Hack auf Convergence: $210 Millionen an Tokens durch Smart Contract-Exploit gestohlen

Convergence, ein dezentrales Finanzprotokoll, hat bestätigt, dass es am 1. August durch einen Smart Contract-Exploit gehackt wurde, bei dem ein Hacker $210 Millionen an nativen Tokens gestohlen und verkauft hat. Der Hacker konnte außerdem etwa $2.000 an nicht beanspruchten Staking-Belohnungen von der Plattform stehlen.

Ein spezifischer Vertrag wurde ausgenutzt

Berichten zufolge gelang es dem Hacker, den CvxRewardDistributor-Vertrag zu missbrauchen, wodurch er 58 Millionen CVG-Tokens schlagen und für etwa $210.000 verkaufen konnte.

Zusätzlich stahl der Hacker etwa $2.000 an nicht beanspruchten Belohnungen von Convex, einem DeFi-Protokoll, das darauf ausgelegt ist, Belohnungen für Curve-Liquiditätsanbieter zu maximieren. Laut Etherscan fand der Angriff am 1. August gegen 3:00 Uhr UTC statt.

Das Blockchain-Sicherheitsunternehmen PeckShield bemerkte, dass der Hacker nach dem Schlagen der CVG-Tokens diese schnell gegen 60 wrapped-Ether und 15.900 Curve.fi FRAX eintauschte.

Diese Aktionen führten zu einem Preisverfall von fast 100% des CVG-Governance-Tokens, der nun für $0,0004 gehandelt wird und eine Marktkapitalisierung von nur $57.000 aufweist, laut Daten von CoinMarketCap.

Eine Codezeile aus ihrem Smart Contract entfernt

Convergence erklärte, dass der Angriff möglich war, weil das Team versehentlich eine essentielle Codezeile aus ihrem Smart Contract entfernt hatte, die Belohnungen für CVG-Staking verteilt. Diese Änderung wurde vorgenommen, nachdem der Code des Smart Contracts viermal überprüft worden war.

„Die Änderung (Gas-Optimierung an erster Stelle) führte dazu, dass wir die Codezeile entfernten, die die Eingaben überprüfte, die der Funktion übergeben wurden“, erklärte Convergence.

Der Hacker nutzte dies aus, um den CvxRewardDistributor-Vertrag über die claimMultipleStaking-Funktion zu exploiten. Dadurch konnte der Staking-Vertrag nicht validiert werden, was dem Hacker ermöglichte, einen separaten bösartigen Vertrag mit derselben Signatur wie die claimCvgCvxMultiple-Funktion zu übermitteln.

Der Hacker schlug dann die für Staking-Emissionen vorgesehenen Tokens und warf diese in CVG-Liquiditätspools, so Convergence.

„Wir entschuldigen uns bei unserer Community und unseren Investoren und übernehmen die volle Verantwortung für das, was passiert ist.“

Benutzerfonds sind weiterhin sicher

Convergence versichert jedoch, dass Benutzerfonds sicher sind. Trotzdem haben sie ihren Benutzern empfohlen, ihre Vermögenswerte über eine Abhebung von der Plattform zu nehmen.

„Durch den Exploit ist der Belohnungsvertrag für die Stake DAO-Integration derzeit kaputt. Er wird behoben und Staker können ihre Belohnungen einfordern, sobald er fertig ist. Es gehen keine Belohnungen für Stake DAO-Integrationsbenutzer verloren. Wir werden bald über die Möglichkeiten für die Zukunft des Protokolls kommunizieren“, so das Protokoll.

Convergence arbeitet daran, Liquidität zu aggregieren, Renditen zu erhöhen und Liquid Locking im Curve Finance-Ökosystem zu ermöglichen. Der Gesamtwert, der bei Convergence gesperrt ist, sank von $5,79 Millionen auf $3,69 Millionen, laut Daten von DefiLlama.