Das DeFi Lending-Protokoll Warp Finance hat laut seinen aktuellen Tweets einen Flash-Loan Angriff erlitten. Der Verlust an digitalen Vermögenswerten könnte demnach bis zu 8 Millionen US-Dollar betragen. Warp Finance ist eine neue DeFi-Plattform, die Anfang November an den Start ging. Sie ermöglicht es ihren Benutzern, Liquidity Provider (LP)-Token von anderen Protokollen zu hinterlegen und im Gegenzug Stablecoin-Kredite zu erhalten.
In einem Twitter-Post von Freitag Vormittag schreibt Warp Finance:
Der Angreifer war in der Lage, 7,7 Mio. USD an Stablecoins zu entfernen. Unser Team hat einen Plan, um ca. 5,5 Mio. USD wiederherzustellen, die noch im Sicherheitstresor liegen. Nach erfolgreicher Wiederherstellung werden diese an Benutzer verteilt, die einen Verlust erlitten haben.
Der aktuelle Angriff folgt auf eine Reihe von Flash-Darlehen, die Schwachstellen im Warp Finance-Protokoll ausgenutzt haben. Auf die Unregelmäßigkeiten in dem aktuellen Fall hat auch das DeFi-Analyseportal DeFi Prime hingewiesen und die verdächtige Transaktion verlinkt. Vorerst sollten Nutzer keine weiteren Stablecoins in ihrem Depot ablegen, schreibt Warp Finance weiter. Man werde mit Hochdruck daran arbeiten, den Vorfall aufzuklären. Dazu untersuchen White-Hat-Hacker die verdächtige Transaktion, aus der der Angriff bestand.
Flash Loans durchaus anfällig für Attacken
Der Mitbegründer von Marqet Exchange, Emiliano Bonassi, hat den Vorfall ebenfalls analysiert. Er kommt zu dem Schluss, dass der Angreifer drei Ether-Darlehen (wrapped loans) über Flash-Swaps an drei verschiedenen Pools auf Uniswap und zwei weiteren auf der dYdX-Handelsplattform beantragt hat. Die Gelder wurden dann verwendet, um WETH/DAI-Liquiditätspool (LP)-Token zu prägen. Diese setzte der Angreifer dann wiederum als Sicherheit auf Warp Finance ein, um die USDC- und DAI-Tresore um einen erheblichen Betrag zu erleichtern.
Dies ist eine typische Vorgehensweise, mit der Angreifer über einen Flash Loan die Sicherheitslücken in DeFi-Protokollen ausnutzen. Das aktuelle Beispiel zeigt, dass Smart-Contract-Prüfungen, wie die von Hackern für Warp durchgeführte, nicht zwangsläufig vor ihnen schützen, da sie die Architektur des Systems zu ihrem Vorteil nutzen.
Die von Flash Loans ausgehenden Gefahren sind nicht erst seit den jüngsten Angriffen, zu denen vor Warp Finance auch bZX, Balancer, Origin Protocol, Akropolis und Harvest Finance zählen, bekannt. Eine mögliche Lösung könnte beispielsweise darin bestehen, im Zweifelsfall dynamisch einstellbare Transaktionsgrenzen zu finden. Damit ließe sich der Schaden zumindest begrenzen.
