Verwundbarkeiten von Smart Contracts: DAO, DeFi und Re-Entry-Angriff

Der Bereich dezentrale Finanzen hat im vergangenen Jahr ein exponentielles Wachstum verzeichnet und ist von insgesamt 540 Millionen US-Dollar im März des letzten Jahres auf mehr als 47,6 Milliarden US-Dollar zum Zeitpunkt der Veröffentlichung dieses Artikels gestiegen.

Das Wachstum der DeFi-Sphäre hat neue Möglichkeiten für Nutzer, Entwickler und die Branche als Ganzes eröffnet, aber auch neue Risiken mit sich gebracht, von denen Anleger möglicherweise nichts wissen, mit denen sie sich jedoch trotzdem auseinandersetzen müssen.

Die meisten DeFi-Protokolle basieren auf der Ethereum-Blockchain. Ethereum ist nach Bitcoin die zweitgrößte Kryptowährung nach Marktkapitalisierung. Dank Ethereum, insbesondere durch den Einsatz von Turing-vollständigen Smart Contracts, sind Blockchain-Projekte programmierbarer geworden.

Smart Contracts sind im Grunde selbst ausführende Verträge. Der in diesen Verträgen festgelegte Code ermöglicht es, vordefinierte Transaktionen und Vereinbarungen zwischen pseudonymen Parteien innerhalb bestimmter Parameter und ohne jegliches Gegenparteirisiko automatisch auszuführen.

Diese selbst ausführenden Verträge wurden erstmals 1994 von Nick Szabo, dem Schöpfer von Bitcoins Vorgänger Bit Gold, vorgeschlagen und ermöglichten die Entstehung vieler dezentraler Anwendungen, die Kryptowährungsnutzern neue Möglichkeiten eröffneten, sei es die Ausgabe von Stablecoins, die nach einem bestimmten Algorithmus erstellt wurden, die Vergabe von Kryptowährungskrediten oder Kredite mit Krypto-Sicherheiten. Und das ist nur ein kleiner Teil.

Dezentrale Börsen mit dezentralen Managementmodellen wurden erst dank solcher Smart Contracts möglich, wodurch eine neue digitale Welt entstand, die wiederum zu Produkten wie Binance Smart Chain, Polkadot und Avalanche führte.

Protokolle wie Aave, Compound, Uniswap und 1 Inch.exchange ermöglichen es Nutzern, Zinsen auf ihre Investitionen zu verdienen und Krypto-Assets sowie sogar komplexe Instrumente wie dezentrale Derivate zu handeln.

All diese spannenden neuen Produkte haben den oben genannten DeFi-Sektor geschaffen, der die Finanzwelt im Sturm erobert und traditionellen Finanzinstituten ermöglicht, Geld zu verdienen.

Dieses neue Terrain voller Möglichkeiten wird, wie bereits erwähnt, von Code gesteuert, der von Entwicklern von Smart Contracts geschrieben wurde. Die meisten DeFi-Projekte haben Open-Source-Code und werden sogar einem Peer-Review und Audit unterzogen, während andere dies im Gegensatz dazu nicht tun. Oft lassen sich sogar im getesteten Code Schwachstellen finden, die die Nutzung unbekannter Angriffsvektoren ermöglichen, was zu enormen Verlusten für Unternehmen und normale Nutzer führt.

Wie wirken sich Schwachstellen in Smart Contracts auf Nutzer aus?

Um die Sicherheit von Smart Contracts zu gewährleisten, kann man nur alle Ausführungsoptionen analysieren. Beim Ausführen von Smart Contracts in Turing-vollständigen Sprachen muss man sicher sein, dass das Computerprogramm keine Fehler enthält, was nahezu unmöglich ist. Daher müssen Sie Smart Contracts bei der Arbeit mit ihnen oder bei ihrer Erstellung auditieren.

Schwachstellen in Ethereum-Smart-Contracts können katastrophale Folgen haben. Obwohl Protokolle wie Aave von Fachleuten verwaltet und regelmäßig überprüft werden, stellen Sicherheitslücken weiterhin das Risiko eines Hackerangriffs mit dem Verlust von Krypto-Assets in enormer Höhe dar, was das Vertrauen der Anleger in das Protokoll negativ beeinflusst und in der Folge finanzielle Verluste für Nutzer/Unternehmen sowie Preisvolatilität verursacht.

Diese Schwachstellen ergeben sich aus der Komplexität der nativen Smart-Contract-Sprache von Ethereum und seinem Abrechnungssystem, das im Gegensatz zum UTXO-System von Bitcoin viel flexibler und daher anfälliger für zusätzliche Schwachstellen und Angriffsvektoren ist.

Da Solidity und andere Smart-Contract-Sprachen neu und äußerst komplex sind, wäre es falsch, diese Schwachstellen den Entwicklern anzulasten.

Es gibt mehr als 80 auf Ethereum basierende DeFi-Plattformen, und jede Woche werden neue Projekte gestartet. Die von ihnen verwendeten Smart Contracts werden zwangsläufig Schwachstellen aufweisen, insbesondere wenn sie nicht ordnungsgemäß geschrieben und getestet wurden.

Eine von CyberNews durchgeführte Untersuchung ergab, dass fast 3.800 Ethereum-Smart-Contracts Schwachstellen aufwiesen, die es Angreifern ermöglichen würden, Krypto-Assets im Wert von mindestens 1 Million US-Dollar zu stehlen. Die Studie zeigte außerdem, dass es insgesamt 13 verschiedene Arten von Schwachstellen gibt und vier davon mit hoher Wahrscheinlichkeit von Hackern ausgenutzt werden können.

Die beliebte Avalanche-Plattform entdeckte Anfang dieses Jahres eine Schwachstelle. Während des Starts der neuen dezentralen Börse Pangolin und einer Netzüberlastung trat ein Fehler auf, der zu einem Ausfall der Ausgabe führte und weitverbreitete Panik auslöste. Andere bekannte Plattformen, darunter Solana, Flow, Zilliqa und Fantom, hatten, wie sich herausstellte, ebenfalls Fehler in ihren Verträgen.

DAO und Re-Entry-Angriff

Re-Entry ist eine häufige Schwachstelle von Smart Contracts. Obwohl sie in Smart Contracts auf verschiedenen Blockchain-Plattformen existieren kann, wird sie am häufigsten mit der Ethereum-Blockchain in Verbindung gebracht.

Re-Entry-Angriffe sind vor allem durch den berühmten Hack der DAO im Jahr 2016 auf der Ethereum-Blockchain bekannt.

Der erste und katastrophalste Fehler in einem Smart Contract ereignete sich 2016. Die dezentrale autonome Organisation (DAO) arbeitete mit Smart Contracts und sammelte zu diesem Zeitpunkt mehr als 150 Millionen US-Dollar.

Ein unbekannter Angreifer schaffte es, das durch Crowdfunding gesammelte Ether (ETH) abzuheben. Die Schadenssumme belief sich auf mehr als 150 Millionen US-Dollar.

Dieser Fall ist das bekannteste Beispiel für einen Re-Entry-Angriff. Ein Wiederholungsangriff bedeutet, dass der Angreifer eine Transaktion sendet, wodurch der Vertrag wiederholt ausgeführt wird, bis die Ressourcen des Vertragskontos erschöpft sind.

Wenn das Projekt, das eine Finanzierung beantragt hatte, ausreichende Unterstützung von der DAO-Community erhielt, konnte die Ethereum-Adresse dieses Projekts Ether aus der DAO abheben. Unglücklicherweise für die DAO übertrug der Übertragungsmechanismus das Ether an eine externe Adresse, bevor der interne Status aktualisiert und vermerkt wurde, dass das Guthaben bereits übertragen worden war. Dadurch konnten die Angreifer mehr Ether auszahlen.

Insgesamt wurden 3,6 Millionen ETH aus DAO-Wallets abgezogen. Heute sind diese Token mehr als 6,4 Milliarden US-Dollar wert. Der Hack führte zu einer harten Fork, die das Netzwerk in zwei Teile spaltete: Ethereum und Ethereum Classic.

Während einige der Ansicht waren, dass es am besten sei, den Schaden zu begrenzen und die Gelder an Adressen zu übertragen, auf die ihre ursprünglichen Eigentümer zugreifen konnten, argumentierten andere, dass die Unveränderlichkeit der Blockchain nicht verletzt werden dürfe, da dies andernfalls zu einer technologischen und ideologischen Spaltung innerhalb der Community führe.

Die ursprüngliche Ethereum-Blockchain, heute bekannt als Ethereum Classic, ließ die von der DAO gestohlenen Token in den Händen eines Hackers und entschied sich für Unveränderlichkeit, während Ethereum der Community erlaubte, abzustimmen, und die Gelder an ihre ursprünglichen Eigentümer zurückgab, wobei der Blockchain-Konsens Vorrang hatte.

Weitere Beispiele für Re-Entry-Angriffe außer DAO

Allerdings wurden diese Schwachstellen auch bei zahlreichen Hacks von Smart Contracts gefunden, darunter mehrere DeFi-Protokolle.

Einige Beispiele für jüngste DeFi-Hacks mit Re-Entry-Schwachstellen sind:

• Fei Protocol: Im April 2022 fiel das Fei-Protokoll einem Hackerangriff im Wert von etwa 80 Millionen US-Dollar zum Opfer, der durch die Verwendung von Drittanbietercode mit Re-Entry-Schwachstellen ermöglicht wurde.
• Paraluni: Der Hack des Paraluni-Smart-Contracts im März 2022 nutzte eine Re-Entry-Schwachstelle und eine mangelhafte Verifizierung unzuverlässiger Nutzerdaten, um Token im Wert von etwa 1,7 Millionen US-Dollar zu stehlen.
• Grim Finance: Im Dezember 2021 wurde die Schwachstelle des erneuten Eintritts in die safeTransferFrom-Funktion von Grim Finance genutzt, um Token im Wert von etwa 30 Millionen US-Dollar zu erlangen.
• Das SIREN Protocol: Die Schwachstelle des Re-Entry-Angriffs in den Smart Contracts des AMM-Pools des SIREN-Protokolls wurde im September 2021 für Token im Wert von etwa 3,5 Millionen US-Dollar ausgenutzt.
• CREAM Finance: Im August 2021 nutzte ein Angreifer einen Re-Logging-Exploit, um in das AMP-Token-Integrationssystem von CREAM Finance einzudringen und Token im Wert von etwa 18,8 Millionen US-Dollar zu stehlen.

Dies sind bei weitem nicht die einzigen Beispiele für DeFi-Hacks, die Schwachstellen bei Re-Entry ausnutzten. Obwohl dies ein altes und weithin bekanntes Risiko ist, treten Re-Entry-Schwachstellen auch heute noch in neuen Smart Contracts auf.

Fassen wir zusammen

Das Vertrauen sowohl gewöhnlicher Nutzer als auch großer Investoren in das Konzept von DeFi selbst wird davon abhängen, wie die Kryptoindustrie mit Herausforderungen dieser Art umgehen wird.

Was derzeit geschieht, ist natürlich und wird in naher Zukunft zu einem höheren Sicherheitsniveau von Blockchain-Projekten führen, aber immer wieder werden wir dennoch Nachrichten über erfolgreiche Hackerangriffe sehen.