Curve Finance Exploit: Was haben wir daraus gelernt?

Erst letzte Woche diskutierten alle über den Hacking-Vorfall bei der dezentralen Curve Börse. Jetzt scheint alles besser zu sein, aber wir sollten uns die Details des Exploits trotzdem genauer ansehen, um zu versuchen, welche Lehren daraus gezogen werden können.

Überblick über den Vorfall

Ende Juli 2023 wurde das DeFi-Protokoll Curve Finance exploitiert. Betrüger erhielten laut Angaben seiner Entwickler Zugriff auf Vermögenswerte aus den Plattform-Pools aufgrund von Schwachstellen in der Programmiersprache Vyper für Smart Contracts. Die Schwachstelle ermöglichte es Angreifern, Smart Contracts zu erstellen, die Transaktionen ohne Autorisierung des Nutzers ausführen. Informationen über den Durchbruch in den Sicherheitssystemen wurden im Mikroblog des Protokolls veröffentlicht.

Die Schwachstelle von Curve Finance ermöglichte es Betrügern, auf Vermögenswerte im Wert von über 47 Millionen US-Dollar zuzugreifen. Außerdem ermöglichten die Probleme von Vyper den Angreifern, einen ähnlichen Angriff auf die Blockchain der Kryptowährungsbörse Binance - BNB Smart Chain (BSC) - durchzuführen und Vermögenswerte im Wert von 73.000 US-Dollar daraus abzuziehen.

Was genau ist Curve Finance passiert?

Curve Finance erlebte einen erheblichen Hack, der in zwei Phasen stattfand. Zunächst stahlen Hacker aufgrund einer Reentrancy-Schwachstelle etwa 26 Millionen US-Dollar. Danach folgte die zweite Phase des Angriffs, in der 7,1 Millionen CRV (4,4 Millionen US-Dollar) und 7.680 Wrapped Ether (14,37 Millionen US-Dollar) aus dem CRV-ETH-Pool von Curve Finance abgezogen wurden.

Die Hacker konnten eine Schwachstelle in einer veralteten Version der Programmiersprache Vyper ausnutzen. Dadurch fiel TVL von 3,26 Milliarden US-Dollar auf 1,72 Milliarden US-Dollar, was innerhalb von 24 Stunden einem Rückgang von fast 46 % entspricht.

Was ist Vyper?

Vyper ist eine auf Verträge ausgerichtete, Python-basierte Programmiersprache, die für die Ethereum Virtual Machine entwickelt wurde. Die Entwickler haben festgestellt, dass der Reentrancy-Exploit in den Versionen 0.2.15, 0.2.16 und 0.3.0 existiert.

Laut Ancilia-Analysten nutzen rund 460 Protokolle die anfällige Software.

Laut der Untersuchung von Curve implementierten einige Code-Compiler den Re-Login-Schutz fehlerhaft, wodurch mehrere Funktionen nicht gleichzeitig ausgeführt werden konnten, indem der Vertrag blockiert wurde. Dieser Fehler ermöglichte es Angreifern, Gelder aus mehreren Projekten abzuziehen.

Von dem Angriff betroffen waren Curve-DeFi-Projekte, darunter JPEG's, MetronomeDAO, deBridge und Ellipsis. Der Pool mit den größten Verlusten ist alETH-ETH Alchemix mit einem Wert von 13,6 Millionen US-Dollar.

Auswirkungen auf den Preis

Laut DeFi Llama halbierte sich der täglich gesperrte Gesamtwert von Curve Finance fast - von 3,25 Millionen US-Dollar auf 1,73 Millionen US-Dollar.

Infolge des Angriffs sank der Wert des nativen Curve Finance (CRV)-Tokens um 14 %, obwohl er sich inzwischen wieder erholt hat.

Der Gründer der Krypto-Plattform Matrixport, Jihan Wu, sprach dem Projekt seine Unterstützung aus und erklärte, dass er während des Kursrückgangs CRV-Tokens gekauft habe. Seiner Meinung nach ist Curve Finance eine der wichtigsten Infrastrukturen in der bevorstehenden groß angelegten Welle der Tokenisierung realer Vermögenswerte.

Upbit, die größte südkoreanische Börse, gab bekannt, dass die CRV-Volatilität aufgrund des Angriffs gestiegen sei. Infolgedessen setzte die Plattform alle Ein- und Auszahlungen von Coins aus.

„Sinkende Liquidität ist nie gut für Märkte, insbesondere nicht für Stablecoins, die in einem sehr engen Bereich gehandelt werden müssen“, sagte Clara Medalie, Forschungsdirektorin bei Kaiko.

Auswirkungen auf den DeFi-Sektor

Zum Zeitpunkt des Vorfalls nutzten über 450 Liquiditätspools anfällige Vyper-Versionen. Daher könnten die Zahl der Opfer und das Ausmaß der Verluste deutlich höher sein.

Der Vorfall betraf die Projekte Alchemix, JPEG's, MetronomeDAO, Ellipsis und deBridge.

Die am stärksten betroffenen Pools waren:

• pETH/ETH, der Schaden betrug 6106,65 WETH;
• msETH/ETH - 866,55 WETH~ 1,6 Millionen US-Dollar) und 959,71 msETH
• alETH/ETH - 7258,7 WETH~ Millionen Millionen) und 4821,55;
• CRV/ETH - 7.193.401,77 CRV~ 5,1 Millionen US-Dollar zum Zeitpunkt des Vorfalls), 7680,49 WETH~ 14,2 Millionen US-Dollar) und 2879,65 ETH

Zusätzlich könnte der Arbitrum Tri-Crypto-Pool betroffen gewesen sein. Vyper-Auditoren und -Entwickler konnten den Exploit nicht bestätigen, aber das Curve-Team riet den Liquiditätsanbietern vorsorglich zum Ausstieg.

Trotz der Unmöglichkeit, Notfallmaßnahmen der DAO zu ergreifen, um den Pool zu stoppen oder Nutzergelder zu beeinträchtigen, war es möglich, die Ausgabe weiterer CRVs zu suspendieren. Michael Egorov, Gründer von Curve Finance, sagte Bloomberg, dass die DeFi-Branche den Hack überstehen werde. 

Reaktionen der Medien und der Community

Tweets, die den Vorfall verschärften

In den ersten Minuten nach dem Hack teilten Analysten von BlockSec und PeckShieldAlert Auszüge aus dem Open-Source-Vyper-Compiler im sozialen Netzwerk X (früher bekannt als Twitter). Diese Auszüge offenbarten die genauen Details der Schwachstelle.

Diese Tweets boten Drittangreifern die Gelegenheit, „am Hack teilzunehmen“, und verschlechterten die Situation. Solche Aktionen wurden von der Community verurteilt, und die Originalbeiträge wurden gelöscht.

Nach einer Welle der Kritik antworteten Vertreter von BlockSec, dass ihre Entscheidung, einen Tweet mit den Angriffsdetails zu veröffentlichen, von der Dringlichkeit motiviert gewesen sei, die Community schnell zu warnen, da das Curve-Finance-Team nicht erreichbar gewesen sei.

Zumindest teilweise aufgrund der Twitter-Aktivitäten wurden die Pools von mehreren Dieben angegriffen. Unter ihnen befanden sich jedoch auch „White-Hat“-Hacker, dank derer das Projekt einen Teil der gestohlenen Gelder zurückerhielt. White Hat, unter dem Pseudonym c0ffeebabe.eth aktiv, gab 2.879 ETH (im Wert von etwa 5,4 Millionen US-Dollar) an das Protokoll der dezentralen Finanzwelt (DeFi) Curve Finance zurück. Das Geld wurde während des Exploits aus dem CRV-ETH-Liquiditätspool abgezogen.

Mit dem MEV-Bot konnte der Verteidiger dem Angreifer einen Schritt voraus bleiben und 2879 ETH schützen. Er gab diesen Betrag laut den neuesten Daten später an Curve zurück.

Der zurückgegebene Betrag ist jedoch nur ein Bruchteil des insgesamt gestohlenen Geldes. Insgesamt ermöglichte die Schwachstelle von Curve Finance den Betrügern den Zugriff auf Vermögenswerte im Wert von über 47 Millionen US-Dollar. Darüber hinaus ermöglichten Schwachstellen in Vyper den Angreifern, einen ähnlichen Angriff auf die Blockchain der Kryptowährungsbörse Binance - BNB Smart Chain (BSC) - durchzuführen.

Ansichten von Community-Mitgliedern

Im Allgemeinen wurde zum Zeitpunkt des Vorfalls gesagt, dass eine solche Situation potenziell beispiellose Panik und einen Rückgang der Liquidität im DeFi-Sektor auslösen könnte. Doch offenbar ist bei Curve Finance wieder Normalität eingekehrt. Das Compiler-Problem wurde inzwischen behoben. Die Entwickler stellten klar, dass der Angreifer die Versionshistorie „gründlich untersuchen“ musste, um dieses nicht sofort offensichtliche Problem zu finden.

JPMorgan-Analysten haben gefolgt, dass die Folgen des Curve-Angriffs auf das DeFi-Ökosystem lokal begrenzt erscheinen.

Ein DeFi-Forscher mit dem Spitznamen Ignas erklärte, dass der Curve-Finance-Vorfall „das Vertrauen in die dezentrale Finanzwelt untergraben“ habe.

„Wenn ein Protokoll, das drei Jahre lang problemlos lief, plötzlich einen Exploit erleidet, wirft das Bedenken hinsichtlich der Sicherheit anderer etablierter Plattformen wie AAVE, Compound oder sogar Uniswap auf.“ Es gebe erhebliche Risiken beim Hacken von Uniswap v4 aufgrund seines monolithischen Designs von Smart Contracts, da alle Vermögenswerte sofort verwundbar würden, fügte er hinzu.

Ignas merkte an, dass mehrere Protokolle, deren synthetische Vermögenswerte auf der Liquidität des CRV-Tokens beruhen, den Nutzern möglicherweise Schulden schulden. Insbesondere erwähnte er die Liquidation von CRV, AAVE, Frax und Abracadabra in Höhe von insgesamt 100 Millionen US-Dollar nach dem Angriff. Seiner Meinung nach könnte der Vorfall außerdem die institutionelle DeFi-Adoption verlangsamen.

Gleichzeitig glaubt Rune Christensen, Mitgründer von MakerDAO, dass der jüngste Exploit bei Curve Finance der „endgültige Zusammenbruch“ sein werde, bevor der Kryptowährungsmarkt neues Wachstum erlebt. Nostra-Gründer David Garay stimmt ihm zu: „Es könnte auch ein Wendepunkt sein, an dem Kreditprotokolle endlich mit proaktivem Monitoring der Onchain-Liquidität für jede spezifische Art von Sicherheit beginnen.“

Curve-Hacker gibt einige gestohlene Vermögenswerte zurück

Curve Finance bot eine Belohnung von 1,85 Millionen US-Dollar für die Identifizierung der Hacker an, die die Plattform kompromittiert hatten, um sie vor Gericht zu bringen. Bald darauf leitete ein unbekannter Hacker eine Rückerstattung ein. Zum Zeitpunkt der Veröffentlichung hatte er Vermögenswerte im Wert von mehr als 20 Millionen US-Dollar zurückgegeben.

In der Nachricht zur Transaktion erklärte der Hacker, dass seine Entscheidung nicht aus Angst vor einer Verhaftung motiviert gewesen sei. Stattdessen sei sie darauf zurückzuführen gewesen, dass er das Projekt nicht zerstören wolle. Das JPEG's-Projekt bestätigte ebenfalls die Rückgabe von 5.494 WETH (mehr als 10 Millionen US-Dollar). Der Hacker erhielt eine Belohnung von 10 % in Höhe von 610,6 WETH (1,1 Millionen US-Dollar).

Fazit

Angesichts der weiten Verbreitung von CRV als Sicherheitenwert könnte die Liquidationskaskade eine erhebliche Herausforderung für den DeFi-Sektor darstellen. Dieser Sektor hat sich von einem lang anhaltenden Bärenmarkt noch nicht vollständig erholt.

Aber es scheint, dass die Entwickler den durch diesen Hack verursachten Schaden eingedämmt haben. Darüber hinaus nahm Curve-CEO Mikhail Egorov die Angelegenheit selbst in die Hand, liquidierte seine Vermögenswerte, um die Schulden zu begleichen und einen DeFi-Crash zu vermeiden. 

Leider enden nicht alle Krypto-Geschichten positiv. Laut CertiK wurden allein im zweiten Quartal 2023 Diebstähle im Wert von 313,6 Millionen US-Dollar begangen. Weniger als die Hälfte davon wurde zurückgegeben, und die meisten Verbrechen sind bisher noch nicht aufgeklärt.