Balancer war Tage nach der Offenlegung der Sicherheitslücke fast 1 Mio. US-Dollar lang leer

Am 22. August erhielt Balancer Labs – ein nicht verwahrter Portfoliomanager, Liquiditätsanbieter und Preissensor – Berichte über eine massive Sicherheitslücke, die mehrere seiner Kreditpools betrifft.

Zu diesem Zeitpunkt gab es noch keine Angriffe – doch das hat sich kürzlich geändert.

Community alarmiert

Sobald der Exploit entdeckt wurde, veröffentlichten die Balancer-Entwickler eine Warnung an die Benutzer. Sie stellten fest, dass bestimmte Pools bereits als sicher markiert worden seien, und versprachen eine Obduktion der Situation, sobald ein Patch bereit sei.

Um sicherzustellen, dass ihre Gelder sicher sind, wurden Benutzer zu einem neu eingerichteten Portal weitergeleitet, auf dem sie überprüfen konnten, ob ihre Bestände gefährdet waren oder nicht. Als zusätzliche Sicherheitsmaßnahme empfahlen die Entwickler jedoch, dass Benutzer ihr Geld vorübergehend aus allen Pools abheben sollten.

Leider erreichte diese Warnung nicht alle Ohren und das Unvermeidliche geschah fast eine Woche später.

Exploit von CyberSec-Forschern bestätigt

Gestern Abend bestätigte Balancer auf

„Balancer ist sich eines Exploits im Zusammenhang mit der unten aufgeführten Sicherheitslücke bewusst. Schadensbegrenzungsverfahren haben die Risiken drastisch reduziert, sind jedoch nicht in der Lage, betroffene Pools anzuhalten. Um weitere Exploits zu verhindern, müssen sich Benutzer von betroffenen LPs zurückziehen.“

Der Exploit wurde auch von Meir Dolev, dem Gründer und CTO des Web3-Sicherheitsunternehmens CyverAI, bestätigt.

Balancer ist sich eines Exploits im Zusammenhang mit der unten aufgeführten Sicherheitslücke bewusst.

Abhilfemaßnahmen haben die Risiken drastisch reduziert, sind jedoch nicht in der Lage, betroffene Pools anzuhalten.

Um weitere Exploits zu verhindern, müssen Benutzer sich von den betroffenen LPs zurückziehen.https://t.co/PDzX32gqeS https://t.co/b4CSqVFbDg

– Balancer (@Balancer), 27. August 2023

Der Angriff wurde über drei separate DAI-Transaktionen durchgeführt, die alle auf dieselbe Wallet zurückführten.

Der erste war mit Abstand der größte – im Wert von über 600.000 US-Dollar. Es folgten zwei kleinere Transaktionen, die die Kreditpools über 250.000 US-Dollar bzw. 85.000 US-Dollar kosteten.

Obwohl der Hacker nicht so schädlich war wie andere Exploits, die Anfang des Jahres stattfanden, erbeutete er dennoch eine beträchtliche Menge illegaler Gelder.

Die Balancer-Community war verständlicherweise bestürzt über die Nachricht, und einige Benutzer empfahlen den Entwicklern, eine neue Branche zu finden, in der sie arbeiten könnten.

Insgesamt kostete die nicht gepatchte Smart-Contract-Schwachstelle Balancer mehr als 970.000 US-Dollar. Der versprochene Obduktionsbericht muss zweifellos auch überarbeitet werden, um die Tatsache aufzunehmen, dass dieser Exploit von einem anderen böswilligen Akteur entdeckt wurde – obwohl der betreffende Hacker höchstwahrscheinlich durch die Warnung im Balancer-Forum darauf hingewiesen wurde.

Der Beitrag „Balancer wurde nach der Offenlegung der Sicherheitslücke für fast eine Million US-Dollar entleert“ erschien zuerst auf CryptoPotato.