- In den letzten drei Tagen wurden zwei neue DeFi-Plattformen auf der Binance Smart Chain Opfer von Hackerangriffen, wobei die Kriminellen jeweils 6,3 Millionen und 7,2 Millionen Dollar erbeuteten.
- BSC geht von gezielten Angriffen aus und forderte alle Entwickler auf seiner Blockchain auf, sämtliche verfügbaren Sicherheitsmaßnahmen zu ergreifen, einschließlich der dreifachen Überprüfung ihres Codes.
Ein neuer Tag, ein neuer Angriff auf Binance Smart Chain. Das Blockchain-Netzwerk hat in den letzten zwei Monaten kaum eine Woche ohne einen Flash Loan-Angriff erlebt. Der neueste galt Belt Finance, einer DeFi-Plattform, die nach Meinung von Experten einen Exploit ausgenommen wurde, der schon mehrfach erfolgreich gewesen ist. Erst vor zwei Tagen verlor BurgerSwap über 7 Millionen Dollar bei einem ähnlichen Exploit, der mittlerweile zu einem besorgniserregenden Trend zu werden scheint.
Der Angriff auf Belt Finance
Der Vorfall bei Belt Finance war ein Angriff wie aus dem Lehrbuch, mit ein paar kleinen Änderungen, folgt man Rekt Blog, einer Seite, die DeFi-Hacks detailliert beschreibt. Der Angreifer nutzte eine falsche Aktienbewertung aus, die ihm half, die Attacke erfolgreich auszuführen.
Rekt teilt dazu mit:
„Eine weitere Fork einer Fork wurde benutzt um 6,3 Millionen Dollar direkt in Hacker-Hände umzuleiten. Obwohl es sich um einen etwas raffinierteren Angriff handelt als bei vorherigen Vorfällen, sind alle bekannten Merkmale vorhanden.“
Der Angriff begann wie bei vielen anderen, mit dem Erwerb von BUSD, der Binance Stablecoin, von einer anderen DeFi-Plattform, dieses Mal von PancakeSwap. Der Angreifer nahm 8 Flash-Loans von PancakeSwap über insgesamt 385 Millionen Dollar auf. Er nutzte dann die Elipsis-Strategie des BeltBUSD-Vaults aus, da dieser am stärksten unterzeichnet war. Danach ließ er das Geld über die Venus-Strategie abfließen.
Elipsis ist ein dezentraler Austausch, der es Benutzern ermöglicht, Stablecoins auf BSC mit geringem Verlust zu tauschen, während Venus die führende DeFi-Plattform auf BSC ist.
Mudit Gupta, ein Entwickler bei SushSwap, analysierte den Angriff im Detail. Ihm zufolge war der Betrag, den die Hacker erbeuteten, viel höher als zunächst bekannt. Er bezifferte die gestohlenen Gelder auf etwa 13 Millionen Dollar.
Er erklärte:
„Die Funktionsweise des beltBUSD Multi-Strategie-Vaults ist so, dass er einen Zielsaldo für alle Strategien hat. Wenn jemand Geld einzahlt, wird es in die am stärksten unterzeichnete Strategie eingezahlt. Wenn jemand Geld abhebt, wird es von der am stärksten überzeichneten Strategie abgezogen.“
At the start of the exploit, Venus was most undersubscribed and hence the deposits went towards it. After the large deposit from the attacker, Venus became the most oversubscribed strategy and hence, the withdrawals came from it as well.
— Mudit Gupta (@Mudit__Gupta) May 30, 2021
Der BurgerSwap-Angriff
Erst vor wenigen Tagen wurde eine weitere BSC-Plattform angegriffen und verlor dabei über 7 Millionen Dollar. Der Angreifer machte sich mit 3,2 Millionen Dollar in BURGER Token, 1,6 Millionen in Wrapped BNB Token und 1,4 Millionen in Tether von BurgerSwap davon. Der Angriff fand am 28. Mai statt, wie die Plattform auf Twitter mitteilte. Ungefähr 7,2 Millionen Dollar wurden dabei gestohlen. Der Angreifer hatte seine eigene gefälschte Münze erstellt und ein neues Trading Pair mit dem BURGER Token gebildet.
1/9
BurgerSwap Flash Loan Attack Details:
At around 3 am on May 28th (UTC+8) #BurgerSwap on the BSC chain encountered a flash loan attack; $7.2M was stolen from #BurgerSwap in 14 transactions;
— BurgerCities (@burger_cities) May 28, 2021
BurgerSwap war auf BSC recht populär geworden, nachdem es letztes Jahr gestartet war. Es ist ein Klon von Uniswap v2 – was bedeutet, dass sein Code fast identisch mit dem von v2 ist. Wie Uniswap-Gründer Hayden Adams jedoch mitteilte, haben die BurgerSwap-Entwickler eine entscheidende Codezeile ausgelassen, die kritisch ist für die Sicherung der Liquiditätspools ist.
This thread sounds complicated. Here's what happened very simply.
Uniswap v2 fork removed the only line that enforces x*y=k from core:
So core could very trivially be drained.
This is the line that was removed:https://t.co/iN3nc1xMTm
iWoNDerWhYTHeyDiDtHAt https://t.co/B9TN3KP25U
— hayden.eth 🦄 (@haydenzadams) May 28, 2021
Der BurgerSwap-Token wird derzeit bei 6,57 Dollar gehandelt, weit unter dem Allzeithoch von 25,18 Dollar, das er am 3. Mai erreicht hatte. Sein Volumen hat etwa 30 Prozent verloren seit dem Angriff.
Wir sind im Visier: BSC
Inmitten der zunehmenden Angriffe auf DeFi-Plattformen auf Binance Smart Chain, behauptet das Blockchain-Projekt die Angriffe zielten auf Projekte in seinem Ökosystem. BSC bestätigte den unglücklichen Anstieg der Flash-Loan-Angriffe auf seine Blockchain vie Twitter. „Gut organisierte Hacker“ hätten es auf BSC abgesehen. Es seien turbulente Zeiten für die BSC-Community.“
There are >8 #flashloan hacks recently, we believe, an well organized hackers are targeting #BSC now. It is very challenging time for the BSC communty. We are calling for the actions for all the #dapps:
— BNB Chain (@BNBCHAIN) May 30, 2021
BSC forderte die dApp-Hersteller auf, eine Reihe von Sicherheitsmaßnahmen einzuhalten, um ihre Sicherheit zu erhöhen. Eine davon ist die Zusammenarbeit mit internen Auditoren, um den Code zu überprüfen. Die Entwickler müssten auch ihre Plattformen in Echtzeit überwachen und sie stoppen, wenn sie eine Abnormität entdeckten.
BSC dApps müssten auch einen Notfallplan für den Fall haben, dass das Schlimmste passiert. Um weiterhin sicherzustellen, dass alle Lücken entdeckt werden, bevor Angreifer sie ausnutzen, sollten sie ein Bounty-Programm planen.
Die Warnung an die Entwickler kam einige Tage nachdem ein Binance-Vertreter erklärt hatte, dass die Börse nicht viel tun könne, um die Kryptos, die Angreifer stehlen, wiederzuerlangen. Samy Karim sprach vor kurzem auf der Consensus Conference und erklärte:
„BSC ist eine öffentliche, erlaubnisfreie Infrastruktur, so dass jeder dort Projekte aufsetzen kann… Es ist nicht so, wie viele Leute denken, dass es eine Art Rollback gibt.“
