der auf Base bereitgestellt wurde, angegriffen. Die Angreifer erlangten durch approveAndCall die Vertretungsrechte von LayerZero und prägten weiterhin SAND, ohne dass eine Sicherstellung im Ethereum-Hauptnetz erforderlich war, was auch die BNB Chain betraf. Die Kernschicht des LayerZero-Protokolls wurde nicht gehackt.

Das Projektteam unterbrach sofort die bidirektionale Brücke zu Base und BNB Chain. Die nominelle Ausgabe wurde mit etwa 14,9 Milliarden angegeben, der nominelle Spot-Exposure betrug mehrere hundert Millionen US-Dollar, tatsächlich wurden aus den Ethereum-Reserven etwa 14,75 Millionen SAND und etwa 80 ETH abgezogen und in etwa 670.000 US-Dollar umgewandelt. SAND auf Ethereum und Polygon, Benutzer-Wallets und Hauptnetz-Sicherheiten wurden vom Projektteam als nicht betroffen erklärt.

Der Cross-Chain-Vertrag von SAND verwendet LayerZeros OFT: Die Prägung auf der anderen Seite sollte der Hauptnetz-Sperre entsprechen, und die Knotenvertreter entscheiden, wer auf der Zielkette minten kann. Die Schwachstelle lag im approveAndCall-Vertrag des Projektteams, der verwendet wurde, um die Delegationsrechte zu ändern, wodurch die gefälschte Cross-Chain-Prägung wirksam wurde.

Offiziell wurde erklärt, dass die Schwachstelle unter Kontrolle ist und weniger als 0,01 % des Gesamtangebots betroffen sind, und die Investoren wurden gewarnt, SAND nicht auf Base oder BSC zu handeln. Die Börsen Upbit und Bithumb haben bereits Einzahlungen und Abhebungen ausgesetzt.

Zum Zeitpunkt der Veröffentlichung fiel der Preis von SAND von 0,05 US-Dollar auf 0,045 US-Dollar.

Term Finance ist ein Kreditprotokoll mit festem Zinssatz auf Ethereum. Am 23. August wurde eine Ethereum-Transaktion ausgeführt, die einen Governance-Vorschlag umsetzte, der etwa sechs Tage lang auf der Blockchain veröffentlicht war. Die Ablehnungsstimmen auf der Abstimmungsseite betrugen null. Der Vorschlag beinhaltete die Schließung der ursprünglich etwa 7-tägigen Handelsabkühlung (timelock), gefolgt von der Abhebung von etwa 2842 WETH aus dem ETH Meta Vault.

Etwa 20 Minuten später wurde eine zweite Transaktion von fünf USDC-Schatzkammern durchgeführt, bei der etwa 1,68 Millionen USDC abgezogen und in DAI umgewandelt wurden. PeckShield schätzte, dass die Angreifer etwa 2843 ETH (damals etwa 6,9 Millionen US-Dollar) und 1,68 Millionen USDC abgezogen haben.

Dieser Vorfall war kein Re-Entrancy-Angriff auf den Smart Contract und auch keine Manipulation des Orakels, sondern die Governance folgte dem Protokolldesign „Einreichen - Warten - Keine Ablehnungen - Ausführen“. Externe Analysen besagen, dass die Angreifer in einem Szenario mit geringer Verbreitung der Governance-Token nahezu alle Stimmen des USDC-Strategiefonds und etwa 90 % der Kontrolle über den ETH Meta Vault erlangten und dann die abgezogenen Gelder als eine wirksame Governance-Aktion schrieben.

Bis jetzt hat Term Labs erklärt, dass alle Term Meta Vaults geschlossen wurden, die DAO-Governance-Rolle zurückgezogen wurde, diese Schließung irreversibel ist und weitere Einzahlungen dauerhaft verboten sind. Abhebungen sind weiterhin möglich. Offiziell wurde erklärt, dass gemäß der aktuellen Untersuchung das zugrunde liegende Term-Protokoll und der direkte Kreditmarkt nicht betroffen sind und dass man mit externen Sicherheitsteams zusammenarbeitet, um Maßnahmen zur Behebung und Wiederherstellung zu koordinieren.

Governance-Angriffe sind in den letzten Jahren nicht selten geworden. Wenn die Stimmrechte konzentriert sind und die Wahlbeteiligung niedrig ist, sind solche Angriffe besonders effektiv.

Im Juli dieses Jahres wurde der BonkDAO-Fonds von einem böswilligen Governance-Vorschlag angegriffen, bei dem Token im Wert von etwa 20 Millionen US-Dollar gestohlen wurden. Die Adresse des Angreifers hatte vor der Einreichung des Vorschlags über eine CEX-Wallet BONK gekauft, dann die Abstimmung manipuliert und schließlich große Geldbeträge gemäß dem Governance-Prozess „öffentlich“ abgezogen.

Keeta hat das gesamte Hauptnetz gestoppt, die Berechtigungen der Komponenten wurden zuerst geschlossen, gefolgt von Entschädigungen und der 72-Stunden-Rückforderung. Sandbox hat die Brücke unterbrochen, auf dem Papier kann man astronomische Beträge prägen, aber die abziehbaren Reserven betragen nur etwa 600.000 US-Dollar, die Kontroversen werden sich darauf konzentrieren, wie die LP-Schnappschüsse ergänzt werden. Der Vorschlag von Term wurde sechs Tage lang abgelehnt, die Ablehnungsstimmen betrugen null, die Abkühlzeit konnte mit demselben Vorschlag geschlossen werden, und etwa 8,5 Millionen US-Dollar wurden gemäß dem Governance-Prozess abgezogen.

Jetzt geht es nicht mehr um die Erzählung, sondern darum, wer prägen kann, wer Parameter ändern kann und ob jemand auf die Vorschläge achtet, während sie auf der Blockchain stehen.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.