BOHNENFARMEN HABEN 182 MIO. $ DURCH FLASH LOAN ATTACK VERLOREN

<img onerror=" this.classname=`ErrImg`" src=" 82mToFlashLoanAttack_web.jpg" 82mtoflashloanattack_web.jpg" ="" alt="" Klasse= "irren sich">

-Ein auf Ethereum basierendes Stablecoin-Protokoll, Beanstalk Farms, wurde am Sonntag von einem unbekannten Angreifer angegriffen.

-Beanstalk betreibt Krypto-Kredite über intelligente Verträge mit dezentraler Finanzierung (DeFi), für die keine Sicherheiten erforderlich sind, um riesige Summen in Form von Blitzkrediten zu leihen. Es wurde berichtet, dass der Angreifer Blitzkredite von einigen Kreditplattformen wie Aave aufgenommen hat und die Mittel verwendet hat, um einen großen Prozentsatz des Beanstalk-Governance-Tokens Stalk zu erwerben.

-Das große Stimmrecht ermöglichte es dem Schuldigen, böswillige Regierungsprotokolle zu genehmigen, die sie brauchten, um Geld in eine private Geldbörse abzuziehen. Der Angreifer nutzte Tornado-Bargeld, um das Geld zu waschen und seine digitalen Spuren zu verwischen.

-Die Operation hat die Leute verwirrt, als der Angreifer einen Teil des Geldes für die ukrainischen Hilfsmaßnahmen spendete... Weitere Informationen finden Sie im Hauptteil des Artikels.


Beanstalk Farm, ein auf Ethereum basierendes DeFi-Projekt, erlitt am 17. April 2022 durch einen Schnellkreditangriff eines unbekannten Täters einen bahnbrechenden Verlust von 182 Mio. $. Beanstalk ist ein kreditbasiertes Stablecoin-Protokoll (eine Kryptowährung, die an eine Fiat-Währung gebunden ist), das auf der Ethereum-Blockchain läuft. Die einheimische Münze des Projekts, BEAN, fiel gegenüber der Bindung von 1$ nach dem Angriff um 86%.

Ein Angriff, der durch zwei schädliche Regierungsvorschläge ermöglicht wurde [BIP-18 und BIP-19], wurde von dem Angreifer am Samstag veröffentlicht, als der Charakter Beanstalk Farms bat, Geld an die Ukraine zu spenden. Der Vorschlag, mit dem ein böswilliger Fahrer verbunden war, machte es möglich, das Geld in eine private ETH-Brieftasche zu stecken. Der Angreifer nahm Blitzkredite von anderen Kreditplattformen wie Aave, USDC und Tether auf, um den Betrieb zu finanzieren, indem er 67% der Beanstalk Farms Governance-Tokens und" Stalk-Token erwarb. "und ihre fehlerhaften BIPs (Beanstalk Improvement Proposal) zur Genehmigung stimmen.

Die Operation führte zu einem Verlust von 182 Mio. $, und der Angreifer kam mit 80 Mio. $ davon. Der Rest der 100 Mio. $ ging an die Kreditplattformen als Gebühren für die Blitzkredite, die der Angreifer zur Finanzierung der Operation aufgenommen hat. Peckshield — ein Blockchain-Sicherheits- und Datenanalyseunternehmen — gab auf Twitter bekannt, dass der Angreifer das Geld mit Tornado-Bargeld gewaschen und dabei alle digitalen Fußabdrücke gelöscht hat.


Peckshield hat das angekündigt, in einem großartigen Versuch, ein Krypto zu sein Robinhood, der Angreifer hatte 250.000$ in USD-Münzen (USDC) an Ukrainian Crypto Donation gespendet und besitzt immer noch 15.154 ETH auf einem Konto. Das Analyseunternehmen hat nachverfolgt, dass die anfänglichen Mittel, die für den Start des Angriffs auf Beanstalk Farm benötigt wurden, aus dem Synapse-Protokoll abgezogen wurden. Danach, als der Vorgang abgeschlossen war, wurden die Gewinne in Tornado Cash eingezahlt (etwa 25.000 ETH laut Mist-Track), sodass der Angreifer nicht auffindbar war.

Die Entwickler von Beanstalk haben ihre Identität auf ihrem Discord-Server veröffentlicht, um zu beweisen, dass sie nicht an dem Angriff beteiligt waren. Sie gaben zu, dass sie den Schuldigen nicht identifiziert hatten, obwohl sie ihr gesamtes Vermögen verloren haben, das im Silo hinterlegt war, weil sie sagten, es handele sich um einen beträchtlichen Betrag.


WARUM KÖNNTEN BOHNENSTANGENFARMEN AUSGEBEUTET WERDEN?

---

Omniscia, Beanstalk's Smart Contract Security Auditor, sagte in einem offiziellen Bericht, dass sie den bei dem Angriff ausgenutzten Code nicht überprüft haben, weil dieser Code eingeführt wurde, nachdem sie das System überprüft hatten. Das bedeutet, dass Beanstalk Farms einen neuen Code eingeführt hat, nachdem Omniscia die Sicherheit des Systems geprüft und genehmigt hatte. Die neueste Ergänzung gab dem Angreifer Spielraum, um auf den durch das Protokoll eingeführten ungeschützten Code zu reagieren. Es ist möglich, dass der Angreifer von dem neuen Code Kenntnis hatte, den Beanstalk eingeführt hat. Die eingeführten Codes enthalten eine „Notfall-Commit“ -Funktion, die es Stakeholdern ermöglicht, den durchschnittlichen Lebenszyklus eines Vorschlags zu umgehen und ihn sofort auszuführen, wenn sie über größere Stimmrechte verfügen.

Normalerweise verlangt das Beanstalk-Protokoll, dass die für die Abstimmung verwendeten Mittel für einen bestimmten Zeitraum gesperrt bleiben, nachdem über den Vorschlag abgestimmt worden war. Das Protokoll-Upgrade über seinen BIP-Governance-Mechanismus ermöglichte es dem Angreifer, seinen Vorschlag auszuführen und ihr gesperrtes Geld als Teil des böswilligen Updates zurückzuholen.

Der Angriff scheint ein gut geplanter Hit zu sein, weil das Beanstalk-Wahlsystem die Stimmabgabe vor jedem aktiven BIP ermöglicht, sodass ältere BIPs neue Stimmen erhalten können. Der Angreifer, der das benutzt hat, hat sein BIP 18 im Voraus eingereicht, um die Notfall-Commit-Funktion zu erfüllen. Sobald die Zeitschwelle für ihre BIP-18 erreicht war, wurde der Angriff in Betrieb genommen.

In der Vergangenheit wurden Blitzkredite verwendet, um andere Protokolle wie Cream Finance zu hacken, wodurch auf die gleiche Weise 130 Millionen $ verloren wurden. Aber dieser Angriff wurde nicht durch einen Hack verursacht, weil alle Projekte, Governance-Protokolle und Smart Contracts so funktionierten, wie sie konzipiert wurden. Der Angreifer hat es sich zur Aufgabe gemacht, die Fehler im Entwurf des Protokolls auszunutzen. Nach dem Angriff tauschte der Ausbeuter die BEAN-Token gegen Ethereum ein und warf die Münzen ab, was zu einem massiven Wertverlust von BEAN führte.


Solche Ereignisse scheinen ein wiederkehrendes Ereignis in der Welt der DeFi-Projekte zu sein. Hoffentlich werden DeFi-Projekte in Zukunft sicherstellen, dass alle Codes von ihren Prüfern ausgeführt werden und danach keine unautorisierten Codes einführen, um die Wahrscheinlichkeit solcher Angriffe zu verringern.



Autor: Gate.io Beobachter: M. Olatunji
* Dieser Artikel gibt nur die Ansichten der Beobachter wieder und stellt keine Anlagevorschläge dar.
*Gate.io behält sich alle Rechte an diesem Artikel vor. Das erneute Posten des Artikels ist erlaubt, sofern auf Gate.io verwiesen wird. In allen anderen Fällen werden rechtliche Schritte wegen einer Urheberrechtsverletzung eingeleitet.