Makina wurde um 4,13 Millionen Dollar erleichtert, der DUSD/USDC CurveStable-Pool ist leergeräumt

Laut dem Blockchain-Sicherheitsunternehmen PeckShield wurde Makina, ein dezentrales Finanzprotokoll mit automatisierter Ausführung, am frühen Dienstagmorgen Opfer eines Exploits, der den Liquiditätspool von DUSD/USDC auf Curve leerte. 

Makina Finance hat Berichten zufolge rund 1.299 Ether aus seinem Curve-Stablecoin-Pool durch Hackerangriffe verloren. Der Wert dieser Ether lag zum Zeitpunkt des Angriffs bei etwa 4,13 Millionen US-Dollar. Laut einer Analyse von Peckshield drangen die Angreifer in die Systeme der nicht-verwahrenden Liquiditätsanbieter des DUSD/USDC CurveStable-Pools ein, der ein On-Chain-Oracle für Preisdaten nutzt. 

Oracles stellen Smarttracexterne Informationen wie beispielsweise Vermögenspreise zur Verfügung, die die Hacker während der Transaktion ausnutzten und die Token zu einem künstlich günstigen Kurs abhoben.

Makina-Hacker nutzte Flash-Kredite, um 5 Millionen Dollar zu erbeuten

Laut einem Sicherheitsingenieur bei CertiKbegann der Täter damit, 280 Millionen USDC ohne vorherige Sicherheiten aufzunehmen, unter der Bedingung, dass die Gelder in derselben Transaktion zurückgezahlt würden.

Von dem geliehenen Betrag wurden etwa 170 Millionen USDC verwendet, um das MachineShareOracle zu manipulieren, das für die Meldung der Aktienkurse an den Pool zuständig ist. Durch die Zuführung von Kapital aus einem Flash-Kredit gelang es ihnen, die Kursdaten des Oracles vorübergehend zu verfälschen und es dazu zu bringen, fehlerhaften Kursinformationen zu vertrauen.

🚨 Heute wurde erneut eine Sicherheitslücke entdeckt (4,1 Mio.):

Flashkredit + AUM-Refresh ohne Genehmigung ist eine gefährliche Kombination.

Ein Aktienkurs-Orakel wurde mitten in einer Transaktion manipuliert, wodurch ein Curve-Pool zu einem überhöhten Kurs ausschüttete. Rund 5,1 Millionen USDC verließen den DUSD/USDC-Pool, der Angreifer erzielte einen Gewinn von etwa 4,1 Millionen. pic.twitter.com/t4RKYoUWDl

— n0b0dy (@nn0b0dyyy) 20. Januar 2026

Als das Orakel überhöhte Werte meldete, tauschte der Angreifer etwa 110 Millionen USDC gegen einen Pool, der nur noch über rund 5 Millionen US-Dollar Liquidität verfügte. Da der Pool die Vermögenswerte höher einschätzte, als sie tatsächlich waren, zahlte er weit mehr aus, als er hätte sollen, und leerte sich selbst. 

„Ein Aktienkurs-Orakel wurde mitten in einer Transaktion manipuliert, wodurch ein Curve-Pool zu einem überhöhten Kurs auszahlte. Rund 5,1 Millionen USDC verließen den DUSD/USDC-Pool, der Angreifer erzielte einen Gewinn von etwa 4,1 Millionen“, sagte der Sicherheitsingenieur.

Makina Finance wurde im vergangenen Februar eingeführt und positioniert sich als institutionelle DeFi Handelsplattform. Laut Daten von DeFiLlama verwaltet das Protokoll Vermögenswerte im Gesamtwert von rund 100,49 Millionen US-Dollar. 

MEV-Hersteller reduzierte die Makina-Exploit-Zahlen um 800.000 US-Dollar

Der Hacker nutzte die Erlöse aus dem DUSD-Handel und tauschte sie in Ether um, indem er mehrere Transaktionen durchführte, um die Vermögenswerte zu konsolidieren und neu zu positionieren. Laut CertiK wurde die ausgenutzte Transaktion jedoch teilweise von einem MEV- Builder vorab ausgeführt. 

Der maximale Wert dertracentspricht dem Gewinn, den Blockersteller und Validatoren durch Umsortierung, Einschleusung und Zensur von Transaktionen vor deren Verarbeitung in der Blockchain maximieren können. In diesem Falldenteine MEV-Entität mit dem Adresspräfix 0xa6c2 den Großteil dieses Wertes, als der Exploit ausgenutzt wurde. 

CertiK schätzte, dass der MEV-Entwickler etwa 4,14 Millionen Dollar von den 5 Millionen Dollar, die er aus dem Stablecoin-Pool abgehoben hatte, beschlagnahmt hat.

Das MEV-Routing teilte das verbleibende Ether auf zwei Adressen auf: Die erste (0xbed) enthielt ETH im Wert von 3,3 Millionen Dollar, die andere (0x573d) enthielt etwa 276 ETH.

Am Dienstag gegen 6:42 Uhr UTC veröffentlichte Makina Finance eine Stellungnahme auf X, in der der Hackerangriff bestätigt wurde, jedoch darauf bestand, dass das Problem nicht die gesamte Infrastruktur des Protokolls beeinträchtigt habe.

Gmak, heute Morgen erreichten uns Meldungen über einen Vorfalldent $ DUSD Curve Pool.

Zum jetzigen Zeitpunkt scheint das Problem auf DUSD LP-Positionen auf Curve beschränkt zu sein. Es gibt derzeit keine Anzeichen dafür, dass andere Vermögenswerte oder Anlagen betroffen sind.

Die zugrunde liegenden Vermögenswerte werden gehalten in…

– Makina (@makinafi) 20. Januar 2026

Makina bat außerdem die Liquiditätsanbieter im DUSD Curve Pool, ihre Liquidität zu entfernen, während sie die „geeigneten nächsten Schritte für betroffene Nutzer und Liquiditätsanbieter“ prüft. Das Team versprach zudem, die Community umgehend über weitere Entwicklungen zu informieren, sobald die Untersuchung desdent abgeschlossen ist.

Der Flash-Loan-Angriff auf das DeFi Protokoll bedeutet das Aus für ein Jahr, von dem Krypto-Nutzer gehofft hatten, unbeschadet davonzukommen, nach einem verheerenden Jahr 2025, in dem über 3 Milliarden Dollar vom Markt gestohlen wurden. 

Ein Web3-Sicherheits- und Betrugsbericht von Cyvers dokumentierte 108 Betrugs- und sicherheitsbezogene Vorfälledentletzten Jahr sowie den Diebstahl von mindestens 140 Börsen und Handelsplattformen.

Cyvers meldete außerdem mehr als 4,2 Millionen betrügerische Transaktionen von 780.000 Adressen und fast 19.000 aktiven Betrugsnetzwerken, bei denen Vermögenswerte wie USDT, ETH und USDC betroffen waren.