Meta Pool für 133.000 US-Dollar ausgenutzt, nachdem Angreifer Token im Wert von 27 Millionen US-Dollar prägte
Das Liquid-Staking-Protokoll Meta Pool hat einen Vertrags-Exploit erlitten, der zu unbefugter Token-Prägung und Verlusten von über 133.000 US-Dollar führte.
Laut einem Blogbeitrag vom 17. Juni konnte Meta Pool den Vorfall eingrenzen, bevor weiterer Schaden entstand.
Das Team gab an, dass der Angriff durch „Früherkennungssysteme“ und die Unterstützung des Blockchain-Sicherheitsunternehmens Blocksec identifiziert wurde, was eine schnelle Reaktion ermöglichte. Der mpETH-Vertrag wurde pausiert, um „weitere unbefugte Aktivitäten oder zusätzliche Verluste“ zu verhindern.
Das Meta-Pool-Team führte den Vorfall auf eine Schwachstelle in der ERC4626 mint()-Funktion seines mpETH-Vertrags zurück.
In einem separaten X-Post schlug Meta-Pool-Mitgründer Claudio Cossio vor, dass der Angreifer möglicherweise die Fast-Unstaking-Funktion des Protokolls ausgenutzt habe, um die typische Entbindungsfrist zu umgehen und mpETH ohne Hinterlegung von Sicherheiten zu prägen.
Die Angreifer konnten 9.705 mpETH-Token im Wert von fast 27 Millionen US-Dollar prägen, indem sie eine Schwachstelle im Ethereum-basierten Liquid-Staking-Vertrag des Protokolls ausnutzten. Aufgrund der begrenzten Liquidität in den betroffenen Pools konnte der Exploiter die Token jedoch nur in 52,5 ETH umtauschen, was zum aktuellen Kurs etwa 133.000 US-Dollar entspricht.
Die gestohlenen Mittel wurden aus Swap-Pools im Ethereum-Mainnet und Layer-2-Netzwerken wie Optimism abgezogen.
Meta Pool gab an, dass der Uniswap-Pool allein für Verluste von 37,5 ETH verantwortlich war, und fügte hinzu, dass „der Großteil dieser Liquidität vom Meta Pool DAO bereitgestellt wurde“.
Eine vollständige Nachbetrachtung und ein Wiederherstellungsplan werden innerhalb von 48 Stunden erwartet, und das Protokoll hat zugesagt, betroffene Nutzer zu entschädigen.
Der Vorfall hatte keine Auswirkungen auf die ursprünglich über den mpETH-Vertrag gestaketen 913 ETH, die weiterhin durch SSV-Netzwerkbetreiber gesichert sind. Meta Pool hat auch bestätigt, dass seine Staking-Verträge auf NEAR, Solana, Aurora, Internet Computer, Q und Story nicht betroffen sind.
Dies ist der zweite bemerkenswerte DeFi-Exploit in diesem Monat. Am 6. Juni erlitt das Bitcoin-basierte Protokoll Alex Protocol einen Bruch von 8,3 Millionen US-Dollar, nachdem eine Schwachstelle in seiner Self-Listing-Verifizierungslogik es einem Angreifer ermöglichte, mehrere Asset-Pools zu leeren.
Alex Protocol hat seitdem ein Treasury-Grant-Programm angekündigt, um betroffene Nutzer mit einer Mischung aus Original-Token und USDC zu entschädigen.
Übersetzt von PumpNdump
