Das Krypto-Lending-Protokoll EraLend wurde im Wert von 3,4 Millionen US-Dollar gehackt

Am 25. Juli wurde EraLend von einem Wiedereintrittsangriff heimgesucht, der es einem unbekannten Angreifer ermöglichte, sich Kryptowährungen im Wert von etwa 3,4 Millionen US-Dollar zu erbeuten.

Ein Wiedereintrittsangriff, eine Art Cyberangriff auf Smart Contracts, ist einer der häufigsten Exploits gegen DeFi-Protokolle.

Darin identifiziert ein böswilliger Akteur eine Sicherheitslücke im Code eines Smart Contracts, um wiederholt eine Funktion innerhalb des Vertrags aufzurufen, bevor ein vorheriger Funktionsaufruf abgeschlossen ist. Bei (un)richtiger Ausführung können diese Funktionsaufrufe den Preis von Token innerhalb des Smart Contracts manipulieren, sodass der Angreifer weitaus mehr aus dem Protokoll herausholen kann, als möglich sein sollte.

Mangel an ausgenutzten Orakeln

EraLend, ein angeblich (laut ihrer eigenen Website) risikoarmes dezentrales zkSync-Kreditprotokoll, das früher als Nexon Finance bekannt war, verzichtete auf die Verwendung von Orakeln und behauptete, dass sie dadurch weniger riskant seien.

„Unsere Kreditplattform ist weniger riskant, da sie nicht auf Orakel und Liquidation (externe Liquidität) angewiesen ist.“

Unglücklicherweise für sie – oder vielmehr für ihre unglücklichen Nutzer – wurde ihr Marketing auf die Probe gestellt und für mangelhaft befunden.

Seit dem Angriff, der auf den USDC-Speicher der Plattform abzielte, wurden alle Kreditaufnahmevorgänge ausgesetzt. Darüber hinaus haben die EraLend-Entwickler ihrer Community davon abgeraten, USDC auf der Plattform einzuzahlen, bis das Problem behoben ist.

Sicherheitsupdate: Wir haben heute einen Sicherheitsvorfall auf unserer Plattform festgestellt. Die Bedrohung wurde eingedämmt. Wir haben alle Kreditaufnahmen vorerst ausgesetzt und raten von der Einzahlung von USDC ab. Wir arbeiten mit Partnern und Cybersicherheitsfirmen zusammen, um dieses Problem anzugehen.
Weitere Updates…

– EraLend | Der Geldmarkt Nr. 1 auf zkSync (@Era_Lend), 25. Juli 2023

Cybersicherheitsfirmen im Fall

Um EraLend-Entwicklern dabei zu helfen, ihre Plattform wieder in Ordnung zu bringen – und vielleicht sogar die Identität der Person hinter dem Angriff aufzudecken – haben mehrere Cybersicherheitsfirmen und andere Partner Kontakt aufgenommen. BlockSec hat seine Beteiligung an der Obduktion des Angriffs bestätigt.

Wir unterstützen @Era_Lend bei diesem Problem und die Grundursache wurde identifiziert. Der Gesamtverlust beträgt ca. 3,4 Millionen US-Dollar.
Konkret handelt es sich hierbei um einen schreibgeschützten Wiedereintrittsangriff.
Ein weiterer Angriffssender ist:https://t.co/H4A2suVLai
Adresse des Angreifers:
0xf1D076c9Be4533086f967e14EE6aFf204D5ECE7a https://t.co/InhCCW7QAy

– BlockSec (@BlockSecTeam), 25. Juli 2023

Der Exploit wurde ursprünglich von den Cybersicherheitsforschern Spreek und Saul angekündigt. Es ist immer noch unbestätigt, ob der Gesamtwertverlust bei 3,4 Millionen US-Dollar endete.

„Anscheinend ist die wahrscheinliche Ursache ein schreibgeschützter Wiedereintritt, der sich auf die LP-Token-Preise auswirkt.“ Ich bin mir über die Größe des Hacks nicht sicher, könnte viel größer sein. Ich versuche immer noch, diesen Rug-Block-Explorer-Riss herauszufinden.“

Obwohl die gestohlene Menge im Vergleich zu Hacks wie denen, die Ronin oder Harmony betreffen, verblasst, summiert sich jedes bisschen gestohlene Krypto.

Letztes Jahr durchbrach der Gesamtwert, der Krypto-Investoren gestohlen wurde, die 10-Milliarden-Dollar-Grenze, wenn man Anlagebetrug, regelrechten Betrug und andere böswillige Machenschaften berücksichtigte. Der heutige Angriff ist eine weitere Erinnerung daran, eigene Nachforschungen anzustellen, bevor Sie Ihr hart verdientes Geld in eine Plattform investieren.

Der Beitrag „Crypto Lending Protocol EraLend wurde für 3,4 Millionen US-Dollar gehackt“ erschien zuerst auf CryptoPotato.