Wie prägte ein Angreifer 1.000 unautorisierte eBTC auf Echo Protocol?

Die auf Bitcoin fokussierte DeFi-Plattform Echo Protocol wurde Opfer eines Exploits, nachdem ein Angreifer rund 1.000 unautorisierte eBTC-Token auf dem Monad-Deployment des Protokolls geprägt hatte.

Laut der Blockchain-Sicherheitsfirma PeckShield und der On-Chain-Analyseplattform Lookonchain erschuf der Angreifer rund 76,7 Millionen USD (ca. 66,9 Millionen €) an synthetischen Bitcoin-Token, bevor er versuchte, Wert über dezentrale Kreditmärkte abzuziehen.

Echo Protocol bestätigte später, dass es einen „Sicherheitsvorfall, der die Echo-Bridge auf Monad betrifft“, untersuche, und teilte mit, dass alle Cross-Chain-Transaktionen während der Untersuchung ausgesetzt worden seien.

Monad-Mitbegründer Keone Hon stellte auf X klar, dass das Monad-Netzwerk selbst normal lief und nicht kompromittiert worden sei.

Sicherheitsforscher und Blockchain-Entwickler schränkten den Vorfall später auf das ein, was Entwickler „Marioo“ als einen operativen Fehler im Zusammenhang mit kompromittierten Admin-Zugangsdaten beschrieb, nicht als Fehler im Smart-Contract-Code an sich. 

Dem Entwickler zufolge funktionierte der eBTC-Contract wie vorgesehen, doch schwache Zugriffskontrollen ermöglichten es dem Angreifer, administrative Berechtigungen zu übernehmen.

Wie sich der Exploit abspielte

On-Chain-Ermittler berichteten, dass sich der Angreifer zuerst die DEFAULT_ADMIN_ROLE am eBTC-Contract von Echo zugewiesen habe, bevor er seiner Wallet die MINTER_ROLE gewährte, was die Erstellung neuer Token ohne Deckung ermöglichte. 

Nacherlangter Prägeberechtigungen soll der Angreifer Berichten zufolge seine eigenen Admin-Rechte wieder entfernt haben, um keine sichtbare administrative Rolle on-chain zu behalten.

Mit diesen Kontrollen prägte der Exploiter 1.000 eBTC-Token im Wert von etwa 77 Millionen USD (ca. 67,2 Millionen €) auf dem Papier. 

Die begrenzte Liquidität im Monad-Ökosystem verhinderte jedoch, dass der Angreifer den Großteil der Vermögenswerte direkt über dezentrale Börsen konvertieren konnte.

Stattdessen zeigten von Onchain Lens und Lookonchain geteilte Daten, dass der Angreifer 45 eBTC im Wert von rund 3,5 Millionen USD (ca. 3 Millionen €) als Sicherheiten im DeFi-Kreditprotokoll Curvance hinterlegte. 

Auf Basis dieser Einlagen lieh der Angreifer rund 11,29 wrapped Bitcoin (WBTC) im Wert von etwa 867.700 US-Dollar.

Nachdem er die geliehenen WBTC auf Ethereum gebrückt hatte, tauschte der Exploiter die Werte in ETH und transferierte laut mehreren On-Chain-Tracking-Accounts etwa 384 bis 385 ETH in den Krypto-Mixer Tornado Cash.

Daten von Lookonchain und DeBank zeigten, dass der Angreifer weiterhin 955 eBTC im Wert von rund 73 Millionen USD (ca. 63,7 Millionen €) kontrolliert, obwohl DefiPrime-Gründer Nick Sawinyh in einem Beitrag schrieb, die verbleibenden Token seien faktisch unbrauchbar, weil die DeFi-Liquiditätstiefe von Monad die gefälschte Versorgung nicht absorbieren konnte.

Marioo wies außerdem auf mehrere Sicherheitslücken hin, die die Wirkung des Angriffs verstärkten, darunter die Verwendung einer Single-Signature-Admin-Rolle, das Fehlen eines Timelock-Mechanismus, keine Minting-Obergrenze oder Ratenbegrenzung sowie das Fehlen von Kollateral-Sanity-Checks auf Curvance für neu geprägte eBTC.

Protokolle reagieren, um Schaden einzudämmen

Während sich der Exploit abspielte, erklärte Curvance, es habe eine „Anomalie“ im Echo-eBTC-Markt erkannt und den betroffenen Kreditmarkt pausiert, während die Untersuchungen weiterliefen. 

Das Protokoll gab an, es gebe keine Anzeichen dafür, dass seine eigenen Smart Contracts verletzt worden seien, und fügte hinzu, dass seine isolierte Marktarchitektur ein Übergreifen auf andere Kreditpools verhindert habe.

Nach Angaben von Hon schätzten Sicherheitsforscher die realisierten Verluste auf rund 816.000 US-Dollar, deutlich unter dem Buchwert der unautorisierten Prägung, da der Großteil der gefälschten eBTC-Versorgung nicht liquidiert werden konnte.

Echo Protocol, das sich auf die Aggregation von Bitcoin-Liquidität, Liquid Staking, Restaking und Yield-Generierung über mehrere Chains konzentriert, hat bisher nicht offengelegt, wie die Admin-Zugangsdaten kompromittiert wurden. 

Das Protokoll teilte mit, dass weitere Updates über offizielle Kanäle veröffentlicht würden, sobald die Untersuchung fortschreite.

Der Vorfall fügt der wachsenden Liste von DeFi-Exploits hinzu, die seit Jahresbeginn registriert wurden.

Wie zuvor von Invezz berichtet, wurde die KelpDAO-Bridge-Infrastruktur in einem fortgeschrittenen RPC-Poisoning- und Distributed-Denial-of-Service-(DDoS)-Angriff kompromittiert, der zu einem massiven 292 Millionen USD (ca. 254,7 Millionen €)-Exploit führte.