Beliebte DeFi-Plattform Sturdy Finance gehackt, Verlust von $800,000

Sturdy Finance, ein dezentrales Kreditprotokoll, erlitt heute einen schwerwiegenden Sicherheitsvorfall, der zu einem Verlust von 442 Ether, was etwa 800.000 US-Dollar entspricht, führte. Der Angriff wurde von einer unbekannten Person durchgeführt, die eine Reentrancy-Schwachstelle im System ausnutzte, um einen fehlerhaften Preis-Oracle zu manipulieren und Gelder abzuzweigen.

In dezentralen Finanzanwendungen (DeFi) wie Sturdy Finance spielen Preis-Oracles eine entscheidende Rolle, indem sie Echtzeit-Preisdaten aus der realen Welt bereitstellen. Sie können jedoch auch zu einem primären Ziel für Hacker werden, die versuchen, Schwachstellen auszunutzen und die Sicherheit der Plattform zu kompromittieren.

Der Angriff auf Sturdy Finance begann mit einem Reentrancy-Angriff, einer Methode, die häufig verwendet wird, um Gelder betrügerisch von DeFi-Protokollen abzuheben. Diese Art von Angriff nutzt die Fähigkeit aus, eine Funktion wiederholt innerhalb einer einzigen Transaktion aufzurufen, bevor der ursprüngliche Funktionsaufruf abgeschlossen ist. Durch die Ausnutzung dieser Lücke war es dem Angreifer möglich, mehr Gelder abzuheben, als er rechtmäßig beanspruchen konnte.

Sicherheitsvorfall bei Sturdy Finance

Sobald der Angreifer die Kontrolle über die Funktionsaufrufe erlangt hatte, setzte er die Manipulation des Preis-Oracles fort. Sturdy Finance verließ sich auf einen separaten „schreibgeschützten“ Smart Contract, um seinen Preis-Oracle zu berechnen, der für die genaue Bestimmung des Marktwerts von Vermögenswerten in einem vom Protokoll verwalteten Liquiditätspool auf der dezentralen Börse Balancer verantwortlich war. Der Angreifer konnte den Oracle jedoch erfolgreich manipulieren, was es ihm ermöglichte, Gelder von Sturdy Finance abzufließen zu lassen.

BlockSec, ein Sicherheitsunternehmen, identifizierte die Ursache des Vorfalls als die typische Reentrancy-Schwachstelle im System von Balancer, kombiniert mit der Manipulation des Preises von B-stETH-STABLE.

Als Reaktion auf den Angriff ergriff Sturdy Finance sofortige Maßnahmen, indem sie alle Märkte aussetzte, um weitere potenzielle Verluste zu verhindern. Das Team versicherte den Nutzern, dass keine weiteren Gelder gefährdet seien und keine sofortigen Maßnahmen seitens der Nutzer erforderlich seien. Man verpflichtete sich, so bald wie möglich weitere Informationen bereitzustellen.

Nach dem Angriff zeigten On-Chain-Daten, dass der Angreifer den Tornado Cash-Mixer nutzte, um seine Aktivitäten zu verschleiern. Dieser Mixer ist ein Werkzeug, das die Privatsphäre verbessern und es erschweren soll, Transaktionen auf der Blockchain nachzuvollziehen.

Der Vorfall unterstreicht die anhaltenden Herausforderungen und Risiken im Zusammenhang mit dezentralen Finanzen sowie die Bedeutung robuster Sicherheitsmaßnahmen. Sturdy Finances schnelles Reagieren durch die Aussetzung der Märkte zeigt ihr Engagement zum Schutz der Kundengelder und zur Minimierung potenzieller Verluste. Während die Untersuchung weitergeht, ist die Hoffnung groß, dass weitere Erkenntnisse gewonnen werden, um ähnliche Angriffe in der Zukunft zu verhindern und die allgemeine Sicherheit dezentraler Kreditprotokolle zu stärken.