4 Millionen US-Dollar Ethereum gestohlen! Hacker waschen Geld im gesamten Prozess, Multi-Signature-Mechanismus wurde kompromittiert

Unleash Protocol週二披露遭駭損失1,337枚ETH價值400萬美元。Peckshield und CertiK verfolgen, dass die Hacker durch Tornado Cash Geldwäsche betrieben haben und mehrere Transaktionen mit 100 ETH an Anonymisierungsdienste gesendet wurden. Die Angreifer haben unbefugt die Kontrolle über das Multi-Sign-Governance-System erlangt, möglicherweise durch Social Engineering, um unerlaubte Vertrags-Updates durchzuführen und so das Abheben von Geldern zu umgehen.

Tornado Cash Geldwäsche-Tracking-Protokoll

Laut On-Chain-Daten und Berichten mehrerer Sicherheitsfirmen versuchen die Hacker, den Tornado Cash-Mechanismus auf Ethereum für Geldwäsche zu nutzen. Tornado Cash ist ein Kryptowährungs-Mixdienst, der durch das Zusammenmischen von Geldern verschiedener Nutzer die Verbindung zwischen Quelle und Ziel verschleiert, was es Strafverfolgungsbehörden erschwert, den Geldfluss nachzuvollziehen.

Peckshield weist darauf hin, dass die Angreifer offenbar viele Transaktionen mit 100 ETH an den populären Mix-Dienst gesendet haben. Diese Batch-Transfers sind typische Geldwäschemethoden, da große Einzeltransfers leichter zu überwachen sind. Das Aufteilen der 1.337 ETH in 13 bis 14 Transaktionen à 100 ETH, mit zeitlichen Abständen, reduziert das Risiko, sofort entdeckt zu werden.

CertiK beginnt, verdächtige Wrapped ETH und IP-Token-Abhebungen zu markieren, die an ein externes Konto gesendet wurden, das offenbar mit SafeProxyFactory eingerichtet wurde. Diese technischen Details zeigen die Professionalität der Hacker: SafeProxyFactory ist die Vertragsfabrik von Gnosis Safe (jetzt Safe), um neue Multi-Sign-Wallets zu deployen. Die Hacker nutzen dieses Tool, um temporäre Wallets für die Annahme der gestohlenen Gelder zu erstellen, was auf ein tiefgehendes Verständnis des Ethereum-Ökosystems hinweist.

Betroffene Assets umfassen WIP, USDC, WETH, stIP und vIP, wobei die meisten bereits auf Ethereum bridged und an Tornado Cash gesendet wurden. Der Bridge-Prozess erhöht die Nachverfolgungsschwierigkeiten, da die Assets während des Cross-Chain-Transfers durch mehrere Verträge und Adressen laufen, was die Spur verwässert. Nach dem Eintritt in Tornado Cash werden die Gelder mit anderen Nutzern gemischt, was eine „Black Box“ bildet, bei der die Ausgänge nicht mehr direkt auf die Eingänge zurückzuführen sind.

Es ist wichtig zu beachten, dass die Nutzung von Tornado Cash seit den US-Sanktionen gegen den Dienst im Jahr 2022 illegal ist. Dennoch hat die Sanktionierung den Betrieb nicht vollständig gestoppt, da Tornado Cash ein dezentralisiertes Smart-Contract-Protokoll ist, das nicht wie ein zentraler Dienst abgeschaltet werden kann. Die Hacker sind bereit, das rechtliche Risiko einzugehen, um Tornado Cash zu verwenden, was auf ihre Wachsamkeit gegenüber Nachverfolgungstechnologien hinweist.

Wie wurde das Multi-Sign-Governance-System kompromittiert

Am Dienstagmorgen enthüllte Unleash eine Sicherheitslücke. Das Projekt wurde vorübergehend eingestellt und eine forensische Analyse des Angriffs wurde eingeleitet. Der Angriff scheint durch die Manipulation des Multi-Sign-Mechanismus erfolgt zu sein. Unleash schrieb auf X: „Unsere vorläufigen Untersuchungen deuten darauf hin, dass eine externe Adresse durch die Multi-Sign-Governance von Unleash die Kontrolle über das Management erlangt und eine unautorisierte Vertrags-Upgrade durchgeführt hat.“

Mit anderen Worten: Die Angreifer haben unbefugt die Kontrolle über das Governance-System von Unleash Protocol erlangt, möglicherweise durch Social Engineering, Phishing oder andere Sicherheitslücken, um eine unerlaubte Aktualisierung durchzuführen und Nutzer-Gelder zu extrahieren. Dieses Muster ist in DeFi nicht ungewöhnlich, doch der erfolgreiche Bruch des Multi-Sign-Systems sorgt weiterhin für Besorgnis.

Multi-Sign-Wallets sind die häufigste Asset-Schutzmaßnahme in DeFi-Protokollen. Sie erfordern, dass mehrere private Schlüssel gemeinsam eine Transaktion signieren, was im Prinzip auch bei Diebstahl eines einzelnen Schlüssels Schutz bietet. Doch dieser Angriff zeigt, dass Multi-Sign-Mechanismen nicht absolut sicher sind.

Drei mögliche Gründe für das Versagen des Multi-Sign-Systems

Social Engineering: Hacker täuschen durch Phishing-Mails oder gefälschte Nachrichten mehrere Signaturberechtigte, um private Schlüssel zu erlangen

Interne Akteure: Mitarbeitende mit Multi-Sign-Privaten kooperieren absichtlich oder werden bestochen, um den Angriff zu ermöglichen

Vertragslücken: Der Multi-Sign-Vertrag selbst weist Programmierfehler auf, die es Angreifern erlauben, die Signaturanforderungen zu umgehen

Unleash betont, dass die „externe Adresse“ die Kontrolle erlangt hat, was darauf hindeutet, dass es sich nicht nur um einen internen Angriff handelt, sondern um einen externen Akteur, der durch technische oder soziale Manipulationen die erforderlichen Signaturrechte erlangt hat. Das Update wurde ohne Zustimmung des Teams durchgeführt, außerhalb der vorgesehenen Governance- und Betriebsprozesse, was zeigt, dass die Angreifer volle Kontrolle über das Management erlangt haben.

Sicherheitswarnung im Story Protocol-Ökosystem

Unleash erklärt: „Der Vorfall resultiert aus dem Governance- und Berechtigungs-Framework des Unleash-Protokolls“ und fügt hinzu: „Der Schaden scheint sich nur auf die spezifischen Verträge und Managementkontrollen von Unleash zu beschränken“ und „es gibt keine Hinweise darauf, dass die Verträge von Story Protocol, Validatoren oder die zugrunde liegende Infrastruktur betroffen sind.“ Diese Aussage versucht, den Schaden auf Unleash zu begrenzen und das gesamte Story Protocol-Ökosystem zu schützen.

Unleash ist eine der bekannten Anwendungen, die auf dem Story Protocol basieren. Das Story Protocol ist ein relativ neues Layer-1-Protokoll, das sich auf die Tokenisierung von geistigem Eigentum konzentriert. Hinter Story steht PIP Labs, das 1,4 Mrd. USD an Finanzierung gesammelt hat, mit Top-Venture-Investoren. Sollte dieser Geldwäsche-Vorfall das Vertrauen in die Sicherheit des Story Protocol-Ökosystems erschüttern, könnte dies andere Anwendungen und die Gesamtbewertung des Ökosystems beeinträchtigen.

Das Unleash-Team warnt Nutzer, nicht mit dem Protokoll zu interagieren, und kündigt an, bei Erhalt verlässlicher Informationen sofort Updates zu Angriff, Schadensumfang und möglichen Gegenmaßnahmen zu teilen. Das vorübergehende Pausieren des Protokolls ist eine Standardmaßnahme, um weiteren Diebstahl durch Hacker zu verhindern, bedeutet aber auch, dass legitime Nutzer vorübergehend keinen Zugriff auf ihre Assets haben.

Aus einer breiteren Perspektive zeigt dieser Vorfall erneut die Governance-Risiken in DeFi-Protokollen auf. Obwohl Multi-Sign-Mechanismen sicherer sind als Single-Sign, sind sie dennoch menschlichen Operationen unterworfen, die die anfälligste Schwachstelle darstellen. Mit steigendem Wert der DeFi-Lockups könnten Angriffe auf Governance-Systeme häufiger und komplexer werden.