Zeppelin, ein Blockchain-Unternehmen mit Fokus auf IT-Sicherheit, berichtet in einem Blogeintrag über eine kritische Sicherheitslücke bei MakerDAO. Der Anbieter des krypto-basierten Stable Coins Dai hatte bereits in der Vergangenheit Stabilitätsprobleme: Der Dai-Kurs schwankte in der Vergangenheit merklich, was bei Stable Coins prinzipiell nicht der Fall sein darf.

Betroffen von der Sicherheitslücke ist der DSChief Contract der DappHub Library. In diesem bewahrte das MakerDAO-System über 100 Millionen US-Dollar in Krypto-Assets auf. Sie fanden das Sicherheitsleck bereits am 22. April, das MakerDAO-Team hat nach Angaben von Zeppelin einen neuen Contract aufgesetzt, den sie am 2. Mai präsentierten.

MakerDAO, Dai und der MKR Token

MakerDAO bietet einen Stable Coin (Dai) an, der pro Token einen US-Dollar repräsentiert. Nutzer können sich diese leihen, müssen jedoch eine Sicherheit in Ether (ETH) oder Bitcoin (BTC) hinterlegen. Diese werden mit einem Smart Contract abgesichert und verbleiben solange im MakerDAO-System, bis die Nutzer ihre Schulden zurückzahlen. Dafür bezahlen sie wiederum eine Gebühr, die sie wiederum mit dem MKR Token bezahlen.

Dieser hat jedoch noch eine andere Funktion. Mit ihm können Nutzer innerhalb des Netzwerks abstimmen, wenn es zu Entscheidungen bei MakerDAO kommt.

Funktion des MKR Token

Der MKR Token sorgt für die Stimmrechte im System. Außerdem lassen sich die Gebühren, die mit dem Abstimmungsprozess verbunden sind, bezahlen. Token-Inhaber von MKR können innerhalb des Netzwerks über Aktionen und Implementierungen abstimmen. Maker DAO ist zudem als Dezentrale Autonome Organisation (DAO) konzipiert, durch die sich das System selbst regulieren und damit den Dai Token stabilisieren soll.

Sicherheitslücke im Vertrag

Genau letztere Funktion hätten Angreifer durch das Sicherheitsleck in einem der Contracts ausnutzen können. Diese bezogen sich wiederum auf den Abstimmungsmechanismus bei MakerDAO. Dahingehend schreibt Zeppelin:

Wenn eine Umfrage für eine Governance-Entscheidung eröffnet wird, können Nutzer ihre MKR Token im DSChief Contract festsetzen, um dann für ihre bevorzugten Vorschläge zu wählen, die [wiederum] von ihren Adressen im System repräsentiert werden.

Der Fehler im System hätte es jedoch theoretisch erlaubt, in diesen Abstimmungsprozess einzugreifen bzw. ihn zu manipulieren. So hätten etwaige Angreifer die Möglichkeit gehabt, bestimmte Wahlstimmen zu entfernen und darüber hinaus die Token von anderen Nutzern auf unbestimmte Zeit einzufrieren. Letztlich sei es Angreifern damit möglich gewesen, Wahlen zu stehlen und fremde Token einzufrieren.

Problem behoben

Das Problem ist jedoch bereits behoben. MakerDAO reagierte, indem sie den Contract umprogrammierten bzw. neu aufsetzen. Nutzer, die ihre MKR Token in einem alten Voting Contract halten, sollen nun ihre MKR aus dem alten Contract in ihre persönliche Wallet bewegen.

Zusatzinfo: Wer mehr über Stable Coins, das Tether-Drama und die Reaktion von Dai & Co. im Bitcoin-Ökosystem erfahren möchte, sei auf diesen Artikel verwiesen.