Robuste Finanzierung des DeFi-Protokolls für 442 ETH im Wert von fast 800.000 US-Dollar genutzt

Sturdy Finance – ein DeFi-Projekt, das eine bis zu 10-fache Hebelwirkung auf eingesetzte Vermögenswerte verspricht – wurde durch einen Hit-and-Run-Angriff auf sein Preisorakel ausgenutzt.

Obwohl der gestohlene Betrag (im Wert von etwa 800.000 US-Dollar zum Zeitpunkt der Erstellung dieses Artikels) im Vergleich zu anderen, bekannteren Angriffen wie dem Angriff auf Atomic-Wallet-Benutzer erst letzte Woche verblasst, sorgt er doch dafür, dass die Gewinne gewaschen werden nicht annähernd so schwer sein wie für Cyberkriminelle, die sich mit viel größeren Beträgen davongemacht haben.

Preismanipulation

Der Angriff auf Sturdy Finance wurde über einen Reentrance-Exploit durchgeführt, eine gängige Methode zum Angriff auf DeFi-Projekte, bei der eine Funktion in einem Smart Contract wiederholt aufgerufen wird, bevor der ursprüngliche Aufruf abgeschlossen ist.

Um Sturdy Finance anzugreifen, stellte der Hacker zunächst fest, dass das Preisorakel des Protokolls – der Teil des Sturdy-Ökosystems, der den aktuellen Wert von Vermögenswerten bestimmt, die für Handel und Kredite verwendet werden sollen – anfällig für Reentry-Exploits ist. Nachdem die Schwachstelle festgestellt wurde, stellte ein Flash-Darlehen von AAVE die für den Angriff erforderliche Liquidität bereit.

Dadurch kann der böswillige Akteur mehr Geld abheben, als ihm der Smart Contract erlauben sollte. In diesem Fall wurde der Preis des abgesteckten Ethers (stETH) dreimal hintereinander manipuliert, um es dem Betrüger zu ermöglichen, mehr abzuheben, als ihm der Kredit erlauben sollte, den ursprünglichen Kredit zurückzuzahlen und sich die zusätzlichen Mittel auszahlen zu lassen. Dieser Vorgang wurde dann fünfmal wiederholt, wobei jedes Mal ein anderer Smart Contract verwendet wurde.

2/ Der Angriffsvorgang (https://t.co/XdAhTpE6aS) besteht aus den folgenden Angriffsschritten. pic.twitter.com/EvZhYpWPDO

– BlockSec (@BlockSecTeam), 12. Juni 2023

Der Exploit führte zu einem Verlust von 442 ETH für Sturdy, ein Imbiss, der bereits auf dem Weg zu Tornado Cash ist.

Post-Mortem im Gange

Das Sicherheitsteam von Sturdy bestätigte, dass der Exploit bemerkt wurde und der Betrieb vorerst unterbrochen wurde, um eine ordnungsgemäße Obduktion durchzuführen. Das Team versicherte außerdem, dass derzeit kein Risiko besteht, dass andere Gelder gestohlen werden.

„Uns ist der gemeldete Exploit des Sturdy-Protokolls bekannt. Alle Märkte wurden pausiert; Es besteht kein Risiko für zusätzliche Mittel und es sind derzeit keine Benutzeraktionen erforderlich. Wir werden weitere Informationen weitergeben, sobald wir sie haben.“

Sturdys Community ist verständlicherweise verärgert über die Nachricht, da einige Benutzer ihren Unglauben darüber zum Ausdruck bringen, dass die für die Shitcoin-Boom-Ära 2017 typischen Angriffe auch heute noch stattfinden.

Der Beitrag „DeFi Protocol Sturdy Finance für 442 ETH im Wert von fast 800.000 US-Dollar ausgenutzt“ erschien zuerst auf CryptoPotato.