Hacker schöpfen über 100 Millionen US-Dollar aus Curve, CRV-Handel ausgesetzt

Curve, eine Stablecoin-Plattform im Herzen des DeFi-Ökosystems von Ethereum, erlitt Ende Juli einen Hackerangriff, berichtete CoinDesk unter Berufung auf einen Projekt-Tweet. Der oben genannte Betrag ist aufgrund eines „Re-Entrance“-Fehlers in Vyper, einer Programmiersprache hinter einigen Curve-Ökosystemkomponenten, gefährdet.

Zum Zeitpunkt des Verfassens dieses Artikels waren mehrere Stablecoin-Pools im System von Hackern geleert worden. Diese Pools wurden zur Preisgestaltung und Bereitstellung von Liquidität für einige verschiedene DeFi-Dienste verwendet.

Ein Wiedereintrittsfehler ist eine Art Softwareschwachstelle, die in gleichzeitigen oder Multithread-Programmen auftritt. Hier kann der Code einer Anwendung unterbrochen und erneut eingegeben werden, bevor die vorherige Ausführung abgeschlossen ist, was möglicherweise zu unerwartetem und unerwünschtem Verhalten führt.

Wiedereintrittsfehler treten typischerweise aufgrund gemeinsam genutzter Ressourcen, Asynchronisierung und verschachtelter Ausführung auf. Mehrere Threads oder Prozesse nutzen oft gemeinsame Ressourcen, wie etwa globale Variablen, Objekte oder Datenstrukturen.

Wenn die gemeinsam genutzten Ressourcen nicht ordnungsgemäß synchronisiert oder geschützt sind, besteht die Möglichkeit, dass ein Thread einen anderen Thread unterbricht, während er gerade die gemeinsam genutzte Ressource verwendet oder ändert.

Wenn ein Thread unterbrochen wird und ein anderer Thread übernimmt, kann es sein, dass er auf die gemeinsam genutzte Ressource zugreift und diese auf eine Art und Weise ändert, die nicht beabsichtigt oder erwartet war.

Die genaue Ursache des Fehlers ist derzeit nicht bekannt, aber eine Reihe von Börsen haben den Handel mit dem CRV-Token von Curve Finance bereits eingestellt, wie beispielsweise die südkoreanische Upbit, die Folgendes bekannt gab:

Ähnliche Schwachstellen werden für andere Projekte erwartet, die Vyper verwenden. Zum Zeitpunkt des Verfassens dieses Artikels schätzte der Blockchain-Prüfer BlockSec den Gesamtverlust auf über 42 Millionen US-Dollar.

Laut der Website von Curve betreibt das Unternehmen 232 Pools, aber ein Bruchteil davon ist gefährdet.

Der Hack hat in den letzten 24 Stunden zu einem Rückgang des CRV-Tokens um 12,60 % geführt. Laut Coinmarketcap wird es derzeit für 0,64 US-Dollar gehandelt.

Aufgrund des Überfalls besteht auch das Risiko, dass die Kreditposition des Curve-Gründers in Höhe von 70 Millionen US-Dollar bei Aave liquidiert wird.