Ein lukratives Spiel
Ein teurer Fehler hat sich offenbart, der nicht nur lukrativ für den Hacker war, sondern auch das ganze EOS-Netzwerk lahmlegte. Doch was war geschehen?
Gestern meldete sich der Nutzer „Dexaran“, seines Zeichens Smartcontract-Entwickler und Security Auditor, über Twitter zu Wort. Er hatte verdächtige Aktivitäten im EOS Netzwerk ausgemacht, die u.a. dazu führten, dass es zu einer „Verstopfung“ kam. Daher wurden Transaktionen nicht in der zu erwartenden Geschwindigkeit ausgeführt und standen Schlange.
Zuerst nahm er an, dass es sich um einen Exploit handeln muss, der EOS als Ganzes betrifft. Wie sich im Nachgang herausstellte lag es aber nur an einem Smartcontract. Dennoch gelang es dem Angreifer mit satten 30.000 EOS in der Tasche seiner Wege zu ziehen.
Anzeige
Mit Stake und Rechenleistung zum Ziel
Der Angreifer hatte rund 900.000 EOS im Staking und investierte in eine große Menge CPU-Leistung und Bandbreite, die er über REX erwarb. Dadurch war er in der Lage alle anderen Nutzer von Transaktionen auszuschließen, es sei denn sie hatten zu dem Zeitpunkt mehr EOS im Staking, als er selbst. Dadurch kam auch die „Verstopfung“ des Netzwerks zustande.
Diese „Verstopfung“ wurde durch den Angreifer dazu ausgenutzt den Zufallsgenerator eines Glücksspiels zu manipulieren. Er sorgte dafür, dass jeder Block, der das Ergebnis für seinen Wurf liefern sollte, eine von ihm gewünschte Zahl enthielt. Dadurch gewann er fortlaufend die Spiele und strich so die besagten 30.000 EOS ein.
Der eigentliche Exploit bezog sich also auf EOSPlay und den entsprechenden Smartcontract der DApp, nicht aber auf EOS als solches. Dennoch waren die Auswirkungen im gesamten Netzwerk spürbar, legte der Angreifer doch die Transaktionen lahm.
Ist die Lücke geschlossen?
Da es sich in erster Linie um einen Exploit des betroffenen Smartcontracts handelt, ist es nun wichtig, dass die Entwickler diesen entsprechend beheben. Was die EOS-Blockchain selbst betrifft, so besteht diesbezüglich kein Grund zur Sorge.
Solange das Problem jedoch fortbesteht oder auch andere Smartcontracts betreffen sollte, so wäre natürlich ein weiterer Angriff dieser Art denkbar.
