Happy Ending: Krypto-Hacker gibt Gelder aus dem GMX-Exploit in Höhe von 42 Millionen $ zurück
Krypto-Hacker nimmt 42 Millionen $ von GMX
Am Freitag endete der jüngste GMX V1-Exploit mit einer positiven Wendung, nachdem der Verantwortliche zum White-Hat-Hacker wurde. Die Perpetual und Spot Krypto-Börse GMX verlor am Mittwoch über 40 Millionen $, als ein Angreifer eine Schwachstelle in der ersten Version des Protokolls auf Arbitrum ausnutzte.
Berichten zufolge hatte der Vault-Vertrag von GMX V1 eine Sicherheitslücke, die es dem Angreifer ermöglichte, den Preis des GLP-Tokens durch die Berechnungen des Systems zu manipulieren.
Das Blockchain-Sicherheitsunternehmen SlowMist erklärte, dass “The root cause of this attack stems from GMX v1’s design flaw, where short position operations immediately update the global short average prices (globalShortAveragePrices), which directly impacts the calculation of Assets Under Management (AUM), thereby allowing manipulation of GLP token pricing.”
Through a reentrancy attack, they successfully established massive short positions to manipulate the global average prices, artificially inflating GLP prices within a single transaction and profiting through redemption operations.
Infolgedessen wurden etwa 42 Millionen $ an Vermögenswerten, darunter Legacy Frax Dollar (FRAX), Wrapped Bitcoin (WBTC), Wrapped ETH (WETH) und andere Tokens, aus dem GLP-Pool an eine unbekannte Wallet übertragen.
Die Krypto-Börse setzte den Handel von GMX V1 sowie die Prägung und den Rückkauf von GLP auf Arbitrum und Avalanche aus, um einen weiteren Angriff zu verhindern und die Gelder der Nutzer zu schützen. Sie stellten jedoch klar, dass der Exploit auf GMX V1 und dessen GLP-Pool beschränkt war. GMX V2, dessen Märkte oder Liquiditätspools und der GMX-Token waren nicht betroffen und blieben sicher.
White-Hat beansprucht $5 Millionen Prämie
Nach dem Vorfall bot GMX dem Angreifer eine $5 Millionen White-Hat-Prämie an und erklärte, dass seine Fähigkeiten “evident to anyone looking into the exploit transactions” seien.
Das GMX-Team erklärte, dass die Rückgabe der Gelder innerhalb der nächsten 48 Stunden und die Annahme der Prämie dem Hacker ermöglichen würde, “spend the funds freely”, anstatt zusätzliche Risiken einzugehen, um darauf zuzugreifen. Sie versprachen auch, keine rechtlichen Schritte einzuleiten und dem Exploiter bei Bedarf den Nachweis der Herkunft der Gelder zu helfen.
Heute antwortete der Exploiter in einer On-Chain-Nachricht, akzeptierte die Prämie und begann mit dem Rückgabeprozess. Laut Lookonchain gaben sie am Freitagmorgen zunächst FRAX im Wert von 10,49 Millionen $ zurück.
In den folgenden Stunden gab der Hacker 10.000 ETH im Wert von 30 Millionen $ zurück, wobei er nur 1.700 ETH im Wert von 5,2 Millionen $ als Prämie behielt.
GMX bestätigte später, dass die Gelder nun sicher zurückgegeben wurden und dankte dem White-Hat-Hacker für seine Handlungen, die dem Vorfall letztendlich eine positive Wendung gaben.
Schließlich informierten sie die Nutzer, dass “contributors are working on a proposed distribution plan for presentation to the GMX DAO and will share more information shortly.”
