Makina wurde für 4,13 Millionen USD ausgenutzt, DUSD/USDC CurveStable-Pool geleert

Makina, ein dezentrales Finanzprotokoll mit automatischer Ausführung, litt am frühen Dienstagmorgen an einer Ausnutzung, die seinen DUSD/USDC-Liquiditätspool auf Curve leerte, so die Blockchain-Sicherheitsfirma PeckShield. 

Berichten zufolge verlor Makina Finance etwa 1.299 Ether aus seinem Curve-Stablecoin-Pool an Hacker. Zum Zeitpunkt des Vorfalls war er etwa 4,13 Millionen USD wert. Laut der Analyse von PeckShield brachen Angreifer in die nicht-kustodialen Liquiditätsanbieter des Protokolls im DUSD/USDC CurveStable-Pool ein, der einen On-Chain-Preisdaten-Feed-Oracle verwendet. 

Oracles versorgen Smart Contracts mit externen Informationen, wie z. B. Vermögenspreisen, die die Hacker während der Transaktion ausnutzten, um die Token zu einem künstlich günstigen Kurs abzuheben.

Der Makina-Hacker nutzte Flash-Loans, um $5 Millionen abzuschöpfen

Laut einem Sicherheitsexperten bei CertiK, begann der Täter damit, 280 Millionen USDC ohne Vorauskaution zu leihen, unter der Bedingung, dass die Mittel in derselben Transaktion zurückgezahlt würden.

Von dem geliehenen Betrag wurden etwa 170 Millionen USDC verwendet, um den MachineShareOracle zu manipulieren, der für die Meldung der Anteilspreise an den Pool zuständig ist. Nach der Einzahlung des über einen Flash-Loan geliehenen Kapitals konnten sie die Preisdaten des Oracles vorübergehend verzerren und ihn dazu bringen, ungenaue Preisinformationen zu vertrauen.

🚨 Heute erneut ein Exploit (4.1M):

Flashloan + unbefugtes AUM-Refresh ist eine gefährliche Kombination.

Ein Share-Price-Oracle wurde mitten in der Transaktion aktualisiert, wodurch ein Curve-Pool zu einem aufgeblähten Kurs auszahlen konnte. ~5,1 Mio. USDC verließen den DUSD/USDC-Pool, der Angreifer erzielte einen Gewinn von etwa 4,1 Mio. pic.twitter.com/t4RKYoUWDl

— n0b0dy (@nn0b0dyyy) Januar 20, 2026

Als der Oracle aufblasierte Werte meldete, tauschte der Angreifer etwa 110 Millionen USDC gegen einen Pool, der nur etwa 5 Millionen USDC an Liquidität hielt. Da der Pool annahm, die Vermögenswerte seien mehr wert als sie tatsächlich waren, zahlte er weit mehr aus, als er hätte, und leerte sich. 

„Ein Anteilspreis-Oracle wurde während der Transaktion manipuliert, wodurch ein Curve-Pool zu einem aufgeblähten Kurs auszuzahlen hatte. ~5,1 Mio. USDC verließen den DUSD/USDC-Pool, der Angreifer erzielte einen Gewinn von etwa 4,1 Mio.“, sagte der Sicherheitsexperte.

Makina Finance wurde im vergangenen Februar gestartet und bewarb sich als institutioneller DeFi-Ausführungsmotor. Laut Daten von DeFiLlama hält das Protokoll etwa 100,49 Millionen US-Dollar im Total Value Locked (TVL). 

MEV-Bauer hat die Makina-Exploit-Zahlen um $800k gekürzt

Der Hacker tauschte die DUSD-Erlöse in Ether und führte mehrere Transaktionen aus, um die Vermögenswerte zu konsolidieren und neu zu positionieren. Laut CertiK wurde die Exploit-Transaktion jedoch teilweise von einem MEV Builder vorweggenommen. 

Maximal Extractable Value (MEV) ist der Gewinn, den Block-Builder und Validatoren maximieren können, indem sie Transaktionen vor der Verarbeitung in der Blockchain neu anordnen, einfügen oder zensieren. In diesem Fall sammelte eine MEV-Entität, identifiziert durch das Adresspräfix 0xa6c2, den Großteil des Wertes, während der Exploit ablief. 

CertiK schätzte, dass der MEV-Bauer etwa 4,14 Millionen US-Dollar von den 5 Millionen US-Dollar, die sie aus dem Stablecoin-Pool abgehoben hatten, sicherte.

Die MEV-Routingsplit teilte den verbleibenden Ether auf zwei Adressen auf: die erste (0xbed) hielt 3,3 Millionen US-Dollar in ETH, und die andere (0x573d) hielt etwa 276 ETH.

Gegen 6:42 Uhr MEZ am Dienstag schrieb Makina Finance eine Erklärung auf X, in der der Hack anerkannt wurde, aber darauf bestanden wurde, dass das Problem die gesamte Infrastruktur des Protokolls nicht beeinträchtigte.

Gmak, heute Morgen erhielten wir Berichte über einen Vorfall mit dem $DUSD Curve-Pool

Derzeit scheint das Problem auf DUSD-LP-Positionen auf Curve beschränkt zu sein. Es gibt derzeit keine Anzeichen dafür, dass andere Vermögenswerte oder Bereitstellungen betroffen sind.

Grundlegende Vermögenswerte, die in…

— Makina (@makinafi) Januar 20, 2026

Makina bat auch die Liquiditätsanbieter im DUSD-Curve-Pool, ihre Liquidität zu entfernen, während das Unternehmen „die geeigneten nächsten Schritte für betroffene Benutzer und LPs“ ermittelt. Das Team versprach zudem, der Community so bald wie möglich weitere Updates nach Abschluss der Vorfalluntersuchung bereitzustellen.

Der Flash-Loan-Angriff des DeFi-Protokolls bedeutet das Aus für ein Jahr, von dem sich Krypto-Nutzer erhofft hatten, unbeschadet davonzukommen, nach einem schrecklichen 2025, in dem über 3 Milliarden US-Dollar aus dem Markt gestohlen wurden. 

Ein Web3-Sicherheits- und Betrugsbericht von Cyvers dokumentierte im vergangenen Jahr 108 betrugs- und sicherheitsrelevante Vorfälle sowie etwa 16 Milliarden US-Dollar an Krypto-Assets erschlichen von mindestens 140 Börsen und Handelsplattformen.

Cyvers meldete auch mehr als 4,2 Millionen betrügerische Transaktionen von 780.000 Adressen und fast 19.000 aktive Betrugsnetzwerke, an denen Vermögenswerte wie USDT, ETH und USDC beteiligt waren.