Stablecoin-DeFi-Bank Infini erleidet $49M-Exploit, nachdem Angreifer Admin-Level-Kontrolle behält
- Infini, eine Krypto-Neobank, wurde von einem ehemaligen Ingenieur gehackt, der für die Erstellung eines Smart Contracts eingestellt wurde.
- Der Co-Gründer des Projekts übernahm die Verantwortung für die unzureichende Sicherung des Zugangs.
- Die Mittel von Infini wurden in DAI getauscht, dann in ETH und auf mehrere Adressen aufgeteilt, ähnlich wie beim jüngsten Bybit-Hack.
Ein Hacker hat über 49 Millionen US-Dollar in USDC aus der Infini-Stablecoin-Bank abgezogen. Der Exploit könnte auf Insider-Zugriff auf einen Smart Contract zurückzuführen sein, bei dem der Entwickler den Zugriff nach der Übergabe an Infini behielt.
Admin-Zugriff auf einen Smart Contract ermöglichte es einem Ausnutzer, 49 Millionen US-Dollar aus dem Infini-Protokoll, einer Stablecoin-DeFi-Bank, abzuziehen. Infini selbst hat nicht auf den Exploit reagiert oder die Art des Hacks erklärt. Infini ist ein Krypto-Kartenherausgeber, der Stablecoin-Sicherheiten nimmt, um tägliche Zahlungen durchzuführen.
Infini warb mit seinen Zahlungsdienstleistungen als Neobank, die Krypto und traditionelle Finanzen mischt. Das Produkt zog in den letzten Wochen 500 % mehr Nutzer an, als es seine Kartenkampagnen startete. Die Neobank bietet auch hochverzinsliche Einnahmeprodukte an, was zu einem Anstieg der verfügbaren Liquidität für den Ausnutzer führte.
Genau diese Renditeprodukte schufen die Bedingungen für den Exploit, da die Gelder Berichten zufolge ähnliche aus dem Morpho MEV Capital Usual USDC Vault abgezogen wurden. Morpho hat keine Warnungen herausgegeben oder verlorene Gelder gemeldet.
Der Exploit wurde bemerkt, nachdem ein regelmäßiger Whale Transaktion, bei dem eine neue Wallet alle in den Contract gesperrten Gelder abzog. Die Wallet des Angreifers war Infini bekannt, da das Projekt Berichten zufolge den Ausnutzer beauftragte, den Smart Contract zu erstellen. Dem Projekt war nicht bekannt, dass der Angreifer Admin-Rechte behielt und den Aufruf tätigen konnte, um die gesamte Liquidität abzuziehen.
🚨ALERT🚨Heute erlitt @0xinfini einen $49M $USDC-Exploit, da ein Angreifer zurückgehaltene administrative Privilegien missbrauchte.
Der Angreifer, der unter 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1 operierte, hatte den Vertrag ursprünglich im Rahmen des Infini-Projekts entwickelt. Allerdings hat er nach der Übergabe an Infini… pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) Februar 24, 2025
Die unmittelbare Handlung des Ausbeuters bestand darin, USDC zu verkaufen und 17.696 ETH zu kaufen. Der Ausbeuter nutzte dabei DAI, das über dezentrale Protokolle verfügbar war. Die Gelder wurden über Uniswap, Sky Protocol und 0x Protocol bewegt. Das schnelle Umwandeln von USDC ermöglichte es dem Hacker, die Gelder in ETH zu verschieben, die nicht eingefroren, sondern nur von Börsen auf die schwarze Liste gesetzt werden kann.
Danach teilte der Angreifer die Erlöse in kleinere Beträge und mehrere Adressen auf. Der Ausbeuter nutzte eine neue Wallet, um einen kleinen Betrag an ETH für Gas-Gebühren zu senden und die Transaktion abzuschließen. Die ursprüngliche Finanzierung der Wallet stammte von Tornado Cash, was einen Teil der On-Chain-Präsenz des Hackers verschleierte.
Anschließend wurde das ETH durch eine Reihe von Überweisungen bewegt. Zum Zeitpunkt der Erstellung dieses Textes waren die Gelder noch nicht gemischt.
Haben DPRK-Hacker erneut zugeschlagen?
Die Identität des Vertragserstellers bleibt unbekannt, da Infini nicht bekannt gegeben hat, wer mit dem Bau des Smart Contracts beauftragt war.
Der Infini-Hack folgt dem größten Exploit von 2025, bei dem der Bybit-Börse bis zu 1,5 Mrd. US-Dollar in Ethereum (ETH) verlor. Der Bybit-Hacker verfolgte einen ähnlichen Ansatz, indem er ETH vor dem Mischen aufteilte. Der On-Chain-Ermittler ZachXBT hat mehrere Beispiele genannt, die zeigen, dass dieser Ansatz eine Signaturbewegung der Lazarus-Hackergruppe ist. Bisher hat Infini keine der Wallets des Ausbeuters mit anderen bekannten Lazarus-Adressen in Verbindung gebracht.
Diesmal wurden keine privaten Schlüssel geleakt, und Infini hat Ein- und Auszahlungen nicht gestoppt.
Der Gründer von Infini, @christianeth, übernahm die volle Verantwortung für den Exploit und gab an, er habe bei der Übertragung der Autorität vom Entwickler zum Projekt fahrlässig gehandelt. Der Gründer versicherte den Nutzern, dass das Protokoll weiterhin liquide sei und im schlimmsten Fall eine vollständige Entschädigung geleistet werde.
“Mein persönlicher privater Schlüssel wurde nicht geleakt, daher besteht kein Grund zur großen Sorge. Ich war bei der vorherigen Übertragung der Autorität fahrlässig. Letztendlich liegt die Verantwortung bei mir. Dies hat Alarm geschlagen… Es gibt keine Probleme mit der Liquidität. Die vollständige Entschädigung kann gezahlt werden, und die Gelder werden zurückverfolgt,” schrieb @christianeth auf X.
Andere On-Chain-Analysen deuten auf einen möglichen Leak eines privaten Schlüssels hin, der dem Hacker den Zugang zum Vertrag ermöglichte. PeckShield wies darauf hin, dass der Ingenieur, der zum Hacker wurde, bereits identifizierte. Nach dem Angriff löschte einer der Co-Gründer von Infini, @0xsexybanana, seinen X-Account. Der aktuelle Diebstahl wird als mutmaßlicher Insider-Angriff betrachtet, da der Ingenieur so viel Vertrauen genoss, dass er einen Smart Contract erstellen durfte.
Die jüngsten Exploits und das Ansammeln von ETH haben die Frage aufgeworfen, ob die Chain für Geldwäsche und potenziell für die Finanzierung feindseliger Regime genutzt wird. Gleichzeitig katalysierten die Exploits einen kleinen ETH-Anstieg, bei dem der Vermögenswert zum ersten Mal seit Wochen über 2.800 US-Dollar stieg. Die Verluste an ETH bedeuteten, dass Börsen ihre Reserven auffüllen mussten, was zu zusätzlicher Nachfrage führte.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
