Cryptobank Infini gehackt voor $50 miljoen, kwaadwillende ontwikkelaar verdacht

De in Hongkong gevestigde stablecoin-neobank Infini werd het slachtoffer van een exploit waarbij ongeveer $50 miljoen werd buitgemaakt. Onderzoek wijst op een kwaadwillende ontwikkelaar als dader.

Het lek werd voor het eerst opgemerkt door blockchain-beveiligingsbedrijf CertiK op 24 februari om 3:18 uur UTC, dat ongeautoriseerde overboekingen vanuit een aan Infini gekoppeld contract op Ethereum constateerde.

De aanvaller verschafte zichzelf speciale toegang tot een account en nam 49,5 miljoen USD Coin (USDC) op.

Wat is er gebeurd?

In haar eerste post-mortem rapport beweerde Cyvers, een ander beveiligingsbedrijf dat zich richt op blockchain, dat de aanvaller waarschijnlijk een ontwikkelaar was die eerder aan de smart contracts van Infini had gewerkt en verborgen beheerdersrechten had behouden, zelfs na voltooiing van het project.

Met behulp van deze privileges financierde de ontwikkelaar eerst een wallet met 1 ETH via de crypto-mixing service Tornado Cash om de transactiekosten te dekken.

Met deze wallet voerden ze een aangepast contract uit – dat al in november 2024 was opgesteld – om ongeautoriseerde toegang te krijgen tot het systeem van Infini.

Hierdoor konden ze 49,5 miljoen USDC van het platform halen.

Vervolgens werd de buit omgewisseld voor DAI, een stablecoin die niet door de uitgevers kan worden bevroren, waardoor de aanvaller onmiddellijke interventie kon voorkomen.

Hierna werd de DAI gebruikt om 17.696 ETH te kopen, die vervolgens naar een nieuwe wallet werden overgemaakt, volgens gegevens die zijn gedeeld door on-chain tracker Lookonchain.

Volgens een inmiddels verwijderde tweet is de dader door het Infini-team geïdentificeerd en aangegeven bij de politie, hoewel een officiële verklaring van het bedrijf nog niet is gepubliceerd.

Wat staat Infini-gebruikers te wachten?

Infini, opgericht in 2024, is een neobank, een volledig digitale financiële instelling die gebruikers bedient zonder fysieke vestigingen.

Infini werkt volledig online en biedt diensten aan zoals stablecoin-betalingen, rentegenererende rekeningen en andere cryptovriendelijke producten.

Het platform won snel aan populariteit en kende een maandelijkse groei van 500% in actieve gebruikers, aldus een persbericht van 14 februari.

De recente exploit heeft echter een schaduw geworpen over de vooruitgang.

Direct nadat berichten over het incident op sociale media verschenen, verklaarde oprichter Christian Li dat het bedrijf alle getroffen gebruikers zou compenseren, ongeacht het resultaat van de lopende inspanningen om de activa terug te krijgen.

In een latere update legde Li uit dat 70% van het verloren geld toebehoorde aan “grote investeerders” die allemaal persoonlijk zijn gecontacteerd en op de hoogte zijn gebracht van het incident.

Hij beloofde hun verliezen uit eigen zak te vergoeden via privéregelingen.

Wat betreft de resterende gestolen fondsen, verzekerde Li de gebruikers dat deze uiterlijk volgende maandag volledig zouden worden aangevuld in de Infini Vault, zodat de activiteiten gewoon door kunnen gaan.

Hij bevestigde ook dat er voldoende liquiditeit was voorbereid om aan alle opnameverzoeken gedurende deze periode te voldoen en drong er bij gebruikers op aan kalm te blijven.

Li voegde eraan toe dat Infini de nodige tijd zou nemen om zijn diensten te upgraden en opnieuw op te starten, waarbij de veiligheid van de fondsen prioriteit zou krijgen voordat de volledige activiteiten werden hervat.

Op het moment van publicatie waren opnames bij Infini nog steeds mogelijk.

Li voegde eraan toe dat er sinds de exploit meer dan $500.000 van het platform was opgenomen.

Een slechte week voor crypto.

De Infini-hack is slechts de laatste in een golf van grote beveiligingslekken die de cryptowereld op zijn kop zetten.

Slechts enkele dagen eerder, op 21 februari, werd Bybit het slachtoffer van een van de grootste hacks in de geschiedenis van de cryptomarkt, waarbij meer dan $1,4 miljard verloren ging.

De aanvallers, vermoedelijk afkomstig van de door Noord-Korea gesteunde hackergroep Lazarus, maakten gebruik van de logica van slimme contracten om geld uit de multi-signature cold wallet van het platform te halen.