Hackers schlagen Flooring Protocol Fork Asterisk zu, während sich die Kontagion ausbreitet
- Ein Exploit entzog Asterix, einer Abspaltung des Flooring Protocol, rund 40.000 Dollar – unter Ausnutzung derselben Sicherheitslücke, die Flooring bereits einen Tag zuvor über 900.000 Dollar gekostet hatte.
- White-Hat-Forscher unter der Leitung von Yuga Labs konnten etwa 500.000 Dollar an NFTs aus den Pools von Flooring zurückgewinnen.
- Die aufeinanderfolgenden Angriffe verdeutlichen das Risiko, dass abgeleitete Codebasen unpatchte Sicherheitsmängel übernehmen – ein Problem in einem Jahr, in dem die Verluste durch Krypto-Exploits bereits 340 Millionen Dollar überschritten haben.
Der Flooring Protocol Exploit vom 8. Juni bekam heute früher ein Sequel, als Asterix, ein Fork der NFT-Liquiditätsplattform, Opfer eines Exploits wurde, der etwa 40.000 US-Dollar an Assets abzog.
Die Neuigkeit über den Exploit trübt die Stimmung, nachdem White-Hat-Forscher gemeldet hatten, dass sie geholfen hatten, mehr als 500.000 US-Dollar an Blue-Chip-NFTs aus derselben Flooring-Verwundbarkeitslücke zurückzugewinnen, die anscheinend auch verwendet wurde, um in Asterix einzubrechen.
Die Verwundbarkeit von Flooring Protocol verbreitete sich über Forked Code auf Asterisk
Ein Mitglied der Blockchain-Sicherheitsfirma BlockSec, Phalcon, war einer der ersten, der die Ähnlichkeiten zwischen dem Asterix-Angriffsvektor und der Schwachstelle bemerkte, die Angreifern ermöglichte, Flooring Protocol Pools am 8. Juni zu leeren.
Phalcon sagte, der Flooring Protocol Angriff sei im Wesentlichen auf Asterix zurückgesetzt worden, da dieser anscheinend von DN404/BT404 geforkt wurde, einem Token-Standard, der fungible und nicht-fungible Mechaniken kombiniert.
Anfängliche Berichte über den Flooring-Vorfall nannten Verlustzahlen von über 900.000 US-Dollar, bevor White-Hat-Eingriffe geholfen hatten, etwa $500,000 zurückzugewinnen.
Asterix hat den Sicherheitsvorfall bereits in einer X-Erklärungbestätigt, in der anerkannt wurde, dass ein Exploit den $ASTX-Token-Vertrag gegen 4 Uhr GMT+8 getroffen hatte. Das Team sagte, es untersuche den Vorfall und werde einen vollständigen Post-Mortem veröffentlichen, sobald die Analyse abgeschlossen ist.
Wie ist der Flooring-Exploit passiert?
Flooring Protocol, das den Betrieb letztes Jahr einstellte, ermöglichte es Nutzern, NFTs in Pools einzuzahlen und fungible Token zu erhalten, die eins-zu-eins an diese gesperrten Assets gekoppelt waren.
Der Flooring Protocol Angriff, der sich seitdem auszubreiten begann, nutzte eine Schwachstelle im BT404-ähnlichen Abrechnungssystem der Plattform aus, das der VP of Blockchain von Yuga Labs als „Ghost Ownership“-Phänomen bezeichnete auf X.
Einfach ausgedrückt bedeutet dies, dass jemand eine bösartige Token-ID verwenden konnte, um eine Besitzprüfungsbestätigung zu bestehen und sie dennoch erneut zu verwenden, um ein anderes Ergebnis in einer anderen Abrechnungslogik zu erzeugen, was zu einem mathematischen Problem im Token-Guthaben führte.
In diesem Fall schuf der Angreifer ein nahezu unendliches Guthaben an fpTokens, den fungiblen Token, die jeder verwenden kann, um NFTs zu beanspruchen, die in Floorings Pools gesperrt sind.
Yuga Labs setzt mit White-Hat-Bemühungen nach
Sobald der Flooring-Abfluss öffentlich wurde, sagte Yuga Labs CEO Michael Figge, das Unternehmen habe schnell eine White-Hat-Rettung gestartet, bevor ein anderer Angreifer die verwundbaren NFTs erreichen konnte.
Die NFT-Rettungsoperation sicherte 68 NFTs im Wert von geschätzt 346 ETH (zu der Zeit etwa 570.000 US-Dollar), darunter 29 Bored Ape Yacht Club NFTs, vier Mutant Apes, zwei CryptoPunks, einen Azuki, zwei Elementals, 26 Captains, einen Moonbird und zwei Doodles.
Super Secret Rare (SSR), ein Projekt, das seine Verwundbarkeit bemerkte, nachdem Asterisk getroffen wurde, warnte Nutzer nicht mit dem Pool zu interagieren, solange die Situation ungelöst blieb.
FreeLunchCapital, der Entwickler hinter Floorings betroffenen Verträgen, bestätigte, dass der Exploit auch BitmapPunks traf, die ein ähnliches Vertragsdesign verwendeten. Beide Projekte verließen sich auf fungible Token, die eins-zu-eins an gesperrte NFTs gekoppelt waren, was sie anfällig für denselben Angriffspfad machte.
Ein Exploit nach dem anderen
Die Vorfälle bei Flooring und Asterix fügen sich in eine miserable Serie von Sicherheitspannen ein, die durch Web3 fegt. Wie Cryptopolitan in früheren Berichten beobachtete, summten sich die astronomischen Dollar-Verluste im April zu einer höheren Anzahl einzelner Vorfälle im Mai auf, die 60 bestätigte Sicherheitsvorfälle mit einem Bruttoverlust von 68,3 Millionen US-Dollar laut Certik erreichten. PeckShield attribuierte Verluste in Höhe von 340,7 Millionen US-Dollar an 14 Bridge- und Cross-Chain-Exploits bis zum 1. Juni.
Geforkte Protokolle stellen ihre eigenen Arten von Kopfschmerzen dar. Wenn nachgelagerte Projekte Code kopieren, ohne ihn zu überprüfen, kann eine einzelne Schwachstelle im Basiscodebase auf mehreren Ebenen repliziert werden, genau wie es im Flooring-, Asterix-Fall jetzt geschah.
Yuga Labs sagte, die geretteten NFTs würden zurückgegeben, sobald die Entwickler von Flooring Protocol einen Patch abgeschlossen haben. 0xQuit warnte Nutzer, keine neuen NFTs in Flooring einzuzahlen, solange die Verwundbarkeit offen bleibt. Für Asterix-Inhaber ist der Verlust von 40.000 US-Dollar kleiner im Umfang, aber das Team hat noch nicht bekannt gegeben, ob eine Rückgewinnung möglich ist.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist Asterix und wie steht es mit Flooring Protocol in Verbindung?
Asterix ist ein Projekt, das seinen Code vom Flooring Protocol sowie vom DN404-/BT404-Token-Standard übernommen hat. Durch diese gemeinsame Codebasis konnte dieselbe Sicherheitslücke, die am 8. Juni bei Flooring ausgenutzt wurde, auch am folgenden Tag gegen Asterix eingesetzt werden.
Wie hoch waren die Verluste und Rückgewinnungen beim Flooring-Protocol-Exploit?
Der Gesamtschaden durch den Flooring-Exploit belief sich auf mehr als 900.000 Dollar. White-Hat-Forscher konnten schätzungsweise 500.000 Dollar an NFTs zurückgewinnen, darunter 29 Bored Apes und zwei CryptoPunks.
Was war die Ursache für die Sicherheitslücke im Flooring Protocol?
Laut 0xQuit, VP of Blockchain bei Yuga Labs, ermöglichte ein Fehler im BT404-ähnlichen Abrechnungssystem von Flooring, dass eine bösartige Token-ID einen Besitzüberprüfungsprozess bestand, in späteren Buchhaltungen jedoch ein anderes Ergebnis lieferte. Dies schuf einen Zustand der „Geistbesitz“, der dem Angreifer einen nahezu unendlichen Guthabenstand an Claim-Token verschaffte.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
