Am gestrigen Abend meldete das Projekt "Wormhole", dass es einem Hacker gelungen ist, eine Sicherheitslücke auszunützen und Ethereum Token im Wert von mehr als 320 Millionen US-Dollar zu stehlen. Diese Summe macht es zu einem der bisher größten DeFi-Hacks in der Geschichte. Zuvor wurde in einem Beitrag auf dem Twitter-Account von Wormhole festgestellt, dass das Netzwerk aufgrund eines „potenziellen Exploits“ „wegen Wartungsarbeiten außer Betrieb“ sei. Das Wormhole-Protokoll stellt sogenannte "Bridges" (Brücken) zur Verfügung und ermöglicht es Benutzern, Token zwischen Ethereum, Solana und anderen Blockchains hin und her zu verschieben. Für gewöhnlich sperren derartige Crosschain-Protokolle die jeweiligen Token auf der einen Blockchain, um sie auf der entsprechend anderen Blockchain neu zu erstellen (man spricht hierbei von "wrapped Tokens").
Durch eine Sicherheitslücke im Protokoll gelang es nun Angreifern spezielle Signaturen zu fälschen und 120.000 (wrapped) ETH Token im Gegenwert von ca. 320 Mio. US-Dollar auf der Solana Blockchain zu erstellen. Über die von Wormhole bereitgestellte Brücke zwischen Solana und Ethereum überführten die Hacker anschließend etwas mehr als 93.750 wETH zurück in das Ethereum Netzwerk und ließen sich diese auf die eigene Adresse auszahlen. Die übrigen wETH wurden auf der Solana-Chain in SOL und USDC getauscht.
Quelle: Blockchair.com
Fehlende Deckung
Dass es den Angreifern gelungen ist, sich mehr als 93.750 ETH auszubezahlen, bedeutet im Gegenzug, dass diese Menge an wETH auf der Solana-Blockchain auch nicht mehr gedeckt ist. Da die fehlende Deckung bei einem Abverkauf durch Nutzer, welche das Vertrauen in das Projekt verloren haben, zu einem Kollaps führen würde, erklärte das Wormhole-Team, dass die fehlenden ETH durch eigene Funds (bzw. Investoren) nachgeschoben werden, um die 1:1-Deckung wiederherzustellen.
Aus dem Wormhole-Netzwerk wurden 120.000 wETH entwendet.
Die ETH werden in den nächsten Stunden wieder hinzugefügt, um sicherzustellen, dass die wETH 1:1 gedeckt sind.
Weitere Details folgen in Kürze. Wir arbeiten daran, das Netzwerk schnell wieder in Betrieb zu nehmen. Danke für Ihre Geduld.
@wormholecrypto
DeFi = FinTech
Dieser Hack war bereits der zweite größere Angriff auf ein DeFi-Protokoll im noch jungen Jahr 2022. Erst Ende Januar wurde in einem ähnlichen Fall die QBridge von Qubit Finance gehackt, wobei die Angreifer immerhin ca. 80 Millionen US-Dollar erbeuten konnten. Und vielen Leserinnen und Lesern wird mit Sicherheit auch der Polygon-Hack aus dem vergangenen Jahr im Gedächtnis sein, bei dem es Hackern sogar gelang 610 Millionen US-Dollar zu stehlen, die sie aber später zum größten Teil wieder zurückgaben.
Die Analysten von Fidelity erklärten in einem vor wenigen Tagen veröffentlichten Report, dass "Investoren dazu neigen, das Risikoverhältnis zwischen Bitcoin und Altcoin-Projekten deutlich zu unterschätzen". Während das Bitcoin-Protokoll eine vergleichsweise simple Code-Basis bietet, die seit vielen Jahren mehrfach geprüft wurde, handelt es sich bei modernen Smart-Contract-Plattformen und darauf aufbauenden Projekten oft um sehr komplexen und teilweise kaum bis nicht auditierten Programmcode von FinTech-Start-Ups, der fehleranfällig ist und Sicherheitslücken enthalten kann.
Vor einem Investment in derartige DeFi-Projekte beziehungsweise der Benutzung solcher Protokolle/Smart Contracts sollte man sich dies stets verinnerlichen. Auch wenn es diesmal womöglich gut ausgehen könnte, da das Wormhole-Team die fehlenden 250 Millionen US-Dollar anscheinend bereitstellen kann, so ist dies keine Garantie dafür, dass dies auch bei künftigen Angriffen so vonstattengehen wird. Was jedoch garantiert ist, ist, dass es in Zukunft auch weitere Angriffe auf DeFi-Protokolle und Blockchain-Projekte geben wird. Seid also gewarnt und überlegt euch ein Investment gut.
