- USPD-Stablecoin-Protokoll erleidet einen ausgeklügelten Hack, bei dem Angreifer 98 Millionen USPD münzten und mehr als 1 Million Dollar an Liquidität abzogen.
- Der Sicherheitsvorfall nutzte eine Schwachstelle bei der Proxy-Initialisierung aus, indem ein Schattenvertrag eingesetzt wurde, um die Überprüfung zu umgehen und monatelang unentdeckt zu bleiben.
- DeFi-Angriffe setzen sich im gesamten Ökosystem fort, einschließlich kürzlicher Exploits bei Yearn Finance und Balancer, was auf anhaltende Risiken bei Smart Contracts hinweist.
Das DeFi-Protokoll US Permissionless Dollar erlitt eine Sicherheitsverletzung, die zu unbefugtem Minting seines Stablecoins und der Abfluss von mehr als 1 Million Dollar an Liquidität zur Folge hatte.
Laut einem Vorfallbericht vom offiziellen X-Konto des USPD-Teams hinterlegte der Angreifer etwa 3.122 ETH als Sicherheit und nutzte einen Fehler aus, der es ihm ermöglichte, etwa 98 Millionen USPD-Token in einer einzigen Transaktion zu minten.
Der Prozess schuf das Zehnfache der Token im Verhältnis zur ursprünglichen Einzahlung und ermöglichte es dem Hacker, zusätzliche 237 stETH-Sicherheit abzuziehen. Die gestohlenen Stablecoins wurden anschließend über die dezentrale Börse Curve in etwa 300.000 USDC umgewandelt.
Die Entwickler des USPD-Protokolls und mehrere Cybersicherheitskonten wie PeckShield Alert gaben sofort nach der Identifizierung der Verletzung eine Warnung an die Benutzer heraus, sondern:
„Wir haben einen kritischen Exploit des USPD-Protokolls bestätigt, der zu unbefugtem Minting und Liquiditätsabfluss führte. Bitte KAUFEN SIE KEINE USPD. Heben Sie alle Genehmigungen sofort auf.“
USPD-Hacker nutzte Proxies aus, um das Protokoll zum Minting zu verleiten
Die DeFi Der Bericht des Protokolls erwähnte, dass die Verletzung einen komplexen Angriffsvektor namens „CPIMP“ (Clandestine Proxy In the Middle of Proxy) ausnutzte. USPD erklärte, dass der Angreifer die Proxy-Initialisierung am 16. September während der Bereitstellung mit einer Multicall3 Transaktion vorauseilte.
2/ Dies war kein Fehler in unserer Smart-Contract-Logik.
Das USPD-Protokoll wurde von erstklassigen Firmen wie @NethermindEth und Resonance rigoros auf Sicherheit überprüft. Unser Code ist vollständig unit-getestet und entspricht strengen Branchenstandards. Die Logik selbst bleibt sicher.
— UPD.IO | Universal Private Dollar (@UPD_io) 4. Dezember 2025
Der Hacker nutzte CPIMP, um stillschweigend administrative Rechte zu erlangen, bevor die Skripte des Protokolls vollständig ausgeführt wurden, und wartete Monate, um ohne Genehmigung mit dem Minting von Coins zu beginnen. Er implementierte einen „Schatten“-Contract, der Aufrufe an den geprüften Code von USPD weiterleitete, und manipulierte subtil Ereignispayloads und Speicherplatz-Spoofing, um Etherscan dazu zu bringen, den ursprünglichen geprüften Contract anzuzeigen.
„Diese Tarnung ermöglichte es dem Angreifer, monatelang unter der Nase der Öffentlichkeit zu verstecken, Verifizierungstools und manuelle Checks zu umgehen. Heute nutzte er seinen versteckten Zugriff, um den Proxy zu aktualisieren, ~98M USPD zu minten und ~232 stETH abzuziehen“, schrieb USPD.
Blockchain-Analyst Emmet Gallic wiederholte die Analyse des DeFi-Protokolls und fügte hinzu, dass eine Proxy-Initialisierung den Angriff während der Bereitstellung verursachte.
„Der Angreifer beanspruchte Admin-Rechte, installierte eine Schatten-Implementierung, die Etherscan dazu brachte, den geprüften Contract anzuzeigen. Das Protokoll wurde monatelang gehackt“, fasste er zusammen.
USPD setzt Untersuchungen fort und verspricht Hacker-Bounty
Als Reaktion auf den Angriff erklärte USPD, dass es eng mit Strafverfolgungsbehörden und White-Hat-Sicherheitsgruppen zusammenarbeite, um die gestohlenen Mittel zu verfolgen und einzufrieren. „Wir haben die Adressen des Angreifers bei allen großen CEXs und DEXs markiert, um den Geldfluss einzufrieren“, enthüllte das Team.
Das Protokoll sagte auch, es sei bereit, die Situation mit dem Angreifer zu lösen, wenn die Mittel abzüglich einer Standard-Bug-Bounty von 10 % zurückgegeben werden. Das Protokoll versprach, alle Strafverfolgungsmaßnahmen einzustellen, wenn das Angebot angenommen wird, und ermutigte den Angreifer, sich direkt mit ihnen in Verbindung zu setzen oder 90 % der gestohlenen Vermögenswerte zurückzugeben, um die Angelegenheit zu klären.
„Wir sind zutiefst betrübt, dass wir trotz rigoroser Audits und der Einhaltung bewährter Praktiken diesem aufkommenden und hochkomplexen Angriffsvektor zum Opfer gefallen sind. Wir tun alles in unserer Macht Stehende, um Vermögenswerte zurückzugewinnen“, sagte USPD gegenüber seiner Community.
Laut CoinMarketCap wurde der Peg des Stablecoins zum US-Dollar bisher nicht beeinträchtigt, jedoch ist das Volumen in den letzten 24 Stunden um 20 % auf rund 2,56 Millionen Dollar gesunken.
DeFi-Stablecoin-Protokoll-Verletzungen waren einst viel größer als das, was USPD widerfuhr, einschließlich eines Euler-Finance-Hacks im Jahr 2023, der zu Verlusten von mehr als 197 Millionen Dollar führte, nachdem Stablecoins aus seinen Kreditpools abgeflossen waren.
Zwei DeFi-Protokolle im Wiederherstellungsmodus nach den Exploits im November
Letzten Montag wurde Yearn Finance das neueste Protokoll, das einen Exploit auf seinem Liquid-Staking-Index-Token yETH erlitt. Der Täter münzte eine effektiv unbegrenzte Anzahl von Token und stahl etwa 3 Millionen Dollar in ETH.
Yearn Finance hatte zuvor am 30. November einen 9-Millionen-Dollar-Exploit in seinem yETH-Stableswap-Pool erlitten, aber wie Cryptopolitan berichtete am Mittwoch berichtete, hat es bereits mit der Rückgewinnung der gestohlenen Mittel begonnen. Bisher hat das Team erfolgreich 2,39 Millionen Dollar zurückgewonnen, die an die betroffenen Einleger zurückgezahlt werden.
Balancer, ein weiteres DeFi-Protokoll, das 128 Millionen Dollar durch einen v2-Exploit verlor, kündigte letzte Woche Pläne zur Erstattung von etwa 8 Millionen Dollar an Liquiditätsanbieter an.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
