- Laut Sicherheitsforschern wurde der Thetanuts-Angriff auf einen Fehler in der Einlöselogik des Vaults zurückgeführt.
- Berichten zufolge wurden die meisten gestohlenen Mittel durch Whitehat-Aktivitäten zurückgewonnen, wobei nur ein kleinerer Teil vom Angreifer in ETH umgewandelt wurde.
- Thetanuts gibt an, dass seine aktuellen Produkte und Smart Contracts nicht von dem Exploit betroffen waren.
Thetanuts Finance, das DeFi-Optionsprotokoll, hat bestätigt, dass es einem Exploit zum Opfer gefallen ist, der 2,1 Millionen US-Dollar aus einem damit verbundenen Legacy-Vault abgezogen hat.
Laut Thetanuts war der kompromittierte Vertrag vor Jahren bereits als veraltet (deprecated) markiert worden.
Die Blockchain-Sicherheitsfirma PeckShieldAlert, der den Vorfall markierte, bevor Thetanuts den Exploit bestätigte, berichtete, dass es so aussah, als ob 2 Millionen US-Dollar an Optionstoken durch White-Hat-Maßnahmen zurückgewonnen worden wären.
Die restlichen Mittel, etwa 105.000 US-Dollar in USDC, wurden vom Angreifer für etwa 60 ETH getauscht, so die On-Chain-Analyse von PeckShieldAlert. Der Angreifer hält zudem 34.000 US-Dollar an in USDC denominierten Optionstoken.
Was führte zum Exploit des Legacy-Vaults von Thetanuts Finance?
Eine Schwachstelle in der Redemption-Logik des Vaults ist die Ursache des Exploits, so der Sicherheitsforscher ExVul, der eine Aufschlüsselung auf X veröffentlichte.
Thetanuts Finance reagierte innerhalb von Stunden, indem es auf X, „Unsere vorläufige Untersuchung ergibt, dass dies erneut ein Legacy-Vault ist, von dem wir vor Jahren migriert haben.“
Das Protokoll erklärte: „Es hat keine Beziehung zu irgendeinem unserer aktuellen Verträge oder Produkte“, und fügte hinzu, dass es einen vollständigen Post-Mortem veröffentlichen werde, sobald mehr Details vorliegen.
Das Exploit-Erkennungssystem von Blockaid hat den Angriff auch unabhängig erkannt und einen Community-Alert herausgegeben, der die aktive Ausnutzung des Thetanuts-Vertrags auf Ethereum markiert. Die Sicherheitsplattform hat auch die Adresse des Angreifers und die Adresse des kompromittierten Vertrags geteilt.
Werden veraltete Protokolle angegriffen?
Der Vorfall bei Thetanuts fügt sich in eine wachsende Liste veralteter Protokolle ein, die kürzlich angegriffen wurden.
Der jüngste, abgesehen von Thetanuts, ist Aztec Connect, eine Datenschutz-Brücke, die seit 2023 aufgegeben wurde und 2,1 Millionen US-Dollar durch eine separate Verifizierungsschwäche in ihren unveränderlichen Smart Contracts verlor, wie Cryptopolitan berichtete. In diesem Fall hatte das Team alle Admin-Schlüssel aufgegeben, sodass niemand den Code patchen oder pausieren konnte.
Bisher im Juni hat der Gesamtwert, der im Rahmen von DeFi-Exploits gehackt wurde, 46 Millionen US-Dollar überschritten, und wir sind erst in der Monatsmitte. In diesem Tempo könnte es Mai erreichen oder übertreffen, das ebenfalls eine ganze Reihe von Protokollverletzungen zu verzeichnen hatte.
Thetanuts hat versucht, seine Nutzer seiner aktuellen Verträge zu versichern, dass sie nicht gefährdet sind; jedoch haben die neuesten Ereignisse den Nutzern klar gemacht, dass aufgegebenen Code kein sicherer Code ist und somit auch die damit verbundenen Gelder nicht sicher sind.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Was ist beim Thetanuts-Finance-Exploit passiert?
Nein. Thetanuts Finance erklärte, dass der ausgebeutete Vault vor Jahren als veraltet markiert wurde und „keine Verbindung zu unseren aktuellen Verträgen oder Produkten“ hat, so das Team in einem Post auf X.
Sind aktuelle Thetanuts-Finance-Nutzer betroffen?
Ein Angreifer nutzte einen Fehler in der Einlösemathematik eines veralteten Thetanuts Finance-Vaults auf Ethereum aus und entzog am 15. Juni 2026 etwa 2,1 Millionen US-Dollar. PeckShield berichtete, dass rund 2 Millionen US-Dollar an Optionstoken von einem Whitehat zurückerlangt wurden, während der Angreifer etwa 105.000 USDC gegen rund 60 ETH tauschte.
Welche Schwachstelle hat den Angriff ermöglicht?
Der Sicherheitsforscher ExVul identifizierte die Ursache als einen Fehler in der Einlösemathematik des Legacy-Vaults, der die Formel `backing * amount / totalSupply` zur Berechnung der Anteilsauszahlungen verwendete und es dem Angreifer ermöglichte, mehr Mittel abzuheben, als ihm zustanden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
