Der Smart Contract von Vestra DAO (VSTR) wurde weniger als einen Monat nach seiner Einführung ausgebeutet
- Ein Angreifer hat mehrere Angriffe auf einen Smart Contract in der Vestra DAO durchgeführt und dabei VSTR-Token im Wert von 480.000 US-Dollar gegen ETH gehandelt.
- Die gestohlenen Mittel machen nur einen kleinen Teil des Angebots aus, führten jedoch zu einem Verlust von 50 % für VSTR-Token.
- Der Hacker tauschte VSTR gegen ETH ein und zahlte 40.000 US-Dollar an Gas-Gebühren für schnelle Transaktionen sowie Beaverbuild-Gebühren.
Vestra DAO scheint gehackt worden zu sein. On-Chain-Analysten bemerkten verdächtige Aktivitäten, bei denen VSTR-Token, der native ERC-20-Token des Protokolls, von verfügbaren Smart Contracts bewegt und sofort an den Tornado-Mixer gesendet wurden.
Zum Zeitpunkt der Berichte waren Token im Wert von mindestens 480.000 US-Dollar gestohlen worden. Während der anfängliche Angriff relativ klein war, blieb das Risiko für andere Teilnehmer bestehen. Der On-Chain-Forscher Chaofan Shou bemerkte zuerst die Ausbeutung und riet allen Benutzern, die Berechtigungen zu widerrufen.
Vestra DAO @Vestra_DAO wurde gerade gehackt und der Angriff dauert noch an. Bisheriger Verlust: 480.000 $, und es kommen noch mehr hinzu. Heben Sie Ihre Einlagen ab und ziehen Sie die Liquidität sofort ab. pic.twitter.com/0b9i1lhrEw
— Chaofan Shou (@Fried_rice) Dezember 4, 2024
Die Ausbeutung hat den VSTR-Token-Staking-Contract betroffen, wobei die Mittel sofort liquidiert und an den Tornado-Mixer gesendet wurden. Für VSTR sind mehr als 65 % der Token für die Governance gesperrt, mit über 34 Milliarden Token.
Der betroffene Smart Contract hält den Rest 755M VSTR-Token, die 1,51 % der Gesamtversorgung ausmachen. Trotz des Angriffs auf einen relativ kleinen Token hat der darauffolgende Markteinbruch noch mehr Wert aus dem Projekt gelöscht. Derzeit könnte die Vestra DAO genügend VSTR in ihren Reserven haben, um Nutzer zu entschädigen, während sie versucht, ihren Rufschaden zu reparieren.
Der Angreifer wartete einen Monat, bevor er eine Schwachstelle in der Vertragslogik ausnutzte
Der Angreifer verkaufte in Eile und zahlte 0,51 ETH an Beaverbuild für eine priorisierte Aufnahme in einen Block. Der gesperrte Staking-Vertrag der Vestra DAO war betroffen und sendete direkt VSTR-Token aus.
Stundenlang sendete der Angreifer Spam-Transaktionen für 520.000 oder 500.000 VSTR an den Vertrag, am Ende wurden insgesamt 480.000 USD gehandelt. Der Angriff nutzte eine Logikschwäche im Vertrag aus, die es dem Hacker ermöglichte, nach jeder Transaktion 20.000 VSTR zu erhalten.
On-Chain-Analysen zeigten, dass der Angreifer vor 30 Tagen VSTR in den Vertrag stakede, lauschte und die Schwachstelle des Vertrags studierte. Dann begann die automatisierte Serie von Transaktionen um VSTR zu extrahieren mit jeder Iteration von Staking und Unstaking.
Die Datenüberprüfungen bei jeder Ein- und Auszahlung lösten keine Warnungen aus, was es dem Angreifer ermöglichte, den Vertrag über mehrere Ein- und Auszahlungstransaktionen zu leeren. Der Vertrag überprüfte die Reife nur einmal, aber der Hacker hatte die Anforderung bereits vor 30 Tagen durch Staking erfüllt.
Das Ergebnis des Exploits war ein Beutezug von 125 ETH, die über Tornado Cash gemischt wurden. Der Angreifer gab 40.000 USD für Ethereum-Gas für die schnellstmöglichen Swaps aus und wurde kurzzeitig zum größten Gas-Nutzer der Chain.
Die Vestra DAO hat keine Einzelheiten zum Angriff veröffentlicht und behauptet, die Guthaben der Nutzer seien unbeeinträchtigt geblieben. Dennoch wurde der Vertrag von seinen VSTR-Token geleert, was dem Projekt eindeutig Wert entzogen hat.
VSTR-Token einen Monat nach Start des Handels gehackt
Die Vestra DAO ist ein relativ neues Projekt, wobei die VSTR-Token seit dem 6. November gehandelt werden. Der Token ist nur in einem Uniswap V3-Handelspaar verfügbar.
Die DAO führte ihren allerersten Vorschlag am 14. Oktober durch, der mit die 1 Mrd. Token aus dem Treasury des Projekts verbunden war. Der VSTR-Token hat immer noch nur 1,643 Inhaber, was die begrenzte Wirkung des Hackings noch verstärkt.
Der Token fiel unmittelbar ab nach dem Angriff von 0,013 USD auf 0,005 USD. Später stieg VSTR leicht auf 0,009 USD, bleibt jedoch extrem illiquide und volatil. Zusätzlich zum direkten Verlust wischte VSTR auch die Hälfte seiner Marktkapitalisierung weg.
Derzeit ist VSTR möglicherweise sogar riskanter als Meme-Token in der Frühphase. Das größte Risiko besteht darin, dass VSTR-Token nur über 1,9 Mio. USD an Liquidität verfügen, die nicht gesperrt ist und über einen Rug Pull weiter ausgenutzt werden kann.
Ein weiteres Risiko für das Projekt besteht darin, dass seine Verträge Funktionen aus externen Smart Contracts aufrufen, was zu einer allgemeinen warnen auf CoinGecko führt. Die Vestra DAO behauptete, ihren Staking-Vertrag auf die schwarze Liste gesetzt zu haben, doch ist unbekannt, ob ähnliche Schwachstellen für andere Smart Contracts bestehen.
Selbst bei geprüften Projekten können Smart Contracts nicht immer vollständig sicher sein und Ausnutzungsmöglichkeiten bieten. Im Fall der Vestra DAO könnte das Projekt in der Frühphase seine Zuverlässigkeit wiederherstellen und stärken.
Die Vestra DAO wandte sich an die türkische Krypto-Community, eine der aktivsten Gruppen von Early Adopters. Der VSTR-Token hatte sogar einen Umrechnungskurs in Türkische Lira.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
