Hacker entwendet $86.000 aus gemeinsamem Krypto-Tresor
Ein Hacker hat am Mittwoch etwa $86.000 aus dem gemeinsamen Token-Vesting-Pool des UNCX Network auf Ethereum entwendet. Dabei wurden Token gestohlen, die von anderen Projekten dort gesichert waren. Das Sicherheitsunternehmen Blockaid berichtete, dass der Angriff noch andauert.
UNCX, früher bekannt als UniCrypt, bietet Krypto-Projekten die Möglichkeit, ihre eigenen Token zu sperren, um zu verhindern, dass Insider diese frühzeitig verkaufen. Die Verträge von UNCX verwalten etwa $179,7 Millionen über verschiedene Blockchains, davon $111,4 Millionen auf Ethereum.
Wie konnte der Angreifer fremde Token abziehen?
Blockaid erklärte, dass der Verlust durch eine einzige Transaktion verursacht wurde, die den Pool leerte. Viele Projekte lagern ihre gesperrten Token gemeinsam in diesem Pool.
Der Angreifer eröffnete zunächst mehrere Vesting-Positionen. Eine Vesting-Position ist ein Slot, der Token hält und diese nach einem festgelegten Zeitplan freigibt.
Anschließend löste der Angreifer eine große Position auf und fügte zusätzliche Token in den Pool ein. Danach stornierte er eine Position, die zuvor aufgestockt worden war.
Dieser Schritt hinterließ eine kleine Restposition. Laut Blockaid konnte diese kleine Position dann Token abziehen, die anderen Nutzern gehörten.
In der Anleitung von UNCX werden die gesperrten Token als zeitlich gesperrt in einem geprüften Vertrag beschrieben.
„cannot be sent, sold, added to liquidity or staked,“
Blockaid nannte zwei Wallets des Angreifers. Etherscan zeigte, dass eines davon etwa $5.874 über acht Transaktionen hielt.
Warum ein Verlust von $86.000 für kleine Projekte bedeutend ist
Zum Zeitpunkt der Veröffentlichung hatte UNCX noch keine öffentliche Erklärung zu dem Vorfall abgegeben.
Der eigene Token der Plattform reagierte kaum. UNCX Network (UNCX) wurde laut BeInCrypto-Daten bei $24,80 gehandelt, ein Anstieg von 0,16 % innerhalb von 24 Stunden. Der gesamte Marktwert liegt bei etwa $905.000.
Kleine Verluste können dennoch ein Projekt gefährden. Die dezentrale Börse Full Sail stellte nach einem Hack, der etwa $91.000 kostete, im August den Betrieb ein.
Auch ältere Vertragscodes wurden angegriffen. Notional Finance verlor im September $1,73 Millionen durch einen Integer Overflow Bug in alten Verträgen.
Token-Locker existieren, damit Käufer sicherstellen können, dass Insider das Angebot nicht plötzlich auf den Markt werfen. Die offenen Fragen sind, welche Projekte Token verloren haben und ob UNCX den Pool stoppen kann, bevor weitere Abhebungen erfolgen.
