Delta Prime DeFi wurde auf Avalanche und Arbitrum für 4,75 Mio. US-Dollar ausgenutzt

Delta Prime pausierte sein Protokoll sowohl auf Avalanche als auch auf Arbitrum, nachdem ein Exploit in Höhe von geschätzt 4,75 Mio. US-Dollar entdeckt wurde. Das Protokoll entdeckte eine Verwundbarkeit und schloss alle Transaktionen, um weiteren Schaden zu vermeiden. 

Delta Prime hat Vermögenswerte auf seinen Avalanche- und Arbitrum-Versionen verloren, was Verlusten in Höhe von 4,75 Mio. US-Dollar entspricht. Dies ist der zweite Angriff auf das Protokoll seit einer früheren Offenlegung am 19. September. Während des vorherigen Angriffs verlor Delta Prime $5.9M aufgrund kompromittierter Wallets. Die Hacking-Aktivitäten wurden mit Lazarus, der Gruppe nordkoreanischer Hacker, in Verbindung gebracht, wie von ZachXBT verfolgt.

Der letzte Hack war mit kompromittierten Wallets verbunden, bei denen die Hacker die privaten Schlüssel kontrollierten. Diesmal wurden keine der bekannten Token-Haltungen von DeltaPrime kompromittiert. Einige der Kern-Belohnungsmechanismen des Protokolls erwiesen sich jedoch als fehlerhaft.

Wie bei anderen Exploits werden bösartige Social-Media-Links über Copycat-Accounts verbreitet. Diese Links führen zu Websites, die die Rückgewinnung von Geldern oder die Widerrufung von Berechtigungen versprechen. 

Das Delta-Prime-Protokoll enthielt insgesamt mehr als $35M im Total Value Locked (TVL). Im September, vor dem Hack, betrug der Wert bis zu 65 Mio. US-Dollar. Der anschließende Wertverlust von PRIME und der Vertrauensverlust in das Protokoll führten zu einem Rückgang des TVL. Delta Prime war jedoch auf dem besten Weg, seine Liquidität wiederherzustellen, die von einem Tief von 22 Mio. US-Dollar stieg, als dieser neue Exploit auftrat. 

Die beiden Hacks liegen weniger als zwei Monate auseinander und bringen den Fall von Cosmos (ATOM) in Erinnerung. Das Projekt wurde von nordkoreanischen Hackern infiltriert , die sich als Entwickler ausgaben und für kritische Teile des Codes verantwortlich waren. Derzeit wurde Cosmos nicht ausgenutzt, aber der Fall weckte Bedenken hinsichtlich der Fähigkeit böswilliger Akteure, Schwachstellen in Smart Contracts zu erkennen. 

Der Delta-Prime-Hack folgt einem ähnlichen kleineren Exploit, bei dem ein Liquiditätspool geleert wurde. Der Forscher Chaofan Shou bemerkte, dass ein verwundbarer Smart Contract es dem Hacker ermöglichte, eine viel größere Belohnung zu leeren, was das namenlose Protokoll $500K. 

Delta Prime sah sich einer Belohnungs-Ausnutzung gegenüber 

Laut On-Chain-Experten von Peckshield litt Delta Prime diesmal an einer Ausnutzung seines Belohnungs-Smart-Contracts. Der Angreifer erwarb anscheinend auch Administratorrechte auf SmartLoansFactory, einem der Neben-Contracts, die die Krediterstellung und die Erstfinanzierung in einer Transaktion steuern. Der Smart Contract verwaltet auch die Daten der Kreditnehmer, bekannt als Borrowers Registry.

Delta Prime ist ein Projekt für leveraged farming, ein riskantes Werkzeug, um Gelder zu leihen und in Yield-Farming-Protokolle zu einzahlen. Der Belohnungs-Smart Contract des Protokolls enthielt einen Fehler, der es dem Hacker ermöglichte, Belohnungen für ein gefälschtes Paar zu erhalten.

Analysen von Peckshield zeigen, dass die Eingabe des Contracts nicht überprüft wurde, was es dem Hacker ermöglichte, sowohl die ursprüngliche Sicherheit als auch die geliehenen Mittel zu behalten. Certik verfolgte die Aktionen, die einen Versuch zum Leihen von WBTC einschlossen, bei dem der Hacker sowohl die Sicherheit als auch das Darlehen hielt. 

Der Smart-Contract-Exploit geschah, obwohl Delta Prime eine vollständige Prüfung von Peckshield hatte. Insgesamt führte Delta Prime sieben unabhängige Audits durch, das letzte im Sommer 2024.

Der Ausnutzer entwendete 110 AVAX, 74 WAVAX, 860K USDC, 6,34 BTC, 49 WETH und weitere 260K USDT. Nachdem die Gelder an Zwischen-Wallets gesendet wurden, wurden einige an DeFi-Protokolle zurückgebucht, darunter LFJ und Stargate Liquidity Farming. 

Die gestohlenen Vermögenswerte stammten aus mehreren geleerten Pools, wobei die Beute in einer Adresse konzentriert wurde. Der Großteil der Gelder befindet sich auf der Arbitrum-Chain, eingeschränkt auf deren DeFi-Landschaft. Der Hacker hat die Gelder nicht gebrückt oder gemischt. 

Die Wallet des Hackers ist multi-chain, obwohl andere Adressen nur einen kleinen Teil der Gelder enthalten. Die Haupt-Wallet interagierte nach Entdeckung des Angriffs weiterhin mit anderen Arbitrum-Swap- und DeFi-Protokollen. Alle Wallets wurden kürzlich erstellt und erstmals aus DEX-Quellen finanziert. Die Wallets haben keine vorherige Aktivität oder Historie vor dem Hack. 

Einige der Gelder werden auf Avalanche gespeichert, und sie setzten ihre Bewegungen in den Stunden nach dem Angriff fort. Der Großteil der Vermögenswerte auf der Avalanche C-Chain wurde in andere Protokolle verschoben, da der Hacker sie nutzte, um Liquidität bereitzustellen. 

Die Avalanche- oder Arbitrum-Wallets enthielten keine Brückentransaktionen. Rund 750.000 US-Dollar der Gelder befinden sich in identifizierten Arbitrum-Wallets, während Avalanche 2,18 Mio. US-Dollar hält. Die beiden Angriffe wurden für jede Chain separat durchgeführt, mit insgesamt fünf identifizierten Wallets.