Kryptowährungen: Flash-Loan-Attacke schickt Nirvana Finance ins Nirwana
Erneut ist eine Kryptofinanzplattform mit einer sogenannten Flash-Loan-Attacke um ihre Einlagen erleichtert worden.
(Bild: stockphoto-graf/Shutterstock)
Die auf der Solana-Blockchain beheimatete Finanzplattform Nirvana Finance ist am Donnerstag mit einer sogenannten Flash-Loan-Attacke um Tokens im Wert von 3,5 Millionen US-Dollar beraubt worden. Der zur Plattform gehörige Token native Token Ana stürzte in Folge des Hacks von 8,6 US-Dollar auf aktuell rund einen US-Dollar ab, der Stablecoin Nirv verlor komplett seine Dollarbindung und liegt aktuell bei 13 US-Cent.
Bei einem Flash Loan wird eine Geldsumme in einer einzigen Transaktion für einen extrem kurzen Zeitraum (wenige Sekunden) ausgeliehen und umgehend zurückerstattet. Dabei finden keine Bonitätsprüfungen statt und Sicherheiten müssen auch nicht hinterlegt werden. Das kann es ermöglichen, kurzfristig große Marktmacht zu erlangen, was leider auch für Manipulationen genutzt werden kann.
Alle Einlagen abgeräumt
Nirvana ermöglichte Nutzern unter anderem, Kryptogeld in einen Liquiditätspool einzuzahlen und dafür Zins zu kassieren. Für die Einlagen gab es dann einen Gegenwert im Token ANA, mit dem sich weitere Geschäfte treiben ließen.
Der oder die Angreifer liehen sich 10 Millionen Einheiten des Stablecoins USDC von der Plattform Solend, was Solend auch in einer Twitter-Mitteilung bestätigte. Die Summe wurden dann auf Nirvana in das native ANA-Token getauscht. Wie der Fachdienst The Block schreibt, muss die für die kleine Plattform massive Nachfrage den Wert des ANA-Tokens enorm hochgetrieben haben. So war es den Angreifern möglich, ihre ANA-Tokens gleich wieder einzulösen und dabei neben ihrem Einsatz im Wert von 10 Millionen US-Dollar auch gleich noch rund 3,5 Millionen US-Dollar aus dem Liquiditätspool abzusaugen. Laut Zahlen von Defilama belaufen sich die Einlagen in Nirvana Finance damit noch auf vier US-Cent.
Die Angreifer haben ihren Gewinn offenbar nach verschiedenen Transfers schließlich in Einheiten des Stablecoin DAI gewechselt und auf einer Ethereum-Adresse platziert. Dort ruht die Beute seither. Die Betreiber von Nirvana Finance baten die Angreifer über Twitter darum, das Geld doch wieder zurückzuzahlen. Da die Adresse, wo die Beute liege, sei identifiziert, zudem arbeite man schon daran, die Identität der Angreifer zu lüften. Für eine Rückzahlung versprechen die Macher eine White-Hat-Bounty von 300.000 US-Dollar sowie ein Ende aller Ermittlungen. Bislang ist nichts über eine Reaktion auf das Angebot bekannt.
Flash-Loan-Attacken auf dem Vormarsch
Web3-Finanzplattformen sind wegen der großen Summen, die auf ihnen gehandelt werden, ein beliebtes Opfer für Cyberattacken, die Sicherheitslücken ausnutzen oder Nutzer per Scam oder Phishing überlisten. Zuletzt nutzten immer mehr Angriffe den Flash Loan und erzielten dabei hohe Schadenssummen. Allein im zweiten Quartal dieses Jahres seien 308 Millionen US-Dollar Verlust durch insgesamt 27 Flash-Loan-Angriffe entstanden, berichtete die Sicherheitsfirma Certik.
Die Kryptogeldplattform Beanstalk etwa wurde im April Opfer eines viel beachteten Angriffs per Flash Loan: Dabei machten sich die Angreifer zunutze, dass Beanstalk seinen Nutzern Stimmrechte für Änderungen am Code der Plattform zugesteht – und zwar proportional zum Anteil an der hauseigenen Kryptowährung Bean, den Beanstalk-Nutzer besitzen. Die Angreifer erwarben kurzzeitig genug Kryptogeld, um eine Codeänderung durchzusetzen, mit der sie sich selbst sämtliches bei Beanstalk vorhandenes Kryptogeld übertrugen.
(axk)
