DeFi-Hack-Alarm: Aperture Finance erleidet durch Smart-Contract-Exploit Verlust von 3,67 Millionen US-Dollar
Die DeFi-Plattform Aperture Finance ist Opfer eines schwerwiegenden Sicherheitsvorfalls geworden und hat durch einen Smart-Contract-Exploit etwa 3,67 Millionen US-Dollar verloren. Die Blockchain-Sicherheitsfirma PeckShieldAlert zeigt, dass der Hacker gestohlene Gelder aktiv über den Privacy-Mixing-Dienst Tornado Cash bewegt.
Die Vorgänge haben neue Bedenken hinsichtlich der Rückverfolgung der Gelder und der genauen Ursache des Hacks aufkommen lassen.
Wie der Aperture Finance Exploit stattfand
Laut PeckShieldAlert ereignete sich der Hack bei Aperture Finance am 25. Januar 2026 aufgrund einer Schwachstelle in den Smart Contracts der Versionen V3 und V4 in Kombination mit bestehenden Token-Freigaben (Approvals) der Nutzer. Auf DeFi-Plattformen erlauben Nutzer Verträgen häufig, ihre ERC-20-Token oder Liquiditätspositions-NFTs zu BEWEGEN, damit Trades und Strategien automatisch ausgeführt werden können. In diesem Fall fand der Angreifer jedoch einen Fehler in der Art und Weise, wie der Vertrag diese Berechtigungen und Funktionsaufrufe verarbeitete.
Anstatt Wallets zu knacken oder private Schlüssel zu stehlen, nutzte der Angreifer die eigene Logik des Vertrags, um unbefugte Vermögensübertragungen auszulösen.
Da viele Nutzer bereits Freigaben erteilt hatten, konnte der Angreifer Gelder bewegen, ohne neue Signaturen zu benötigen. Dies ermöglichte es ihm, Vermögenswerte abzuziehen, die mit freigegebenen Token und Liquiditätspositionen verbunden waren.
Gelder nach Hack zu Tornado Cash transferiert
All dies führte zur Entwendung von Vermögenswerten im Wert von 3,67 Millionen US-Dollar. Der Angreifer tauschte einen Großteil in ETH um und schickte etwa 1.242 ETH an Tornado Cash, um die Spur zu verwischen.
Angreifer nutzen häufig Mixing-Dienste wie Tornado Cash, um die Herkunft gestohlener Kryptowährungen zu verschleiern und die Rückverfolgung zu erschweren. Die Gelder wurden in mehreren kleinen Transaktionen überwiesen, darunter Batches von 10 ETH und 100 ETH – eine gängige Methode, um Aufmerksamkeit zu vermeiden.
Nutzer aufgefordert, Token- und NFT-Freigaben zu widerrufen
Im Anschluss an den Exploit veröffentlichte das Team von Aperture Finance eine Notfallmitteilung und teilte eine Liste der betroffenen Vertragsadressen. Zudem warnten sie die Nutzer dringend davor, sowohl ERC-20-Token-Freigaben als auch ERC-721-Liquiditätspositions-Freigaben für die riskanten Adressen zu widerrufen.
Wallet-Freigaben ermöglichen es Smart Contracts, Nutzergelder zu bewegen. Bleiben sie aktiv, können sie missbraucht werden, sobald ein Vertrag kompromittiert ist.
— Übersetzt von Sh1b4rmy
