KI-Hacker und DeFi-Smart-Contracts bereiten Showdown vor, während Verluste steigen

Die Serie von Angriffen auf das Ethereum-Mainnet, die zu Verlusten von über 1,5 Millionen US-Dollar führte, wurde durch neue Forschung verschärft, die zeigt, dass KI-Agenten nun autonom Schwachstellen in DeFi-Protokollen entdecken und ausnutzen können.

Das Sicherheitsunternehmen GoPlus Security berichtete, dass vier separate Verträge innerhalb von nur 48 Stunden bis zum 29. April ausgenutzt wurden. Das Unternehmen warnte, dass Hacker, die mit KI bewaffnet sind, präziser und schneller sind als je zuvor.

Und DeFi-Smart-Contract-Entwickler haben keine andere Wahl, als KI einzusetzen, um die Probleme zu lösen, die KI selbst verursacht hat.

Kann KI wirklich DeFi allein hacken?

a16z crypto testete einen Standard-KI-Coding-Agenten gegen 20 vergangene Preismanipulationsvorfälle auf Ethereum und stellte fest, dass der KI-Agent, wenn ihm nur eine Vertragsadresse und grundlegende Tools gegeben wurden, die Schwachstelle nur 10 % der Zeit erfolgreich ausnutzte. 

Als die Forscher dem Agenten jedoch Zugang zu strukturiertem Wissen über gängige Angriffsmuster wie Vault-Donations-Exploits und die Manipulation von Automated Market Maker (AMM)-Pools gaben, sprang die Erfolgsrate auf 70 %.

Die Forscher stellten fest, dass die KI zwar sehr gut darin ist, Fehler zu finden, aber manchmal mit komplexen, mehrstufigen Angriffen zu kämpfen hat. Ein Agent versuchte sogar, seine Testumgebung zu „entkommen“, indem er einen geheimen Schlüssel extrahierte, um zukünftige Blockdaten einzusehen.

Anthropic hat kürzlich ankündigte ein neues KI-Modell namens „Claude Mythos Preview“ vorgestellt. Das Unternehmen erklärte, dass dieses Modell autonom Schwachstellen in großen Betriebssystemen und Webbrowsern finden und funktionierende Exploits dafür schreiben kann. 

Davor Mythos Preview, ältere Modelle hatten eine „nahezu 0 % Erfolgsquote“ beim Schreiben von Exploits. Das Unternehmen bestätigte auch, dass dieselben Verbesserungen, die das Modell gut im Patchen von Schwachstellen machen, es auch gut im Ausnutzen derselben machen. 

Als dem Agenten Zugriff auf Ethersrans Transaktions-API gegeben wurde, fand er tatsächliche vergangene Angriffs-Transaktionen und reverse-engineerte sie, um eigenen Exploit-Code zu schreiben. 

Wie viel wurde beim ZetaChain-Hack verloren?

GoPlus Security markierte vier separate Smart-Contract-Exploits auf dem Ethereum-Mainnet innerhalb eines 48-Stunden-Fensters bis zum 29. April. Die kombinierten Verluste überstiegen 1,5 Millionen US-Dollar. Das Unternehmen hat das aktuelle Tempo von KI-unterstützten Angriffen als eine „Countdown-by-the-second-Ära“ beschrieben. 

Bei einem der größeren Vorfälle der Woche wurden etwa 333.868 US-Dollar über neun Transaktionen auf vier Chains, darunter Ethereum, Arbitrum, Base und BSC, abgezogen. ZetaChains offizieller Post-Mortem-Bericht besagt, dass keine Benutzerfonds verloren gingen; die drei betroffenen Wallets gehörten dem ZetaChain-Team. 

Der Angreifer nutzte eine Funktion im GatewayEVM-Vertrag mit „beliebigen Aufrufen“ aus. Das Gateway verfügte über keine strenge Blockliste, was es dem Hacker ermöglichte, es anzuweisen, Token-Erlaubnisse zu übertragen, die von den Team-Wallets festgelegt worden waren.

Der Hacker finanzierte Wallets drei Tage vor dem Angriff über Tornado Cash, während er das Wallet eines Opfers imitierte. 

ZetaChain gab zu, dass die Schwachstelle zuvor über sein Bug-Bounty-Programm gemeldet worden war, die ersten Berichte jedoch abgewiesen wurden. Das Protokoll hat Cross-Chain-Transaktionen vorübergehend pausiert und rollt einen Patch aus, um den riskanten Code zu deaktivieren. 

Weitere von GoPlus Security in den letzten 48 Stunden identifizierte Ethereum-Exploits umfassen einen Onchain-Aggregator-Vertrag, der aufgrund fehlender Zugriffssteuerungen etwa 983.000 US-Dollar verlor; einen unbefugten Drittanbieter-Vault, der mit TradingProtocol verbunden ist und ebenfalls aufgrund fehlender Berechtigungsprüfungen etwa 398.000 US-Dollar verlor; einen BCB-Vertrag, der aufgrund einer Reentrancy-Schwachstelle etwa 39.800 US-Dollar verlor; und einen QNT-Asset-Vertrag, der aufgrund einer beliebigen Aufruf-Schwachstelle etwa 124.900 US-Dollar verlor. 

Cryptopolitan berichtet, dass DeFi-Verluste im April allein Rekordniveaus erreicht haben und die kombinierten Statistiken der ersten drei Monate des Jahres übertroffen haben.

Mit den steigenden Verlusten in jüngsten Fällen wird ein epischer Showdown aufgebaut, bei dem Hacker und Entwickler KI gegen KI einsetzen. Mit Anthropics Mythos und anderen, die nun in die Diskussion eintreten, sieht es so aus, als ob Hacker mit KI bewaffnet werden und Entwickler keine andere Wahl haben werden, als KI zur Selbstverteidigung einzusetzen.