Onyx-Protokoll erneut für 3,8 Mio. US-Dollar durch Ausnutzen von Wechselkursfehlern gehackt
- Onyx Protocol hat ungewöhnliche Aktivitäten bemerkt, als ein Hacker einen bösartigen Smart Contract auf Vault mit geringer Liquidität umgeleitet hat.
- Der Exploit führte zu Verlusten in Höhe von bis zu 3,8 Mio. US-Dollar, wobei bereits 300.000 VUSD getauscht wurden.
- Onyx Protocol sowie andere DeFi-Hubs haben die Mängel eines Curve Finance Hard Forks geerbt und sind anfällig für ähnliche Exploits.
Die Onyx-Lending- und Borrowing-Plattform wurde für 3,8 Mio. US-Dollar ausgenutzt. Hacken, das Sicherheitsprüfungs-Hub, analysierte die ungewöhnlichen Aktivitäten auf der Plattform und schätzte die Art des Angriffs ein.
Das Onyx Protocol wurde von einem Exploit betroffen und verlor 3,8 Mio. US-Dollar. Der Angriff wurde durch einen speziell generierten bösartigen Vertrag durchgeführt, der wenige Minuten vor dem Aufruf von Onyx bereitgestellt wurde. Es gelang dem Hacker, Virtual USD (VUSD), die native Stablecoin des Protokolls, zu leeren. Dies ist der zweite Hack für Onyx seit dem 3. November 2023, als der TVL des Projekts ebenfalls abstürzte. Der Exploit führte zu zusätzlichen Angriffen in den sozialen Medien, bei denen gefälschte Links behaupteten, die Assets zu schützen. Der beste Ansatz ist es, sich ausschließlich mit den offiziellen sozialen Medien von Onyx Protocol zu interagieren.
Onyx kündigte an, dass VUSD selbst nicht betroffen ist und weiterhin funktionieren wird. Der Exploit zerstörte jedoch den Peg der Stablecoin, trotz der zusätzlichen Sicherheiten. VUSD fiel auf ein Tief von 0,39 US-Dollar und erholte sich nicht sofort auf den nominalen Wert von 1 US-Dollar.
Während die endgültige Summe, die der Hacker abheben konnte, gering ist, können die Verluste des Protokolls tiefer sein. Der VUSD-Token hat eine nominale umlaufende Menge von mehr als $51M, aber seine aktuelle Marktkapitalisierung liegt bei $19M.
Onyx stand vor einem präzisen Exploit seines Wechselkurses
Einer der Gründe für den Onyx-Exploit war die Verfügbarkeit von Pools mit geringer Liquidität. Analysen von Hacken schätzten, dass der Exploit auf eine Fehlkalkulation des Wechselkurses zurückzuführen war, wenn in einigen Paaren wenig Liquidität vorhanden ist. Der Hacker bereitete einen Smart Contract vor, um WETH in Onyx ETH (oETH) zu tauschen.
Beginnend mit einem 2.000 WETH-Kredit von Balancer, bewegte sich der Hacker durch mehrere Krypto-Assets. Gleichzeitig spammte der bösartige Vertrag Onyx mit einer Reihe von Low-Value-ETH-Transaktionen. Das Ergebnis der Swaps und Pool-Überweisungen brachte dem Hacker 3,8 Mio. VUSD, nominell im Wert von 3,8 Mio. US-Dollar.
Die letzte Transaktion konnte 300.000 VUSD abheben, die mit CoW Protocol Split-Trades in ETH getauscht wurden. Die Transaktionen verursachten einige Slippage, und der VUSD-Preis war niedriger als der nominale Wert von 1 US-Dollar, daher war eine der ausgehenden Transaktionen für $191K.
Auch andere Assets von Onyx betroffen
Die Serie von Angriffen gegen Onyx-Pools betraf mehrere Assets. Peckshield identifizierte Überweisungen von 4,1 Mio. VUSD, 7,35 Mio. Onyxcoin (XCN), 5.000 DAI, 0,23 WBTC, 50.000 USDT. Alle Überweisungen erfolgten in einer einzigen Transaktion, die vom bösartigen Smart Contract durchgeführt wurde.
Onyx ist ein Hard Fork von Compound V2 und trägt alle Mängel des Protokolls. Onyx selbst wurde zuvor auf ähnliche Weise gehackt, indem Wertberechnungen und der Wechselkurs bei illiquiden Paaren ausgenutzt wurden.
Sonne Protocol wurde im Mai erneut aufgrund bekannter Mängel in Compound V2 ausgenutzt, die alle geforkten Projekte betrafen und nicht behoben wurden. Der Fehler tritt auf, wenn das Protokoll neue, nicht finanzierte Märkte initiiert. Die Einführung neuer Paare in einem dynamischen DeFi-Raum hat das Problem vervielfacht, was zu mehreren Hacks führte.
Aufgrund der Fehlkalkulation konnte der Hacker den Smart Contract des Protokolls aufrufen und im Austausch für vernachlässigbare Sicherheiten viel größere Kredite erhalten.
Der aktuelle Onyx-Angriff hat eine ähnliche Struktur wie der Sonne-Protocol-Hack, wobei erneut eine beträchtliche Menge an Token für minimale Sicherheiten abgehoben wurde. Die lange Serie von 56 Spam-Transaktionen nagte am Onyx-Wechselkurs und ermöglichte es dem Hacker erneut, alle Mittel für eine winzige Sicherheit abzuheben.
Bisher wurden keine NFTs betroffen. Onyx Protocol bietet Bored Ape (BAYC) und Mutated Ape (MAYC) NFTs für bis zu 37 % annualisierte passive Einnahmen. PeckShield entdeckte auch einen Fehler im NFT-Vertragdes Projekts, obwohl dies nicht zu einem zusätzlichen Exploit geführt hat.
Der Angriff könnte das Werk eines rogue Mitarbeiters sein
Der Onyx-Protokoll-Angriff ist relativ klein, selbst im Vergleich zu Angriffen auf einzelne Wallets. Die Auswirkungen auf den Wert von VUSD und anderen Assets könnten größer sein. Der Angriff könnte jedoch eine weitere ernsthafte Bedrohung für Krypto-Projekte aufdecken – rogue Mitarbeiter.
Der Onyx-Protokoll-Exploit könnte auf einen Nordkoreanischen Hacker zurückzuführen sein, der sich als Projektentwickler ausgibt. Forscher behaupten, sie hätten das Onyx-Team mit potenziellen Beweisen für Verbindungen zu DRPK-Hackern kontaktiert.
Andererseits ist die Compound V2-Schwachstelle weithin bekannt und hätte möglicherweise kein Insiderwissen für die Ausnutzung erfordert.
Bericht von Cryptopolitan von Hristina Vasileva
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
