Ein ausgefeilter Exploit, der auf das Drift Protocol abzielte, scheint schätzungsweise 285 Millionen Dollar abgezogen zu haben, nachdem ein Angreifer Oracle-Preise mithilfe eines „erfundenen“ Tokens manipuliert, einen kompromittierten Admin-Schlüssel ausgenutzt und zentrale Auszahlungsschutzmechanismen deaktiviert hatte.
Wochenlang vorbereitete Fake-Sicherheiten
Laut On-Chain-Analyse des unabhängigen Forschers Ares begann der Exploit Wochen vor dem eigentlichen Abzug. Der Angreifer prägte 750 Millionen Einheiten eines Fake-Assets namens „CarbonVote Token“ (CVT) und erstellte einen Liquiditätspool auf Raydium (RAY) mit lediglich 500 Dollar Liquidität, wodurch der Preis künstlich nahe 1 Dollar festgelegt wurde.
Über mehrere Wochen hinweg soll der Angreifer den Token per Wash-Trading gehandelt haben, um eine glaubwürdige On-Chain-Preishistorie aufzubauen, sodass er von Oracle-Mechanismen als legitimer Sicherheitenwert erfasst wurde.
Kompromittierter Admin-Schlüssel und Abschaltung von Schutzmechanismen
Am 1. April nutzte der Angreifer einen kompromittierten Drift-Admin-Schlüssel, um CVT als Spot-Markt zu listen. In derselben Transaktion wurden die Schwellenwerte der Auszahlungsschutzmechanismen über mehrere Märkte hinweg auf extreme Werte angehoben, wodurch die Limits, die große Abflüsse verhindern sollten, faktisch außer Kraft gesetzt wurden.
Auch lesenswert: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Anschließend hinterlegte der Angreifer rund 785 Millionen CVT, bewertet mit 785 Millionen Dollar auf Basis des manipulierten Oracle-Preises, in mehreren Konten.
Vaults in Minuten geleert
Mithilfe der aufgeblähten Sicherheiten führte der Angreifer in etwa 12 Minuten 31 Auszahlungstransaktionen aus und leerte Vermögenswerte aus mehreren Vaults.
Dazu gehörten 66,4 Millionen Dollar in USDC, 42,7 Millionen Dollar in JLP, 23,3 Millionen Dollar in MOODENG (MOODENG) und kleinere Beträge weiterer Token.
Die Gelder wurden anschließend konsolidiert, teilweise durch die Entfernung von Perpetual-Liquidität „verbrannt“ und in SOL umgewandelt, bevor sie auf mehrere Wallets verteilt wurden.
Die Verwendung mehrerer Signierschlüssel deutet entweder auf einen weiterreichenden Kompromiss der Betriebsinfrastruktur oder auf den Zugriff auf privilegierte Zugangsdaten hin und wirft zusätzliche Fragen zu internen Sicherheitskontrollen auf.
Als Nächstes lesen: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts