Kokomo Finance Exit‑Betrug und Swerve Finance Angriff – Beweis für weit verbreitete DeFi‑Exploits im Jahr 2023

Die dezentrale Finanznische (DeFi) hat seit ihrem ernsthaften Aufkommen um 2017 ein phänomenales Wachstum verzeichnet, jedoch nicht ohne erhebliche Verletzungen. Während dieses halben Jahrzehnts hat sich der DeFi‑Bereich schnell weiterentwickelt, was sich in der Gesamtsumme der gesperrten Werte (TVL) widerspiegelt, die im Dezember 2021 laut DeFi Llama‑Daten $180,38 Milliarden überschritt. Das rasche Wachstum dieses Krypto‑Subsektors, insbesondere in den letzten Jahren, wird auf mehrere Einflüsse zurückgeführt, darunter die steigende Nachfrage nach Krypto‑Assets und die incentivierte Natur der Angebote.

DeFi‑Wachstumsdiagramm. Quelle: DeFi Llama

Auf der anderen Seite hat dieses beschleunigte Wachstum und die damit verbundene Liquidität gleichzeitig unehrliche Akteure angezogen, die die im Raum vorhandenen Schwachstellen ausnutzen wollen.

Trend und Art von Krypto‑ und DeFi‑Exploits

In den letzten drei Jahren hat die Häufigkeit von hochkarätigen Krypto‑Diebstahlvorfällen zugenommen. Die Mehrheit davon beinhaltete Techniken wie Krypto‑Scams, Rug Pulls, Flash‑Loans und DeFi‑bezogene Exploits.

Geschichte der DeFi‑Hacks

Bei Rug Pulls erhöht der/die Täter (in der Regel ein Entwickler oder ein Team) den Preis des Token des Projekts, zieht dann plötzlich die Liquidität ab oder entfernt sie, bevor das Projekt aufgegeben wird. Flash‑Loan‑Angriffe hingegen zielen auf Schwachstellen in auf Smart Contracts basierenden Kreditplattformen ab und sind am häufigsten. Sie nutzen die unbesicherte Natur von Flash‑Loans aus – es ist keine Voraus‑Sicherheit erforderlich, aber der Kreditnehmer muss die Rückzahlung innerhalb derselben Chain‑Transaktion leisten. Ausbeuter leihen sich enorme Summen an Krypto‑Assets von einem DeFi‑Protokoll, manipulieren dann deren Preise an einer Börse und verlassen schnell ihre Position an einer anderen.

Kuchendiagramm der Arten von Hacks in der DeFi‑Geschichte

Weitere DeFi‑bezogene Exploits umfassen Smart‑Contract‑Fehler, Oracle ‑Angriffe und Governance‑Angriffe. Bei Governance‑Angriffen versuchen Hacker, genügend Stimmrechte zu kontrollieren, um Vorschläge umzusetzen, die ihren Interessen zugutekommen.

Krypto‑ und DeFi‑Sicherheitsverletzungen in der Vergangenheit

Die Blockchain‑Analyseplattform Crystal hat in ihrem kürzlich veröffentlichten Bericht über Sicherheitsverletzungen und betrügerische Aktivitäten im Krypto‑Bereich dargelegt, dass es seit 2011 mehr als 230 DeFi‑Hacks gab. Die durch die Vorfälle verlorenen $4,18 Milliarden an Krypto‑Assets trugen zu insgesamt $16,7 Milliarden an im selben Zeitraum gestohlenen Kryptowährungen bei. Besonders hervorzuheben ist der Exploit im Ronin‑Netzwerk, bei dem der Angreifer im März letzten Jahres über $650 Millionen von der Axie‑Infinity‑Bridge abgezogen hat – der bislang größte.

Noch alarmierender ist, dass die jährlichen Verluste durch Krypto‑Diebstähle seit dem ersten Börsenhack bei Mt. Gox im Juni 2011 zunehmen. Die Top‑10‑DeFi‑Angriffe (nach gestohlenen Geldern) im Jahr 2022 summierten sich auf über $2,6 Milliarden. Das Dashboard von DeFiLlama zeigt, dass DeFi‑Protokolle im Jahr 2022 mehr als $3 Milliarden verloren haben, was das schlechteste Jahr in der Statistik darstellt. Obwohl die Häufigkeit und Schwere der Vorfälle gegen Ende 2022 scheinbar nachgelassen hatten, hat sich dieser Trend zu Beginn des Jahres umgekehrt.

Bisher gab es im Jahr 2023 19 Vorfälle von Krypto‑ (einschließlich DeFi‑)Verstößen, die zu über $372 Millionen an gestohlenen Vermögenswerten führten. Die monatlich verlorenen Mittel sind seit Januar kontinuierlich gestiegen, von 14,6 Millionen im Januar auf $142,4 Millionen im Februar, laut Rekt Database.

Verlorene und wiedererlangte Mittel im vergangenen Jahr. Quelle: Rekt Database

Diese Zahl hat sich bereits im März mehr als verdoppelt, obwohl noch wenige Tage übrig waren. Es gibt jedoch einen kaum positiven Aspekt. Der Verlust, der im ersten Quartal auf Krypto‑Scams und Exploits zurückzuführen ist, liegt auf Kurs für einen leichten Rückgang gegenüber dem gleichen Zeitraum im Vorjahr. Ungefähr $1,2 Milliarden an Krypto‑Assets wurden im Q1 2022 von Ausbeutern gestohlen.

Bisherige größere Exploits und ihre letztendlichen Ergebnisse

Bisher bemerkenswerte DeFi‑Hacks umfassen das Abziehen von $120 Millionen aus dem dezentralen Kreditprotokoll BonqDAO im Februar sowie den Flash‑Loan‑Angriff von Platypus Finance, bei dem das Protokoll $8,5 Millionen an Nutzer‑Mitteln verlor.

Entwickler von Kokomo Finance führen einen Exit‑Scam durch

Die Blockchain‑Analysefirma CertiK Alert teilte am Sonntag eine Meldung über einen mutmaßlichen Exit‑Scam beim auf Optimism basierenden Kreditprotokoll Kokomo Finance. Das Alert‑Tool beobachtete einen Preisverfall des KOKO‑Tokens und wenige Stunden später die Deaktivierung der Social‑Media‑Konten des Projekts.

“Der Ersteller des KOKO‑Tokens, Adresse 0x41BE, hat den Angriffs‑Contract cBTC bereitgestellt. Dann setzte er die Belohnungsrate, pausierte das Ausleihen und ersetzte den Implementierungs‑Contract durch einen bösartigen. Adresse 0x5a2d… genehmigte dem cBTC‑Contract, 7010 sonne WBTC auszugeben,” CertiK bestätigte in einem nachfolgenden Beitrag. “Da der Implementierungs‑Contract auf den bösartigen cBTC‑Contract aktualisiert wurde, rief der Angreifer die Methode 0x804edaad auf, um sonne WBTC an die Adresse 0x5C8d zu transferieren. Schließlich tauschte die Adresse 0x5C8d.. 7010 some WBTC gegen 141 WBTC (~4 M) zum Zweck des Profits aus.”

Kokomo Finance war ein relativ neues Projekt, das erst am 25. März live ging.

Kokomo Finance On‑Chain‑Bewertungsbericht

Eine Sicherheitsbewertung, die im März von der Smart‑Contract‑Audit‑Firma 0xGuard am Protokoll durchgeführt wurde, zeigte ein „Bestanden“ in den meisten Bereichen, mit Ausnahme von „Code Without Effects“ und „Typografische Fehler“. Der Preis des KOKO‑Tokens ist seitdem nach dem Abfluss fast auf Null gefallen.

Ausbeuter versucht „profitablere White‑Hat‑Strategie“ bei der defekten Swerve Finance

In einem weiteren Vorfall in diesem Monat beobachteten Nutzer auf Twitter verdächtige Aktivitäten rund um Swerve Finance, einen inzwischen eingestellten Ethereum‑basierten Fork der dezentralen Börse Curve. Der Governance‑Angriff auf den eingestellten Curve‑Finance‑Klone befindet sich nun in der zweiten Woche, da der Angreifer die erforderliche Quorum‑Schwelle erreichen wollte.

Der Angreifer erstellte eine Abstimmung, um den Delegator‑Contract mit $1,3 Millionen an Stablecoins aus dem DAI‑USDC‑USDT‑Pool zu beanspruchen. In einem langen Thread vermutete Igor Igamberdiev, Leiter der Forschung bei Wintermute, dass genügend Beweise vorlägen, um den Angreifer zu verfolgen. Igamberdiev deckte die Identität des Angreifers auf, der als Eigentümer von „silvavault“ hinter dem Angriff stand, in nachfolgenden Beiträgen.

Igamberdiev lieferte eine Spur von On‑Chain‑Beweisen, einschließlich über den sanktionierten Mixer Tornado Cash geleiteter Transaktionen, die mit einer bestimmten Person verknüpft waren. Der Beschuldigte, dessen Twitter‑Konto als joaorcsilva veröffentlicht wurde, reagierte auf die Vorwürfe und begründete, dass seine Handlungen nicht von eigennützigen Motiven getrieben seien.

Euler Finance‑Hacker gibt einen bedeutenden Teil der gestohlenen Mittel zurück

In einem separaten Vorfall stahl ein Angreifer am 13. März rund $197 Millionen an Krypto‑Assets, was sich seitdem als dramatischer Fall herausstellte. Obwohl das Team des DeFi‑Protokolls das Problem damals adressierte, konnten sie die gestohlenen Assets nicht zurückerlangen. Versuche, Kontakt aufzunehmen und einen Kompromiss zu erzielen, scheiterten, was zu einer Belohnung von $1 Million für Informationen führte, die zu seiner Verhaftung führen.

Euler Finance Hack‑Transaktionen. Quelle: Twitter/BlockSec

Der Hacker hat in einer Wendung der Ereignisse letzte Woche am 18. März 3.000 ETH‑Tokens in drei Transaktionen an das auf Ethereum basierende Kreditprotokoll zurückgegeben, wobei dennoch ein erheblicher Betrag verblieb.

Am Wochenende schickte der Angreifer etwa 51.000 Ether‑Tokens an die Adresse des Deployers. Noch am selben Tag, dem 25. März, führte der Angreifer eine zweite Transaktion durch und sandte diesmal 7.737 ETH an den Deployer. Bisher hat die Adresse des Hackers mehr als die Hälfte der gestohlenen Summe zurückgegeben. Die neuesten Entwicklungen trieben den Preis von knapp über $2,50 auf $4,30, bevor er wieder auf $3,80 zurückfiel, wo er zuletzt gesehen wurde.

Euler‑Preis. Quelle: TradingView

Bemerkenswerterweise nutzten die Ausbeuter von Euler Finance und auch des Ronin‑Netzwerks den Coin‑Mixer.

USA und internationale Behörden gehen gegen Coin‑Mixer wegen ihrer Rolle beim Geldwäsche vor

Anfang dieses Monats kündigte die Europäische Agentur für Zusammenarbeit im Bereich Strafverfolgung (EUROPOL) an, $46 Millionen von ChipMixer im Zusammenhang mit Geldwäschevorwürfen beschlagnahmt zu haben. Die EUROPOL‑Behörde, zusammen mit dem FBI und deutschen Behörden, behauptete, dass der Krypto‑Mixer in den letzten fünf Jahren die Geldwäsche von 152.000 BTC ermöglicht habe, was etwa $3 Milliarden entspricht. US‑Strafverfolgungsbehörden berichteten, dass sie 1.909,4 BTC sichergestellt und zudem die Abschaltung der unterstützenden Server der Plattform angeordnet haben. Die Durchsetzungsmaßnahme folgt auf ähnliche restriktive Anordnungen gegen Tornado Cash.

Der letztgenannte Coin‑Mixer geriet in diesem Jahr ebenfalls unter Beschuss der US‑Behörden wegen seiner Rolle bei der Erleichterung von Kriminalität, indem er Transaktionen verschleiert und sie im Falle illegaler Aktivitäten nicht nachverfolgbar macht. Das US‑Justizministerium kündigte Anfang des Jahres Sanktionen gegen das Datenschutz‑Tool an, was kritische Bemerkungen aus Teilen der Branche hervorrief. Dies ist nicht der erste Fall von Krypto‑Hacks, bei dem Behörden involviert waren.

FBI weist die Verantwortung für den $100‑Mio‑Harmony‑Bridge‑Hack der Lazarus‑Gruppe zu

Im vergangenen Juni, in einem Jahr mit Rekordbeträgen, die bei Bridge‑Angriffen gestohlen wurden, verlor die Harmony‑Bridge etwa $100 Millionen an Ether. Zu diesem Zeitpunkt gab Harmony, die Layer‑1‑PoS‑Blockchain, die über die Bridge mit Ethereum verbunden ist, in einer offiziellen Ankündigung bekannt, dass sie mit den Behörden zusammenarbeite, um die Ursache des Angriffs zu ermitteln und die Mittel zurückzuholen. Das FBI bestätigte, dass die berüchtigten nordkoreanischen, staatlich unterstützten Hackerorganisationen Lazarus Group und APT38 für den Angriff verantwortlich seien. Die Behauptungen markierten das erste Mal, dass die US‑Regierung die Gruppe offiziell des Harmony‑Angriffs beschuldigte. Blockchain‑Experten, die forensische On‑Chain‑Analysen durchführten, führten den Hack denselben Akteuren zu.

Die Lazarus‑Gruppe wurde zudem mit, neben anderen Verbrechen, dem Hack der Ronin‑Bridge im letzten Jahr in Verbindung gebracht, zu einer Zeit, als die Regierung warnte, dass Krypto‑Unternehmen Ziel von Hackern werden könnten. Das FBI erklärte außerdem, dass am 13. Januar nordkoreanische Hacker RAILGUN, ein Datenschutz‑Protokoll, nutzten, um die Geldwäsche von $60 Millionen Ether zu verschleiern, die an Krypto‑Börsen gesendet und dann in Bitcoin umgewandelt wurden. Durch Transaktionsverfolgung und Analyse wurde jedoch ein Teil dieser Mittel identifiziert, eingefroren und von den virtuellen Asset‑Service‑Providern (VASPs) zurückerlangt. Die verbleibenden, noch nicht zurückgeholten Mittel wurden laut FBI an 11 verschiedene Ethereum‑Adressen transferiert.

Wormhole‑Bridge‑Hack‑Update

Hacker verschiebt $155 Millionen an gestohlenen Mitteln und erhöht die Hebelwirkung

Eine Wallet, die mit einem der größten Sicherheitsvorfälle in der Krypto‑Industrie 2022 verbunden war, erwachte dieses Jahr wieder zum Leben und transferierte über $155 Millionen an gestohlenen Mitteln. Die Transaktion, das erste Mal seit mehreren Monaten, zielte darauf ab, ihre ETH‑Position zu hebeln. Im Januar beobachtete die Krypto‑Community On‑Chain‑Informationen, die eine Reihe von Aktivitäten zeigten, zu denen der Akteur, der mehr als $321 Millionen an Ether (120.000 wETH) von der Wormhole‑Portal‑Token‑Bridge gehackt hatte, fähig war. Die Austauschsequenz des Hackers begann damit, dass seine Adresse Ether konsolidierte, bevor er einen Austausch von 95.630 Tokens gegen 96.677 von Lidos gestaketen Ether (stETH) über den dezentralen Exchange‑Aggregator OpenOcean initiierte.

Anschließend wickelte der Akteur 86.473 stETH in wstETH, Lidos liquiden Token für Ether‑Staker, ein. Von den neu erworbenen Wrapped‑Tokens besicherte er 25.000 wsETH, um 13 Millionen DAI zu leihen. Der Hacker nutzte dann das DAI, um über das Ethereum‑basierte DEX Kyber Networks 8.000 stETH zu erhalten, und führte mehrere ähnliche Trades über DeFi‑Protokolle wie 1Inch durch, während er weiter hebelte. Der illegale Akteur erhielt weitere $1,5 Millionen in DAI, die ebenfalls gegen 923 stETH getauscht wurden.

$61 Millionen bewegt auf der Suche nach Arbitrage bei Ether‑gepaarten Assets

Die unrechtmäßig erworbenen Krypto‑Mittel aus einem der größten Bridge‑Hacks der Krypto‑Industrie im letzten Jahr wurden ebenfalls im letzten Monat bewegt. PeckShield beobachtete, dass die mit dem Hacker verbundene Wallet im Februar ebenfalls aktiv war und Krypto‑Assets im Gesamtwert von $46 Millionen transferierte. Der Hauptangriff der Hackergruppe ermöglichte es ihr, im Februar 2022 mehr als $320 Millionen an Wrapped ETH (wETH) zu erbeuten. Die Akteure verschoben am 12. Februar 95.630 ETH im Wert von $155 Millionen, schickten sie an die dezentrale Börse OpenOcean DEX und wandelten sie anschließend in Ether‑gepaarte Assets um – Lidos wstETH und stETH.

Das Blockchain‑Sicherheitsunternehmen stellte außerdem fest, dass der Hacker, der seitdem ein Angebot von $10 Millionen für einen Bug‑Bounty ignoriert hat, offenbar nach Ertrags‑ oder Arbitrage‑Möglichkeiten mit den gestohlenen Assets sucht, da diese gegen 16,6 Millionen DAI, einen MakerDAO‑Stablecoin, getauscht wurden. Der Ausbeuter setzte weitere 8,8 k wstETH ($15 Millionen) bei MakerDAO ein. Wormhole wiederholte zudem sein Angebot an den Ausbeuter, die Mittel zurückzugeben und dafür einen Bug‑Bounty von $10 Millionen zu erhalten.