Nach dem jüngsten Hack auf Cetus Protocol, bei dem ganze 230 Millionen US-Dollar entwendet wurden, macht das Sicherheitsunternehmen SlowMist nun einen grundlegenden Fehler im Code verantwortlich. Der Angriff wurde durch die geschickte Ausnutzung einer Schwachstelle in der Rechenfunktion des Systems ermöglicht. Lesen Sie hier, wie das Sui-Netzwerk an der Wiederherstellung arbeitet.
Kryptowährungen sind erhältlich bei Bitvavo und Bybit.
Cleverer Overflow-Trick bringt System aus dem Gleichgewicht
Die Schwachstelle befand sich tief verborgen in der sogenannten checked_shlw-Funktion, die vom Protokoll über get_delta_a aufgerufen wird. Diese Funktionen sind dafür zuständig zu berechnen, wie viele haSUI-Token bei bestimmten Transaktionen hinzugefügt werden müssen.
Indem eine Overflow-Korrektur umgangen wurde, konnte das System nicht korrekt berechnen, wie viele haSUI tatsächlich erforderlich waren. Das Protokoll arbeitete mit völlig falschen Werten. Die Angreifer waren so in der Lage, mit minimalem Token-Einsatz große Mengen an liquiden Vermögenswerten abzuheben – ohne dass das System Alarm schlug.
Laut SlowMist handelt es sich um eine klassische Schwachstelle bei der Overflow-Kontrolle, bei der Zahlen, die den Maximalwert überschreiten, wieder „umdrehen“ und so einen kleineren Wert vortäuschen. Der Fehler blieb unentdeckt – mit katastrophalen Folgen.
Codeanalyse enthüllt Ursache des 230-Millionen-Verlusts
Die Analyse von SlowMist zeigt, dass der Fehler möglicherweise schon seit längerer Zeit vorhanden war. Erst nach dem Vorfall wurde die Schwachstelle bei der Untersuchung der Transaktionshistorie und des Quellcodes entdeckt. Laut den Forschern ist es wichtig, dass andere DeFi-Protokolle diesen Fehler erkennen und ihre eigenen Systeme auf ähnliche Schwachstellen überprüfen.
Der Angriff zeigt, wie komplex und anfällig On-Chain-Logik sein kann, wenn keine robusten Kontrollmechanismen in Smart Contracts eingebaut sind. Cetus hatte zuvor bereits eine Belohnung für Hinweise auf den Hacker ausgesetzt – nun ist endlich die technische Ursache der Attacke bekannt.
Hier lesen Sie die vollständige Analyse von SlowMist zum Cetus-Hack.
Der Vorfall verdeutlicht einmal mehr, dass ein kleines Stück fehleranfälliger Code in einer Welt, in der jeder Token zählt, enorme Auswirkungen haben kann.