Dough Finance Protocol verliert 1,96 Millionen US-Dollar durch Flash-Darlehensangriff

Ein weiteres DeFi-Protokoll wurde am Freitagmorgen Opfer eines Exploits. Dough Finance, ein Open-Source-Protokoll zur Schaffung nicht verwahrter Liquiditätsmärkte

DeFi protocol Dough Finance fell victim to a flash loan attack on Friday morning, leading to the theft of nearly $2 million in user funds. The project’s team announced they are working to resolve the situation promptly.

Das DeFi-Protokoll Dough Finance wurde am Freitagmorgen Opfer eines Blitzkreditangriffs, der zum Diebstahl von Benutzergeldern in Höhe von fast 2 Millionen US-Dollar führte. Das Projektteam gab bekannt, dass es daran arbeite, die Situation umgehend zu lösen.

According to Web3 blockchain security platform Cyvers, it detected multiple suspicious transactions involving Dough Finance. The attacker manipulated the protocol's smart contract and stole $1.8 million in USDC.

Nach Angaben der Web3-Blockchain-Sicherheitsplattform Cyvers wurden mehrere verdächtige Transaktionen im Zusammenhang mit Dough Finance entdeckt. Der Angreifer manipulierte den Smart Contract des Protokolls und stahl USDC im Wert von 1,8 Millionen US-Dollar.

The attacker, funded through the zero-knowledge (ZK) protocol Railgun, swapped the misappropriated funds to Ethereum (ETH), initially obtaining 608 ETH.

Der Angreifer, der über das Zero-Knowledge (ZK)-Protokoll Railgun finanziert wurde, tauschte die veruntreuten Gelder an Ethereum (ETH) aus und erhielt zunächst 608 ETH.

However, further analysis by Web3 security provider Olympix revealed that the exploit occurred due to “calldata within the ConnectorDeleverageParaswap contract.” The report highlighted that the contract failed to adequately check the flash loan calls data.

Eine weitere Analyse des Web3-Sicherheitsanbieters Olympix ergab jedoch, dass der Exploit aufgrund von „Anrufdaten im ConnectorDeleverageParaswap-Vertrag“ erfolgte. In dem Bericht wurde hervorgehoben, dass der Vertrag die Daten zu kurzfristigen Kreditaufrufen nicht ausreichend überprüfte.

The unvalidated calldata allowed the exploiter to manipulate the contract's data and send the funds to an Externally Owned Account (EAO), enabling them to withdraw the stolen crypto.

Die nicht validierten Anrufdaten ermöglichten es dem Angreifer, die Vertragsdaten zu manipulieren und die Gelder an ein Externally Owned Account (EAO) zu senden, wodurch er die gestohlene Kryptowährung abheben konnte.

Following the initial reports, a second batch of attacks occurred, leading to the loss of another $141,000 in USDC, raising the total crypto heist to $1.96 million.

Nach den ersten Berichten kam es zu einer zweiten Angriffsserie, die zum Verlust von weiteren 141.000 US-Dollar an USDC führte, wodurch sich der gesamte Krypto-Raub auf 1,96 Millionen US-Dollar erhöhte.

However, lending protocol Aave's pools remained unaffected, according to Cyvers.

Laut Cyvers blieben die Pools des Kreditprotokolls Aave jedoch davon unberührt.

After the initial reports, the DeFi protocol acknowledged the attack and urged users to withdraw their remaining funds from the protocol. Later, Dough Finance announced it had identified and closed the exploit.

Nach den ersten Berichten erkannte das DeFi-Protokoll den Angriff an und forderte die Benutzer auf, ihre verbleibenden Gelder aus dem Protokoll abzuheben. Später gab Dough Finance bekannt, dass es den Exploit identifiziert und geschlossen habe.

The project confirmed that “a few early Dough DeFi Smart Accounts (DSAs)” were victim to a sophisticated exploit.

Das Projekt bestätigte, dass „einige frühe Dough DeFi Smart Accounts (DSAs)“ Opfer eines raffinierten Exploits waren.

In a statement, Dough Finance assured that its team is actively working to address the incident, aiming to recover the funds and making investors whole.

In einer Erklärung versicherte Dough Finance, dass sein Team aktiv an der Behebung des Vorfalls arbeite, mit dem Ziel, die Gelder zurückzugewinnen und die Anleger wieder gesund zu machen.

Online reports also revealed that the team reached out to the exploiter through an on-chain message, offering to discuss a bounty if they had “exploited this vulnerability as a white or grey hat.”

Online-Berichte enthüllten außerdem, dass das Team den Ausnutzer über eine On-Chain-Nachricht kontaktierte und ihm anbot, ein Kopfgeld zu besprechen, wenn er „diese Schwachstelle als White- oder Grey-Hat ausgenutzt“ hätte.

The message also included the address where the funds should be directly transferred if the exploiter wished to return the stolen crypto.

Die Nachricht enthielt auch die Adresse, an die das Geld direkt überwiesen werden sollte, wenn der Angreifer die gestohlene Kryptowährung zurückgeben wollte.

The exploiter has until Monday, July 15, 2024, at 23:00 UTC to contact the DeFi protocol. If the team doesn't receive an answer, they will “assume you appropriated the funds with unlawful intent and will pursue all criminal, legal, and administrative avenues available” to recover the misappropriated funds.

Der Exploiter hat bis Montag, 15. Juli 2024, um 23:00 UTC Zeit, das DeFi-Protokoll zu kontaktieren. Wenn das Team keine Antwort erhält, geht es „von der Annahme aus, dass Sie sich die Gelder mit rechtswidriger Absicht angeeignet haben, und wird alle verfügbaren strafrechtlichen, rechtlichen und administrativen Wege verfolgen“, um die veruntreuten Gelder zurückzuerhalten.

This incident highlights the ongoing threat posed by scammers to the DeFi sector. Earlier this week, several DeFi projects, including Compound Finance, were compromised in a phishing attack.

Dieser Vorfall verdeutlicht die anhaltende Bedrohung, die Betrüger für den DeFi-Sektor darstellen. Anfang dieser Woche wurden mehrere DeFi-Projekte, darunter Compound Finance, durch einen Phishing-Angriff kompromittiert.

The projects were reportedly victims of a DNS domain attack, which redirected users to a fake website. The copy website functioned as a drainer tool, capable of draining users' funds if they interacted with it.

Berichten zufolge wurden die Projekte Opfer eines DNS-Domänenangriffs, der Benutzer auf eine gefälschte Website umleitete. Die kopierte Website fungierte als Entleerungstool, das in der Lage war, den Nutzern Geld zu entziehen, wenn diese damit interagierten.

As a result, the teams of the affected projects quickly urged customers not to interact with the websites until further notice, to prevent any potential losses.

Die Teams der betroffenen Projekte forderten die Kunden daher umgehend auf, bis auf Weiteres nicht mit den Websites zu interagieren, um mögliche Verluste zu vermeiden.