Drei DeFi-Protokolle gehackt: Über 35 Millionen Dollar an einem Tag erbeutet

Drei große DeFi-Protokolle sind innerhalb von 24 Stunden gehackt worden. AFX Trade, BSquaredNetwork und Verus verloren dabei zusammen Krypto-Werte im Umfang von mehr als 35 Millionen US-Dollar.

Besonders schwer wiegt der Angriff auf AFX Trade. Doch auch die anderen Vorfälle zeigen erneut, wie anfällig Systeme sind, die Krypto-Vermögen zwischen verschiedenen Blockchains bewegen. Auffällig ist zudem, dass Verus innerhalb kurzer Zeit bereits zum zweiten Mal Opfer eines nahezu identischen Angriffs wurde.

Angriff auf AFX Trade kostet mehr als 24 Millionen US-Dollar

Der Blockchain-Sicherheitsdienst PeckShieldAlert meldete den Angriff auf AFX Trade, ein Protokoll im Arbitrum-Netzwerk, als Erster. Nach Angaben des Sicherheitsunternehmens erbeuteten die Angreifer rund 24,15 Millionen US-Dollar in USDC.

Die gestohlenen Krypto-Bestände wurden anschließend von Arbitrum auf Ethereum übertragen und in 12.467,5 Ethereum (ETH) getauscht. Durch die Umwandlung und Verschiebung der Mittel erschwerten die Angreifer die Nachverfolgung der Geldflüsse.

Steven Goldfeder von Arbitrum stellte klar, dass das betroffene System nicht von Arbitrum betrieben wurde. Die Verantwortung für die Sicherheit habe vollständig bei AFX Trade gelegen.

Auch BSquaredNetwork und Verus betroffen

Weniger als eine Stunde nach dem ersten Angriff meldete PeckShieldAlert einen zweiten Vorfall. Diesmal war BSquaredNetwork das Ziel.

Nach Angaben des Sicherheitsunternehmens erbeuteten die Angreifer 8,59 Millionen B2-Token auf der BNB Chain mit einem geschätzten Wert von 3,86 Millionen US-Dollar. Die Token wurden nahezu umgehend in mehr als 5.000 Wrapped BNB (WBNB) getauscht. Anschließend wurde der Erlös in 1.128 ETH umgewandelt und über NEAR Intents verschoben.

Für Anleger blieb der Angriff nicht folgenlos. Der B2-Token verlor kurz nach dem Vorfall mehr als 15 Prozent an Wert.

Auch Verus wurde innerhalb desselben 24-Stunden-Zeitraums gehackt. Nach Angaben der Blockchain-Analyseplattform Lookonchain erbeuteten Angreifer rund 7,55 Millionen US-Dollar über eine Schwachstelle in einem System, das Krypto-Vermögen zwischen verschiedenen Blockchains bewegt.

Bemerkenswert ist der Vorfall auch deshalb, weil Verus erst vor rund zwei Monaten bei einem ähnlichen Angriff mehr als 11,5 Millionen US-Dollar verloren hatte. Nach Einschätzung des Sicherheitsunternehmens Blockaid weisen beide Hacks deutliche Parallelen auf. Dieselbe Infrastruktur, derselbe Angriffsweg und vermutlich dieselbe Schwachstelle wurden offenbar erneut ausgenutzt. Das deutet darauf hin, dass die zuvor entdeckten Sicherheitsprobleme womöglich nie vollständig behoben wurden.

Sicherheitskonzept von AFX Trade gerät scharf in die Kritik

Nach dem Angriff auf AFX Trade geriet auch der Sicherheitsansatz des Protokolls in die Kritik. Die On-Chain-Sicherheitsexpertin Taylor Monahan fragte öffentlich, warum auf dem betroffenen System überhaupt mehr als 24 Millionen US-Dollar lagen.

Nach Durchsicht eines kürzlich veröffentlichten Prüfberichts kam sie zu dem Schluss, dass mehrere bedenkliche Mängel vorlagen. Monahan zufolge wurde das System vor dem Start kaum umfassend getestet. Zudem seien mehrere von Prüfern gemeldete Probleme zwar anerkannt, aber nie behoben worden. Auch hätten die Prüfer nur Zugang zu einem Teil des Quellcodes erhalten, sodass eine vollständige Bewertung unmöglich gewesen sei.

Monahan reagierte sarkastisch auf die Lage:

Ehrlich gesagt wirken sie wie ein ausgesprochen entspanntes Team. Wird schon gutgehen; wir warten einfach ab und greifen notfalls manuell ein.

Aus ihrer Sicht deuten die technischen Mängel auf eine breitere Kultur hin, in der Sicherheit nicht ausreichend priorisiert wurde. Das erhöhe das Risiko groß angelegter Hacks wie der drei Angriffe, die den DeFi-Sektor innerhalb eines Tages getroffen haben.