Krypto‑Hacks und DeFi‑Exploits‑Verluste im 2. Quartal stehen kurz davor, die Zahlen des 1. Quartals zu erreichen

Im ersten Quartal des Jahres gingen laut Daten, die von der Smart‑Contract‑Sicherheitsplattform CertiK zusammengestellt wurden, mehr als 320 Millionen Dollar durch böswillige Akteure im Kryptobereich verloren. Die Zahl stellte einen deutlichen Rückgang gegenüber dem vorangegangenen Quartal (Q4 2022) und gegenüber einem vergleichbaren Zeitraum im Vorjahr dar. Das Blockchain‑Sicherheitsunternehmen führte diesen Rückgang auf erschütternde Vorfälle zurück, die die Branche in den drei Monaten erschüttert haben.

Dazu zählten Turbulenzen an den Stablecoin-Märkten und eine Bankenkrise, die auch digitale Vermögenswerte erfasste. Diese Vorfälle veranlassten Anleger, Geld zurückzuhalten, und schreckten neue Teilnehmer und Kapitalzuflüsse ab. Noch vor der Mitte des zweiten Quartals wurden weitere Angriffe gemeldet, deren Verluste nach damaliger Einschätzung an die Summe des ersten Quartals heranreichen könnten. Dies war eine Zwischenprognose, kein Ergebnis des abgeschlossenen zweiten Quartals.

Im April gingen 103 Millionen Dollar durch Hacks, Exploits und Betrug verloren

Im März wurden etwa 211 Millionen Dollar an Kryptowerten gestohlen, vor allem durch den 197-Millionen-Dollar-Angriff auf Euler Finance. Im April lag die Summe etwas unter der Hälfte: CertiK schätzte die Verluste durch Hacks, Exploits und Betrug damals auf 103,7 Millionen Dollar.
Nach den im Artikel genannten Zahlen erreichten die Verluste der ersten vier Monate 429,7 Millionen Dollar. Ein weiterer großer Vorfall im April war ein Angriff auf MEV-Handelsbots auf Ethereum, bei dem ein böswilliger Validator Bot-Transaktionen ausnutzte und rund 25,4 Millionen Dollar Schaden verursachte. Aus einer Hot Wallet der Börse Bitrue wurden Berichten zufolge außerdem Ether und andere Kryptowerte im Wert von 23 Millionen Dollar entwendet.

Flash‑Loan‑Angriffe

Der Vorfall im Umfeld von Yearn Finance gehörte zu den großen Flash-Loan-Angriffen im April. Betroffen waren das alte iEarn-Protokoll und zugehörige Liquiditätspools. Nach PeckShields Analyse vom 13. April nutzte der Angreifer einen Fehler im yUSDT-Vertrag, um mit nur 10.000 USDT etwa 1,3 Billiarden yUSDT-Token zu erzeugen. Das ist die Tokenanzahl, nicht der Dollarwert. Die anschließend ertauschten Vermögenswerte wurden auf rund 11,6 Millionen Dollar geschätzt: etwa 61.000 USDP, 1,5 Millionen TUSD, 1,79 Millionen BUSD, 1,2 Millionen USDT, 2,58 Millionen USDC und 3 Millionen DAI.
Hundred Finance wurde am 15. April auf Optimism, Ethereums Layer-2-Netzwerk, angegriffen und verlor nach der im Artikel verwendeten Schätzung 7,4 Millionen Dollar. Dazu wurden ein WBTC-Flash-Loan und eine Manipulation des hWBTC-Wechselkurses genutzt. Nachdem Verhandlungen nicht vorankamen, bot das Projekt 500.000 USDC für Hinweise, die zur Festnahme des Angreifers und Rückgabe sämtlicher Mittel führen. Bereits im März 2022 hatte Hundred Finance rund 6,5 Millionen Dollar bei einem Reentrancy-Angriff verloren. Laut Artikel betrugen die April-Verluste durch Exit-Scams insgesamt 9,4 Millionen Dollar, darunter der Fall Merlin.

CertiK besteht darauf, dass skrupellose Entwickler die 1,8 Millionen Dollar im Merlin‑Angriff gestohlen haben

Die dezentrale Börse Merlin auf zkSync verlor Ende April im Zusammenhang mit dem dreitägigen öffentlichen Verkauf ihres MAGE-Tokens rund 1,82 Millionen Dollar. Sie hatte mit Einlagenrenditen und einem CertiK-Audit geworben. Merlin bestätigte den Vorfall und forderte Nutzer auf, Wallet-Berechtigungen zu widerrufen. CertiK bezeichnete ihn als Problem der Verwaltung privater Schlüssel.
CertiK betonte später, im Abschnitt zu Dezentralisierungsmaßnahmen des Merlin-Auditberichts auf Zentralisierungsrisiken hingewiesen zu haben. Dennoch wurde die Qualität seiner Arbeit infrage gestellt. Die ebenfalls auf zkSync tätige dezentrale Börse und Startplattform eZKalibur identifizierte den Code, der angeblich den Verlust ermöglichte. Die initialize-Funktion schuf demnach eine Art Hintertür, über die unbegrenzt Token von der Vertragsadresse an die feeTo-Adresse übertragen werden konnten.

Ein Entschädigungsplan ist in Arbeit

CertiK erklärte am 26. April, einen Entschädigungsplan zu prüfen, und forderte die Verantwortlichen auf, 80 % der Mittel zurückzugeben und den Rest als White-Hat-Prämie zu behalten. Nach seiner Darstellung handelte es sich um betrügerische Entwickler statt um einen externen Angreifer, was das einfache Leeren der Liquidität erklärte. Das Unternehmen vermutete die Beteiligten in Europa und kündigte Zusammenarbeit mit Strafverfolgungsbehörden an, falls direkte Verhandlungen scheiterten.
In einer späteren Aktualisierung bezeichnete CertiK den Vorfall als Rug Pull durch Merlin-Insider, die ihre Wallet-Rechte missbraucht hätten. Einige Mitglieder des verbliebenen Teams hätten eine Identitätsprüfung verweigert, was Untersuchung und Opferhilfe erschwere. CertiK gab an, 160.000 Dollar der gestohlenen Mittel eingefroren zu haben und den Rest zu überwachen. Es arbeitete mit US-amerikanischen und britischen Behörden zusammen und sagte zudem 2 Millionen Dollar für Opferhilfe und den Kampf gegen Exit-Scams zu.

Hacker manipulierten ein Preis‑Oracle, um 2 Millionen Dollar vom Polygon‑Lending‑Protokoll 0VIX zu stehlen

Ende April wurde das Kreditprotokoll 0VIX durch eine Preis-Oracle-Manipulation angegriffen; die erste Verlustschätzung lag über 2 Millionen Dollar. Betroffen war vGHST, das Anteile an GHST im GotchiVault des von Tamagotchi inspirierten Blockchain-Spiels Aavegotchi darstellt. Nach der im Artikel zitierten PeckShield-Schätzung nutzte der Angreifer einen Stablecoin-Flash-Loan von rund 6,12 Millionen Dollar für vGHST-Kreditpositionen.

Der Angreifer manipulierte die Bewertung von vGHST und die Kreditposition. An den Vertrag übertragenes GHST erhöhte den Wechselkurs der Vault-Token; anschließend ermöglichte die Liquidation der Position die Entnahme von Mitteln und hinterließ uneinbringliche Schulden. Dies war nicht einfach ein Anstieg des gesamten GHST-Marktpreises. Das Team setzte die Kreditmärkte auf Polygon PoS und zkEVM aus und leitete Untersuchungen ein.

Die 0VIX Protocol Association meldete später die Wiederaufnahme des zkEVM-Marktes, sodass Nutzer uneingeschränkt auf ihre Mittel zugreifen konnten. Sie sollten Positionen und den Health Factor prüfen sowie offene Schulden begleichen. Die Unterbrechung auf zkEVM war nur vorsorglich erfolgt, da dieser Markt nicht betroffen war. Weitere Einzelheiten wurden zum Schutz der Ermittlungen zurückgehalten; gemeinsam mit Sicherheitspartnern wurde weiter an der Rückgewinnung der gestohlenen Mittel gearbeitet.

Fehler im Belohnungsmechanismus von Level Finance ermöglicht Diebstahl von LVL im Wert von etwa 1 Million Dollar

Anfang Mai wurden bei Level Finance LVL-Token im Wert von rund 1 Million Dollar gestohlen. Die nichtverwahrende Spot- und Perpetual-Börse auf BNB Chain bestätigte am 1. Mai, dass der Empfehlungsvertrag LevelReferralControllerV2 betroffen war. Wiederholte Belohnungsabrufe ermöglichten die Entnahme von rund 214.000 LVL, die in 3.345 BNB getauscht wurden.
Laut PeckShield ließ ein Fehler wiederholte Empfehlungsprämien innerhalb desselben Abrechnungszeitraums zu. Level Finance führte ihn auf eine kürzliche Änderung seines Anreizsystems zurück. Die Plattform stoppte vorübergehend das Empfehlungsprogramm, um den Angriff zu beenden. Liquiditätspools und DAO-Vermögen waren nicht betroffen.

Deus Finance setzt Verträge aus und verbrennt DEI nach Angriff mit rund 6 Millionen Dollar Schaden

Deus Finance meldete Anfang Mai einen Angriff auf den DEI-Stablecoin auf BNB Smart Chain und Arbitrum. Der erste Verlust wurde auf über 6 Millionen Dollar geschätzt. Ein Berechtigungsfehler in der burnFrom-Funktion ermöglichte unbefugte Übertragungen; einige Exploit-Transaktionen wurden von anderen Transaktionen vorweggenommen. Der Artikel nennt 1.337.375 BUSD aus DEI/BUSD-Pools und rund 5 Millionen Dollar Verlust auf Arbitrum; Letzteres bezeichnet keinen ARB/ETH-Handelspool. Deus setzte Verträge aus und verbrannte DEI on-chain, um weitere Verluste zu begrenzen. Das Team prüfte die DEI-Sicherheiten und plante Wiederherstellung und Rücknahme anhand der Guthaben vor der Verbrennung.

Deus prüfte außerdem, ob Transaktionen von nach dem Angriff in Arbitragegeschäften feststeckenden Personen rasch rückgängig gemacht werden könnten. Nach eigener Aussage war Deus v3 von DEI getrennt und blieb unberührt. Das Projekt forderte die Rückgabe von 80 % der entnommenen Mittel und bot den Rest als White-Hat-Prämie an. In einer damaligen Mitteilung meldete Deus die Rückgabe von 2.023 ETH an die Adresse einer Wiederherstellungs-Multisig-Wallet, die von vertrauenswürdigen Mitgliedern aus dem Umfeld von Yearn Finance verwaltet wurde.