Wichtige Einblicke:
- Venus Protocol Whale verlor am 1. September durch einen ausgeklügelten Phishing-Angriff 13,5 Millionen Dollar.
- Der Angreifer verschaffte sich über eine kompromittierte Wallet-Erweiterung die Berechtigung zur Ausleihe und Einlösung.
- Das Protokoll pausierte den Betrieb, um den Hacker daran zu hindern, auf die verbleibenden Gelder zuzugreifen.
Ein BNB-basierter Venus Protocol-Wal hat etwa 13,5 Millionen Dollar verloren, nachdem er Opfer eines ausgeklügelten Phishing-Angriffs wurde, der die Positionen des Benutzers am 1. September um 3:26 PM UTC kompromittierte, wie On-Chain-Daten und Berichte von Sicherheitsfirmen zeigen.
Der Angriff veranlasste Venus Protocol, den Betrieb sofort nach Bekanntwerden des Vorfalls einzustellen. Das Protokoll bestätigte, dass der Smart Contract weiterhin sicher ist, während die Untersuchungen des gezielten Angriffs auf einen seiner größten Nutzer fortgesetzt wurden.
Gezielte Attacke kompromittierte Hardware-Wallet-Einrichtung
Das Sicherheitsunternehmen Beosin meldete zunächst Verluste von über 27 Millionen Dollar, bevor PeckShield die Zahl auf etwa 13,5 Millionen Dollar korrigierte. Die Diskrepanz entstand, weil bei den ersten Berechnungen die Schulden des Wals nicht aus den Gesamtverlusten herausgerechnet wurden.
PeckShield stellte in seiner Analyse fest, dass “die ursprünglichen Schätzungen höher waren, da wir die Schuldenposition nicht ausgeschlossen haben”. Diese Korrektur ermöglichte eine genauere Einschätzung der tatsächlich abgeflossenen Mittel aus den Venus-Protokoll-Positionen des Wals.
Yu Xian, Gründer des Sicherheitsunternehmens SlowMist, lieferte am 2. September eine detaillierte Analyse der Angriffsmethode. Die Untersuchung ergab, dass der Wal eine Hardware-Wallet verwendete. Dennoch kompromittierten die Angreifer die entsprechende Wallet-Erweiterung auf dem Computer des Opfers.
erklärte Xian:
“Als der Benutzer eine normale redeemUnderlying-Operation auslöste, wurde diese durch eine updateDelegate-Operation ersetzt.”
Die Ersetzung gewährte dem Angreifer ohne das Wissen des Opfers die Befugnis, die Positionen des Wals zu leihen und zu tilgen.
Der Angriff nutzte eine Schwachstelle im Kombinationsaufbau zwischen Hardware-Wallets und Browser-Erweiterungen aus. Trotz der Verwendung einer Methode, die von vielen als die sicherste angesehen wird, wurde der Wal Opfer von ausgeklügelten Social-Engineering-Techniken.
Nordkoreanische Hacker mutmaßlich für vorsätzliche Attacke verantwortlich
Der Angriff zeigte Anzeichen einer sorgfältigen Planung und ausgeklügelter Finanzierungsquellen. Die Gasgebühren für den Angriff stammten von Monero (XMR) Börsen, während andere Gelder zu eXch zurückverfolgt wurden, einer zuvor sanktionierten Dark Web Börse, die von nordkoreanischen Hackern bevorzugt wird.
Xians Ermittlungen enthüllten die von den Angreifern verwendete Finanzierungsstruktur.
“Der Hacker hat sehr gezielt vorgegangen, mit etwas komplexen Finanzierungsquellen, unter denen das Gas von den XMR-Börsen kam.”
Die Verbindung zu eXch löste bei Sicherheitsforschern zusätzliche Alarmglocken aus. Die Börse war sanktioniert und vom Netz genommen worden. Frühere Nutzungsmuster wurden mit nordkoreanischen, staatlich unterstützten Hackergruppen in Verbindung gebracht, die es auf Kryptowährungsplattformen und Nutzer abgesehen hatten.
Xians Analyse deutet darauf hin, dass der Wal gezielt angegriffen wurde und nicht in einem breiteren Angriff gefangen war.
SlowMist kam daher zu dem Schluss, dass eine Kompromittierung des Venus Protocol-Frontends nach eingehender Untersuchung unwahrscheinlich ist und sich der Angriff möglicherweise nur auf den einzelnen Benutzer konzentrierte.
“Der Computer des Großgrundbesitzers wurde möglicherweise einem gezielten Vergiftungsangriff ausgesetzt”, erklärte Xian und beschrieb, wie sich die Angreifer wahrscheinlich Zugriff auf das System des Opfers verschafften, bevor sie das Venus-Protokoll ausführten.
Venus pausiert das Protokoll, um die verbleibenden Mittel zu schützen
Venus Protocol reagierte schnell, um die verbleibenden Vermögenswerte des Opfers zu schützen. Das Team bestätigte den direkten Kontakt mit dem betroffenen Wal und verpflichtete sich, das Protokoll während der Bergungsarbeiten zu pausieren.
Venus Protokoll erklärt:
“Wir sind uns bewusst, dass die Brieftasche des Benutzers geleert wurde (der Smart Contract ist sicher) und untersuchen dies aktiv. Venus ist derzeit gemäß den Sicherheitsprotokollen pausiert.”
Das Protokoll stellte fest, dass die Wiederaufnahme des Betriebs es dem Hacker ermöglichen würde, auf weitere Gelder zuzugreifen, was zeigt, dass der Schutz der Benutzer für das Team Vorrang vor der Betriebszeit des Protokolls hat.
Diese Entscheidung spiegelt das Engagement des Protokolls für die Sicherheit der Nutzer wider, trotz möglicher Einnahmeverluste durch die Aussetzung des Betriebs.
“Venus wurde nicht ausgenutzt, aber wir sind verpflichtet, unsere Benutzer zu schützen. Wenn das Protokoll jetzt wieder aufgenommen wird, erhält der Hacker das Geld des Benutzers.”
SlowMist koordinierte mit dem Opfer die Wiederherstellungsbemühungen und wahrte dabei die Vertraulichkeit der Untersuchung. Xian gab zu bedenken, dass “der tatsächliche Verlust auch nicht genau ist, er könnte nicht mehr als 20 Millionen USD betragen haben”, da die Ermittlungen noch andauern.
Der Vorfall hat gezeigt, dass die Sicherheit der Wallet-Erweiterung trotz der Verwendung von Hardware-Wallets anfällig ist.
Der Angriff zeigte, wie raffinierte Bedrohungsakteure herkömmliche Sicherheitsmaßnahmen durch gezielte Kompromittierung von Computern und Social Engineering umgehen können, anstatt das Protokoll direkt auszunutzen.
Ein Wal auf dem Venus-Protokoll hat durch einen ausgeklügelten Phishing-Angriff, der die Hardware-Wallet-Einrichtung kompromittierte, etwa 13,5 Millionen Dollar verloren, was das Protokoll dazu veranlasste, den Betrieb einzustellen. Sicherheitsfirmen brachten den gezielten Hack mit nordkoreanischen Gruppen in Verbindung, obwohl Venus bestätigte, dass seine Smart Contracts weiterhin sicher sind.
