Das Debakel um die einst populäre DeFi-Blockchain Terra Classic ist noch nicht beendet. Durch einen Synchronisierungsfehler verliert dessen Mirror Protocol zwei Millionen US-Dollar und macht auf Angriffe aufmerksam, die bereits seit mehreren Monaten anhalten. Dem Hacker gelingt es, insgesamt bis zu 90 Millionen US-Dollar zu entwenden.
Mirror Protocol: innovative Idee mit technischen Mängeln
Die Idee des Mirror Protocols ist es, Anlagen der klassischen Finanzwelt mit der Kryptowelt zu verbinden. So können Nutzer synthetische Aktien erwerben. Diese übertragen zwar keine Stimm- oder Dividendenrechte, allerdings geben sie dem Käufer die Möglichkeit, von der Kursentwicklung des abgebildeten Preises zu profitieren.
Die Überwachung der Aktienmärkte greift hierbei nicht. Nutzer können vollkommen anonym agieren und daher sind auch Investitionen für diejenigen möglich, die sonst keinen legalen Zugang zu den Börsen haben.
Zwar ist der Gedanke des Dienstes innovativ, doch schon seit Monaten existieren enorme technische Mängel – wie der neueste Fund beweist.
Mirror Protocol verliert 90 Millionen US-Dollar
In einem Zeitraum von nur sieben Monaten gelang es einem spezifischen Angreifer, immer wieder unbefugt Gelder in Höhe von 90 Millionen US-Dollar vom Mirror Protocol abzuheben. Vor drei Tagen – zum Start der neugeborenen Terra 2.0 Blockchain – erfolgt ein erneuter Angriff eines unbekannten Hackers.
Der Verantwortliche hat Erfolg und kann erneut gute zwei Millionen US-Dollar auf Terra Classic erbeuten. Zwar ist die Summe im Vergleich zu früheren Beutezügen vergleichsweise gering, jedoch zeigt sie, dass Mirror wiederholt enorme technische Mängel aufweist.
Die Angreifer hinterlässt man also mit dem Wissen, dass die Administration der Plattform nur unzureichend geschieht.
Immer wieder gelang es einem Angreifer, geringe Beträge – oft in Höhe von 10.000 US-Dollar – in deutlich größere Beträge zu verwandeln. Ständig lässt sich die Zahl von rund 4,3 Millionen US-Dollar sehen.
🧵👇 What if I told you that Mirror Protocol, up until 18 days ago, was susceptible to the one of the most profitable exploits of all time, allowing an attacker to generate $4.3m from $10k in a single transaction? Here's how I discovered this - by pure serendipity. 🧵👇
— FatMan (@FatManTerra) May 27, 2022
Twitter-Nutzer FatMan ist auf den Vorfall erst vor wenigen Tagen aufmerksam geworden. Hintergrund ist eine Fehlerbehebung, welche Terraform Labs Anfang Mai vornahm.
Die Mirror-Entwickler schmuggelten eine bedeutende Fehlerbehebung ein, ohne irgendwem zu erklären, dass der Fehler überhaupt existiert.
Schreibt FatMan auf Twitter. Mirror ist ein Projekt der Terra-Hauptentwickler Terraform Labs (TFL). Das Unternehmen wurde von den Terra-Gründern Daniel Shin und Do Kwon gegründet. Do Kwon ist auch heute noch tief involviert.
Doch worum handelt es sich überhaupt bei dem Fehler, auf den FatMan anspricht? Die auf Mirror erwerblichen synthetischen Aktien lassen sich durch Long- und Short-Positionen aktiv zur Spekulation auf die Preisentwicklung verwenden.
Die dafür hinterlegte Liquidität kann der Nutzer dann wieder entnehmen. Bis Mai prüfte Mirror nicht, ob die vom Nutzer hinterlegte Liquidität bereits wieder ausgezahlt wurde. Identifikationsnummern, die einmal im System hinterlegt waren, konnten wiederholt Auszahlungen beantragen.
Auf diesem Weg gelang es einem spezifischen Angreifer, Wertanlagen anderer Nutzer zu entwenden, die ihre Gelder ebenfalls in einem Smart Contract einschlossen. Bis zu 90 Millionen US-Dollar soll der Hacker umgerechnet über sieben Monate hinweg verdient haben.
Ein Blick in Terras Blockexplorer gibt einen Hinweis auf die extremen Ausmaße des Vorfalls.
Nach Oracle-Fehler: Mirror erneut Ziel eines Hackers
Jüngst war es dann auch noch zu einem weiteren Angriff gekommen, der direkt mit dem Start von Terra 2.0 in Verbindung steht. Verschiedene Validatoren meldeten dem Mirror Protocol eine falsche Preisbewertung LUNAs.
This is because a majority of the #TerraClassic #LUNC validators are running an outdated version of the price oracle! You can see who is publishing bad prices here https://t.co/cKM9V1VbPh if they have a low missed-oracle vote count they need to update ASAP!!! https://t.co/h5GBrg3UGe
— Todd G | block pane (@blockpane) May 30, 2022
Das Problem: Das einst als Terra (LUNA) bekannte Projekt heißt nun Terra Classic (LUNC). Der alte Name wird jedoch von einer komplett neuen Blockchain verwendet, die man extra zur Wiederbelebung des gestürzten Projekts erschuf.
Die Mehrheit der Validatoren aktualisierte nicht schnell genug zu Gunsten des neuen Mainnets und bewertete LUNC mit dem Kurs von LUNA. Da der Wert von LUNA den von LUNC deutlich übersteigt, ist es dem Angreifer gelungen, für wenige Tausend US-Dollar Liquidität zu hinterlegen, welche durch falsche Orakel intern mit mehreren Millionen bewertet wurde.
Diese Liquidität nutzte der Angreifer als Deckung für Kredite, die er in der falschen Höhe auslösen konnte – diese Wertanlagen wurden jedoch korrekt bewertet.
Ist Mirror Protocol eine Betrugsmasche von TFL?
Aufgrund der monatelangen Angriffe auf das Mirror Protocol kam seitens verschiedener Nutzer der Verdacht auf, TFL könne selbst dahinter stecken und sich so um Millionen bereichern – durch fehlerhaften Code, den TFL selbst zu verantworten hat.
Der intransparente Umgang mit dem fehlerhaften Code kommt erschwerend hinzu. Außerdem eine weitere Tatsache:
Während des Terra-Zusammenbruchs kam es zu Abverkäufen, welche ein Nutzer als Inside-Job wahrnahm. Kurz bevor Terra während des Crashs die Möglichkeit zum Minting von LUNA unterband, verkaufte ein Nutzer sämtliche seiner UST gegen LUNA.
Nach eingehender Prüfung resümiert FatMan und hält diese Annahme für falsch. Seiner Erkenntnis nach handelt es sich dabei nicht um einen Inside-Job.
In unserem Börsenvergleich findest du die besten 13 Anbieter, um Kryptowährungen wie Bitcoin einfach und sicher zu kaufen.
