Orange Finance warnt, dass ein Hacker alle seine Verträge auf Arbitrum kompromittiert hat

Orange Finance warnte alle seine Nutzer, nicht mit seinen Smart Contracts auf Arbitrum zu interagieren, da diese von einem Hacker kompromittiert wurden. Der Angreifer zog auch Mittel aus einigen der Verträge ab, wobei die Verluste bei rund 840.000 US-Dollar lagen.

Die Smart Contracts von Orange Finance im Arbitrum-Netzwerk wurden kompromittiert und Mittel wurden gestohlen. Das Projekt dass jemand eine gefälschte Seite auf GitHub erstellt hatte, die so aussah, als biete sie das beliebte Qwen-KI-Modell zum Download an. Die Seite versprach überzeugend eine vollständig offline KI, die die Benutzerdaten privat halten würde, aber die Falle wurde durch die Dateigröße verraten. seine Nutzer auf, ihre Wallets zu überprüfen und alle Berechtigungen für Smart Contracts zu widerrufen, um Verluste zu vermeiden. 

Der Exploit kommt nach einem Jahr mit Spitzenwerten bei Phishing-Aktivitäten, das darauf abzielt, Wallet-Besitzer und Projektteams durch bösartige Links oder Software auszunutzen. Zu diesem Zeitpunkt ist unklar, wie der Hacker die Kontrolle über die Multisig-Wallets und Verträge sowie die Liquiditäts-Tresore erlangt hat.

Der Angreifer gelangte es, die Liquiditäts-Tresore für Token und Stablecoins zu leeren. Mehrere Tresor-Adressen wurden geleert, obwohl das Protokoll noch rund 50 % seiner Liquidität hält.

https://twitter.com/0xOrangeFinance/status/1876975123359572440

Orange Finance untersucht weiterhin die Art des Exploits

Der Angreifer gelangte es, die Kontrolle über das Admin-Wallet von Orange Finance zu erlangen und änderte das Verhalten aller Smart Contracts. Der Angreifer hat wahrscheinlich eine geringe Sicherheit in der Multisig-Wallet des Projekts ausgenutzt, die trotz vorheriger Sicherheitsaudits übersehen wurde. 

Das Orange Finance-Team sendete eine On-Chain- Nachricht an den Hacker, in der er die Rückgabe der Mittel vorschlug, falls der Vorfall als White-Hat-Aktion behandelt wird.

Die Verluste durch die Übernahme der Tresore des Projekts werden auf 840.000 US-Dollar geschätzt, obwohl das Endergebnis höher sein könnte. Die gestohlenen Assets umfassten Stablecoins und WETH und wurden bereits in ETH umgewandelt und gehandelt. 

Orange Finance hat seinen Stablecoin-Tresor geschlossen und vor anderen potenziell kompromittierten Adressen gewarnt. Der Hacker hatte die volle Kontrolle über die Überweisungen, und es gibt keine Aufzeichnungen darüber, dass einfach die eigene Logik des Smart Contracts genutzt wurde. 

Das Team untersucht weiterhin den Exploit und warnt Nutzer, nicht zu versuchen, verbliebene Liquidität abzuheben. 

Orange Finance ist eines der am häufigsten genutzten Liquiditäts-Aggregationsprotokolle auf Arbitrum. Zu seinem Höhepunkt hielt das Projekt $1.94M in insgesamt gesperrtem Wert. Der Angriff hat nicht alle Tresore vollständig geleert, da das Protokoll noch rund 731.000 US-Dollar Liquidität hält. 

Arbitrum verzeichnet mehr als 980 Millionen US-Dollar an DEX-Handelsaktivität, mit Liquiditätszuflüssen aus Ethereum. Die L2-Chain ist einer der liquidesten Orte für DEX-Handel, aufgrund der Zuflüsse von Stablecoins und der extrem niedrigen Handelsgebühren. 

Auch Stryke Protocol betroffen

Der Hacker hat auch die Tresore des Stryke Protocol ausgenutzt und dessen Liquiditätsbereitstellungsmarkt getroffen. Das Projekt behauptet, seine Hauptfunktionen seien sicher und nicht kompromittiert, hat jedoch vorübergehend alle seine Aktivitäten auf Arbitrum eingestellt. 

Orange Finance ist ein Partnerprotokoll von Stryke, das sich speziell auf Arbitrum-Aktivitäten mit konzentrierter Liquidität konzentriert. Stryke selbst hat keine direkten Mittel verloren, abgesehen von der begrenzten Anzahl von Tresoren bei Orange Finance. 

Das größte Problem aus den geschlossenen Smart Contracts ist, dass beide Protokolle offene Positionen haben, die im Falle von Marktschwankungen liquidiert werden könnten. Liquiditätsanbieter könnten Verluste bei einigen ihrer Positionen erleiden, wenn das Protokoll geschlossen bleibt. Nutzer erhalten fehlgeschlagene Transaktionen Benachrichtigungen, da sie ihre Positionen nicht sichern können. 

Stryke Protocol hält rund 2,17 Millionen US-Dollar an Liquidität und ist ein relativ kleiner Markt für Liquidität. Das Projekt, früher bekannt als Dopex, handelt BTC-, ETH-, ARB- und BOOP-Optionen.

Stryke Protocol ist, wie Orange Protocol, noch tokenlos, wobei Punkte für die Aktivität belohnt werden. Die Protokolle haben keine bevorstehende Airdrop-erwähnt, könnten aber weiterhin Nutzer anziehen, die in Zukunft mit einem Token rechnen. Glücklicherweise hat der Hack keine bestehenden Token betroffen, da Markteinbußen normalerweise höher sind als der Hack selbst. 

Die Protokolle sind attraktiv, da sie höhere Renditen im Austausch für Liquidität für einige der wichtigsten Handelspaare bieten. Stryke Protocol und OrangeProtocol steigern die Aktivitäten auf großen DEXs, einschließlich Uniswap und PancakeSwap, mit Fokus auf einige der aktivsten und liquidesten Paare. Das Protokoll erzielte extrem hohe Auszahlungen für die Tresore, um das potenzielle Risiko auszugleichen. Kürzlich haben einige der Tresore den Anbietern von konzentrierter Liquidität mehr als 1.020 % annualisierte Rendite gebracht.