ZachXBT kritisiert Circle wegen Untätigkeit bei Drift-Hack
Der Blockchain-Ermittler ZachXBT hat erneut Circle und dessen CEO Jeremy Allaire scharf kritisiert. Anlass ist die angebliche Untätigkeit des Unternehmens während eines Exploits in Höhe von $280 Millionen, der mit dem Drift-Protokoll in Verbindung steht.
ZachXBT bezeichnete das gesamte Ereignis als kritische Verzögerung in der Reaktion, während die Gelder aktiv über verschiedene Blockchains bewegt wurden.
Kritik an Circle
In einem Beitrag auf X erklärte ZachXBT, dass der Stablecoin-Emittent "geschlafen" habe, als Millionen in USDC von Solana nach Ethereum transferiert wurden. In einem weiteren Update stellte er fest, dass die Transfers in etwa 100 Transaktionen stattfanden. Er fügte hinzu, dass "Werte bewegt wurden und nichts unternommen wurde". Zudem verwies er auf einen kürzlichen Vorfall, bei dem über 16 Geschäftskonten eingefroren wurden, und bezeichnete Circles Vorgehen als "inkompetent", während er das Unternehmen und Allaire als "schlechte Akteure für die Branche" bezeichnete.
Die Vorwürfe kamen auf, als mehrere Marktkommentatoren darüber diskutierten, ob ein schnelleres Eingreifen die Bewegung der Gelder während des Exploit-Zeitfensters hätte einschränken können, insbesondere da große Volumina über mehrere Stunden hinweg ungestört transferiert wurden.
Unterdessen gab Drift Protocol bekannt, dass der Vorfall auf einen hochkoordinierten und ausgeklügelten Angriff zurückzuführen sei, nicht auf einen Fehler in den Smart Contracts. Laut dem Team verschaffte sich ein betrügerischer Akteur durch einen "neuartigen Angriff mit dauerhaften Nonces" unbefugten Zugang, der es ermöglichte, vorab signierte Transaktionen später auszuführen.
Dies erlaubte dem Angreifer, die Echtzeit-Erkennung effektiv zu umgehen und schnell die Kontrolle über administrative Berechtigungen des Sicherheitsrats des Protokolls zu übernehmen. Drift bestätigte, dass der Exploit nicht durch kompromittierte Seed-Phrasen oder Code-Schwachstellen verursacht wurde, sondern durch unbefugte oder falsch dargestellte Genehmigungen, die wahrscheinlich durch Social Engineering erlangt wurden. Der Angreifer sicherte sich die erforderlichen 2-von-5-Multisig-Genehmigungen und führte innerhalb von Minuten eine bösartige Admin-Übertragung durch. Anschließend führte er ein bösartiges Asset ein und hob Abhebungslimits auf.
Zeitleiste des Drift-Hacks
Die von Drift veröffentlichte Zeitleiste zeigt, dass die Vorbereitungen für den Angriff bereits am 23. März mit der Erstellung von dauerhaften Nonce-Konten begannen, die sowohl mit legitimen Multisig-Mitgliedern als auch mit vom Angreifer kontrollierten Wallets verknüpft waren. Weitere Vorbereitungen erfolgten durch eine Multisig-Migration am 27. März und zusätzliche Nonce-Aktivitäten am 30. März, die zur Ausführungsphase am 1. April führten, als vorab signierte Transaktionen kurz nach einer legitimen Testtransaktion ausgelöst wurden.
Als Reaktion darauf fror Drift die verbleibenden Protokollfunktionen ein, entfernte das kompromittierte Wallet aus dem Multisig und begann mit der Koordination mit Sicherheitsfirmen, Börsen und Strafverfolgungsbehörden, um die gestohlenen Vermögenswerte zu verfolgen und möglicherweise wiederzuerlangen.
