- Infini, eine aufstrebende Neobank, hat wegen eine einer Sicherheitslücke im Admin-Zugang eines Smart-Contract-Entwicklers 49 Millionen Dollar in USDC verloren.
- Eine Attacke, die auf die hochverzinslichen Stablecoin-Produkte von Infini abzielte, weist Ähnlichkeiten mit früheren Angriffen auf, die der Lazarus-Gruppe zugeschrieben werden.
Die Bedrohung durch Online-Diebstahl ist mit voller Wucht zurückgekehrt. Das jüngste Ziel war die Stablecoin-Bank Infini, die um 49 Mio. USDC beraubt wurde. Es wird vermutet, dass die Sicherheitslücke dadurch entstanden ist, dass der Entwickler des Smart Contracts einen Backdoor-Zugang hatte, was auf eine mögliche Insider-Bedrohung hindeutet.
Berichten zufolge hatte der Angreifer, der 49 Millionen Dollar vom Infini-Protokoll, einer Stablecoin-DeFi-Bank, erbeutet hat, Admin-Zugriff. Dennoch hat das Unternehmen über die Ausbeutung taub gegangen, mit, dass die DeFi Bank hat nicht reagiert noch erklärt die Details des Eindringens.
Die Infini-Bank hat sich selbst als Neobank beworben, die Krypto und traditionelle Finanzen mischt. Die Werbung hat sich positiv ausgewirkt, da das Produkt in den letzten Wochen 500 % mehr Nutzer angezogen hat, was zu dem Exploit führte, als die Bank ihre Kartenkampagnen startete.
Darüber hinaus bietet die Neobank auch Produkte mit hohen Erträgen an, was zu einem Anstieg der verfügbaren Liquidität führt, die der Angreifer nutzen kann.
Bei näherer Betrachtung schufen die ertragsstarken Produkte der Bank eine perfekte Schwachstelle, die zu dem Exploit führte, bei dem Gelder aus dem Morpho MEV Capital Usual USDC Tresor abgezogen wurden. Morpho selbst hat keine Verluste gemeldet oder Warnungen herausgegeben.
Von der Wal-Transaktion zum Exploit
Zunächst sah es wie eine typische Whale-Transaktion aus, bei der eine neue Wallet alle Gelder aus dem Vertrag abzog. Infini kannte die Wallet des Angreifers bereits, da sie Berichten zufolge mit der Entwicklung des Smart Contracts beauftragt war. Ohne dass Infini davon wusste, hatte der Entwickler Admin-Rechte, die es ihm ermöglichten, einen perfekten Aufruf durchzuführen, der die gesamte Liquidität abzog.
🚨ALERT🚨Today, @0xinfini suffered a $49M $USDC exploit due to an attacker abusing retained administrative privileges.
The attacker, operating from 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, had initially developed the contract as part of the Infini project. However, after… pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) February 24, 2025
Es folgte eine Reihe von Ereignissen, bei denen der Angreifer gegen die Zeit ankämpfte, um die Gelder zu verschieben, bevor sie eingefroren werden konnten – eine Standard-Sicherheitsmaßnahme für USDC.
Unmittelbar nach dem Exploit wandelte der Angreifer die gestohlenen USDC über dezentrale Börsen wie Uniswap, Sky Protocol und 0x Protocol rasch in 17.696 ETH um, wobei er DAI als Vermittler nutzte. Diese schnelle Aktion zielte darauf ab, die Gelder in ETH zu sichern, einem Vermögenswert, der nicht eingefroren, sondern nur auf eine schwarze Liste gesetzt werden kann, was ihn zu einer sicheren Wette für den Angreifer macht.
Nach dem Exploit teilte der Angreifer die gestohlenen Gelder in kleinere Beträge auf und verteilte sie auf zahlreiche Adressen. Um die Transaktion zu initiieren, füllte der Angreifer eine neu erstellte Wallet mit einer kleinen Menge ETH für Gas, wobei er Tornado Cash verwendete, um die Herkunft der Wallet zu verschleiern.
Die gestohlenen ETH wurden dann durch eine Reihe von Transaktionen übertragen und waren zum Zeitpunkt dieses Berichts noch nicht vollständig gemischt.
Die große Frage: Ist die DVRK involviert?
Angesichts der Ähnlichkeiten zu früheren Angriffen wird über die Beteiligung nordkoreanischer Hacker spekuliert. Infini hat die Identität des Schöpfers des Smart Contracts nicht bekannt gegeben, was die Ungewissheit noch verstärkt.
Der Infini-Hack folgt auf einen bedeutenden Angriff auf Bybit im Jahr 2025, bei dem bis zu 1,5 Milliarden US-Dollar in ETH verloren gingen. Der Angreifer von Bybit nutzte eine ähnliche Taktik, indem er die Gelder vor dem Mischen aufteilte, eine Methode, die vom On-Chain-Ermittler ZachXBT häufig mit der Lazarus-Gruppe in Verbindung gebracht wird.
Obwohl dieses Muster Verdacht erregt, hat Infini die Wallets der Angreifer noch nicht mit bekannten Lazarus-Adressen in Verbindung gebracht.
