Was ist passiert?
Das DeFi-Lending-Protokoll Term Finance hat laut den Portalen Cointelegraph und The Block bei einem Angriff auf seine sogenannten Meta Vaults geschätzt 8,5 Millionen Dollar verloren. DeFi (dezentrale Finanzen) bezeichnet Finanzanwendungen, die ohne zentralen Vermittler auf einer Blockchain laufen. Ein Vault ist in diesem Kontext ein Smart Contract, in den Nutzer Mittel einzahlen und dafür eine Rendite erhalten.
Laut Cointelegraph zog der Angriff nahezu alle Ethereum-Einlagen (ETH) aus diesen Vaults ab. Term Finance hat seine Meta Vaults daraufhin dauerhaft geschlossen.
Wie kam es zur Umgehung der Schutzvorkehrungen?
Das ist der Kern der Geschichte und zugleich das, was bislang nicht vollständig geklärt ist. The Block gibt an, dass Vorschläge (Proposals) für die Vaults von Term Finance einer siebentägigen Verzögerung unterlagen und von den Liquiditätsanbietern per Veto blockiert werden konnten. Diese Kontrollmechanismen sollten genau dazu dienen, einen schädlichen Eingriff in die Verwaltung des Protokolls abzufangen, bevor er ausgeführt wird.
Laut The Block haben diese Sicherungen den Angriff aber offenbar nicht gestoppt. Wie genau sie umgangen werden konnten, geht aus den verfügbaren Quellen bisher nicht eindeutig hervor. Ob es sich um einen Fehler im Code, um eine Übernahme der Governance oder um eine Kombination von Faktoren handelte, bleibt zum jetzigen Zeitpunkt unbestätigt.
Wie viel wurde genau verloren?
Beide zentralen Medien, sowohl Cointelegraph als auch The Block, arbeiten mit der Zahl von rund 8,5 Millionen Dollar und bezeichnen sie als Schätzung. Cointelegraph beschreibt den Verlust als nahezu alle ETH-Einlagen der betroffenen Vaults. Den genauen finalen Betrag und dessen definitive Verifizierung on-chain haben wir bislang nicht aus einer Primärquelle des Protokolls bestätigt.
Breiterer Kontext: Es war nicht der einzige Sicherheitsvorfall
Der Fall Term Finance fällt in eine bewegtere Phase mit Blick auf die Sicherheit der Krypto-Infrastruktur. Es handelt sich aber nicht um zusammenhängende Ereignisse, sondern nur um ein zeitliches Zusammentreffen, das man klar trennen sollte:
| Vorfall | Worum es geht | Quelle |
|---|---|---|
| Term Finance | Exploit der Vault-Governance, ~8,5 Mio. USD | Cointelegraph, The Block |
| The Sandbox | Stopp des Bridgings auf Base und BNB Chain nach einem Exploit, Auswirkung unter 0,01 % des SAND-Supplys | CoinDesk |
| Coldcard (Coinkite) | Neue Firmware, die bei der Seed-Generierung physische Entropie verlangt, nach einer Schwachstelle | CryptoSlate |
Laut CoinDesk hat das Web3-Gaming-Netzwerk The Sandbox das Bridging in den Netzwerken Base und BNB Chain ausgesetzt, um Token zu isolieren, und Nutzer davor gewarnt, den Token SAND auf Base und BNB zu handeln. The Sandbox gibt eine Auswirkung von unter 0,01 % des Supplys an.
Laut CryptoSlate hat der Hersteller der Hardware-Wallet Coldcard, die Firma Coinkite, am 20. August eine neue Standard-Firmware veröffentlicht, die bei der Seed-Generierung das Hinzufügen physischer Zufälligkeit verlangt (mindestens 65 Tastendrücke in unregelmäßigen Abständen). Besitzer, die sich auf einen mit der betroffenen Firmware erzeugten Seed verlassen, müssen laut CryptoSlate einen neuen Seed generieren und die Mittel verschieben, sofern ihre Wallet nicht die Ausnahme für das Würfelverfahren erfüllt.
Diese drei Fälle haben untereinander keinen technischen Zusammenhang. Verbunden sind sie nur dadurch, dass sie verschiedene Risikoebenen veranschaulichen: Smart Contracts und Governance (Term Finance), Bridges zwischen Netzwerken (The Sandbox) und die Schlüsselgenerierung auf Hardware (Coldcard).
Worauf man bei dieser Art von Ereignissen achten sollte
Ohne Rat, was man mit Geld tun sollte, nur als Werkzeug zum Lesen ähnlicher Situationen: Bei Governance-Exploits ist entscheidend, ob das Team eine Post-mortem-Analyse mit einer genauen Beschreibung veröffentlicht, wie die Zeitschlösser und das Veto der Liquiditätsanbieter umgangen wurden, wie hoch der definitiv bezifferte und on-chain verifizierte Verlust ist und ob es einen Kompensationsplan gibt. Solange diese Informationen nicht bestätigt sind, handelt es sich weiterhin um Schätzungen.
charliedesk wird diesen Fall auf der Liste der zu überprüfenden Punkte behalten und im Falle einer offiziellen Post-mortem-Analyse von Term Finance vergleichen, was sich gegenüber dem heutigen Stand bestätigt hat.