Beanstalk Farms, een stablecoin protocol op Ethereum (ETH), werd op de eerste paasdag gehackt voor maar liefst $182 miljoen aan verschillende cryptocurrencies. Dat meldt cybersecuritybedrijf PeckShield op 17 april.
1/ The @BeanstalkFarms was exploited in a flurry of txs (https://t.co/PMsdP5dnJG and https://t.co/wyHe3ARZgU),
leading to the gain of $80+M for the hacker (The protocol loss may be larger), including 24,830 ETH and 36M BEAN.— PeckShield Inc. (@peckshield) April 17, 2022
Ondanks dat $182 miljoen aan crypto verloren is, heeft de hacker ‘maar’ $80 miljoen aan crypto buitgemaakt. Onderzoekers melden dat de aanvaller een zogenaamde flash lening uitvoerde via het decentralized finance (DeFi) protocol van Aave (AAVE).
De hacker accumuleerde een enorme hoeveelheid aan Stalk crypto, de governance token van het platform. Hiermee kon hij of zij genoeg stemrecht opbouwen om gemakkelijk een nieuw voorstel op het protocol door te voeren. Het probleem was dat het Beanstalk nog geen maatregel had om het percentage van Stalk te begrenzen voor een voorstel. De hacker maakte vervolgens misbruik van deze kwetsbaarheid.
Met 67% van het stemrecht kon hij gemakkelijk zijn voorstel doorvoeren wat blijkbaar een nepdonatie was aan Oekraïne. Vervolgens kon hij het contract leegzuigen en de crypto doorsturen naar een eigen wallet. Vanuit daar stuurde de hacker zijn buit naar Tornado Cash, een speciale “mixer” dienst om sporen van crypto transacties te wissen.
DeFi nog steeds kwetsbaar?
De aanvaller stal grote hoeveelheden aan de stablecoins USDC, USDT, DAI, LUSD en natuurlijk BEAN. Het incident zorgt ervoor dat de koers van de bean (BEAN) stablecoin is ingestort. De prijs hiervan hoort normaliter op $1 te liggen, maar zakte gisteren helemaal naar $0,185 waar de koers sindsdien ligt. Dat is een daling van maar liefst 81,5%.
Omnicia, het bedrijf dat een audit uitvoerde voor Beanstalk, meldt dat zij de audit uitvoerde voordat deze kwetsbaarheid omtrent flash leningen bestond. Het is momenteel onduidelijk of het project van plan is om zijn gebruikers terug betalen. Beanstalk meldt dat het nog een aankondiging zal maken.
The @BeanstalkFarms protocol loss is ~$182m and the hacker nets $80m. The rest $100m goes to various protocols as fees to pay flashloan and swap. Should these protocols (incl. @AaveAave @SushiSwap @CurveFinance @Uniswap @BeanstalkFarms) return these fees back to @BeanstalkFarms?
— PeckShield Inc. (@peckshield) April 18, 2022
De DeFi-sector is het afgelopen anderhalve jaar vaak het doelwit geweest van hackers. Dat komt omdat het nog nieuw en experimenteel is waardoor de onderliggende code regelmatig kwetsbaarheden bevat.
