Ausgenutzter MEV-Bot verursacht 2 Millionen US-Dollar Verlust bei Curve-Pool-Swaps: Daten
Laut PeckShield Alert-Daten ist ein unbekannter Miner Extractable Value (MEV)-Bot Opfer eines Hacks geworden, der einen Verlust von etwa 2 Millionen US-Dollar verursacht hat.
Der Vorfall, der sich in den renommierten Curve-Pools ereignete, hat zu mehreren großen Swaps und anschließender Reverse-Swap-Arbitrage geführt.
Angreifer manipuliert Kurvenpool
Die Ausnutzung erfolgte, als der Arbitrage-Funktion 0xf6ebebbb() die ordnungsgemäße Authentifizierung fehlte, was dem Angreifer eine offene Tür zur Manipulation von Swaps über mehrere Curve-Pools hinweg bot. Diese böswillige Aktivität führte zu erheblichen Abweichungen und verursachte erhebliche Verluste für die betroffenen Parteien.
#MEV Ein unbekannter MEV-Bot wurde ausgenutzt (mit einem Verlust von 2 Millionen US-Dollar), um mehrere große Swaps in #Curve-Pools durchzuführen, was zu Arb mit einfachen Reverse-Swaps führte.
https://t.co/POY91xvwC4 pic.twitter.com/vu1CaxSrdt
– PeckShieldAlert (@PeckShieldAlert), 8. November 2023
Im weiteren Verlauf der Situation kehrte der Angreifer die Tauschgeschäfte geschickt um, um seinen Gewinn zu maximieren, was die Auswirkungen dieses Vorfalls noch verschlimmerte.
Der Angreifer nutzte einen Arbitrage-Bot aus, was zu einem Verlust von 2,3 Millionen US-Dollar durch den Curve-Pool führte. Sie entdeckten eine offengelegte Funktion innerhalb des Bots, die es ihnen ermöglichte, eine Transaktion von Wrapped Ether (WETH) zu Wrapped Bitcoin (WBTC) auszulösen.
Anschließend führten sie einen Schnellkredit über 27.255 WETH (entspricht 51,36 Millionen US-Dollar) durch und nutzten ihn, um das Preisverhältnis von WETH/WBTC innerhalb des Curve-Pools erheblich zu manipulieren.
Durch die Destabilisierung des Pools zwang der Angreifer den Arbitrage-Bot, 1.339,8 WETH (ca. 2,52 Millionen US-Dollar) in 6,95 WBTC (ca. 244.000 US-Dollar) umzuwandeln.
Es ist wichtig zu beachten, dass der Besitzer des MEV-Bots bereits vor dem Angriff Gelder aus dem Vertrag abgezogen hatte.
Vorherige Exploits von Curve Finance
Am 30. Juli 2023 kam es in mehreren Liquiditätspools von Curve Finance zu einer Reihe von Ausnutzungen, die zu Verlusten von etwa 70 Millionen US-Dollar führten. Dieser Vorfall löste in der DeFi-Community erhebliche Bedenken aus. Die Angriffe wurden durch eine Schwachstelle in Vyper ermöglicht, einer pythonischen Programmiersprache eines Drittanbieters, die von Ethereum-Smart Contracts verwendet wird, einschließlich denen von Curve und anderen dezentralen Protokollen.
Es ist wichtig anzumerken, dass nach dem ersten Vorfall sowohl White-Hat-Hacker als auch MEV-Bot-Betreiber (Miner Extractable Value) zusammengearbeitet haben, um einen Teil der verlorenen Gelder zurückzugewinnen. Infolgedessen kann der endgültige Wert der Verluste niedriger sein als in den ersten Berichten vorgeschlagen.
Weniger als eine Woche nach dem Exploit gab der Hacker 4.820 alETH und 2.258 ETH an Alchemix zurück, was etwa 12,7 Millionen US-Dollar entspricht.
Am 6. August 2023 gab Curve Finance über Twitter bekannt, dass die Frist für die freiwillige Rückgabe der verbleibenden Gelder durch den Hacker abgelaufen sei. Infolgedessen weitete das Unternehmen sein Kopfgeldangebot in Höhe von 1,85 Millionen US-Dollar auf jeden aus, der den Hacker identifizieren konnte.
Der Beitrag: Ausgenutzter MEV-Bot verursacht 2 Millionen US-Dollar Verlust bei Curve-Pool-Swaps: Daten erschienen zuerst auf CryptoPotato.
