Kompakt:
- Erneut kam es zu einem herben Verlust für ein DeFi-Protokoll.
- Auch hier war ein Flash Loan wieder Ausgangspunkt der Attacke.
- Der Schaden beläuft sich auf insgesamt 25 Millionen US-Dollar.
Erneut ist es einem unbekannten Angreifer gelungen, ein sogenanntes Flash Loan auszunutzen, um einen hohen finanziellen Schaden zu verursachen und sich zu bereichern. Jetzt traf es das Projekt Cream Finance, das bereits im Februar 2021 Opfer einer Attacke wurde.
Ein Flash Loan ermöglicht es, große Summen Geld bzw. Kryptowährungen zu leihen, wenn man den Kredit noch innerhalb der gleichen Transaktion zurückzahlt. Im vorliegenden Fall nutze der Angreifer die geliehene Summe, um einen Bug im Protokoll von Cream auszunutzen. Dabei diente das Flash Loan als Sicherheit, um sich weitere Mittel von Cream zu leihen.
Allerdings bestand dafür dann aufgrund eines Bugs keine Deckung mehr, wodurch der Angreifer einen Teil der Liquidität von Cream einfach leer schröpfte.
Kurse für CREAM und AMP brechen ein
Konkret war der AMP-Token betroffen, der wesentlicher Bestandteil der Attacke war und in dem fehlerhaften Kreditschema die tragende Rolle spielte. Über 418 Millionen AMP und 1.308 Ether wurden bei der Aktion entwendet.
Wie in diesen Fällen üblich wurde die Funktionalität von Cream beschränkt, damit die Lücke bis zu einem Fix nicht mehr ausgenutzt werden kann. Zum Redaktionsschluss konnte das Entwicklerteam noch keinen Bericht über den exakten Ablauf und ihre Sicht auf die Dinge veröffentlichen.
Durch die Bekanntgabe des Exploits brach der AMP-Kurs ein und verzeichnet aktuell einen Verlust von 11 % in den letzten 24 Stunden. Auch der CREAM-Token verlor angesichts der schlechten Neuigkeiten rund 6 % an Wert. Damit wurde auch effektiv der Wert der Beute geschmälert, die der Angreifer einstreichen konnte.
Augen auf beim Eierkauf
Kryptowährungen sind riskant, DeFi ist riskanter. Selbst wenn sich die jeweilige Software nicht mehr im Beta-Status befindet und auditiert wurde, lässt sich eine Lücke niemals ganz ausschließen. Alleine deshalb schon nicht, weil die dazugehörigen Smart Contracts nicht isoliert zu betrachten sind, sondern häufig auch ineinandergreifen.
Daher sind die Risiken für die meisten Anleger in Bezug auf etwaige Hacks und Exploits nicht überschaubar. Einen absoluten Schutz gibt es also nicht. Es hilft allein der Allgemeinplatz nicht mehr zu investieren, als man bereit ist zu verlieren.
