Penpie DeFi-Protokoll ausgenutzt, verliert Millionen von Dollar

Das Decentralized Finance (DeFi)-Protokoll Penpie wurde kürzlich Opfer eines Exploits, bei dem mehrere Krypto-Assets im Wert von mehreren Millionen Dollar gestohlen wurden.

A DeFi protocol based on Pendle, Penpie, recently fell victim to an exploit that saw millions of dollars worth of several crypto assets being drained from the protocol. Pendle addressed the incident in a post-mortem post, revealing that its quick response prevented further losses to the tune of over $100 million in users’ funds.

Ein auf Pendle basierendes DeFi-Protokoll, Penpie, wurde kürzlich Opfer eines Exploits, bei dem mehrere Krypto-Assets im Wert von mehreren Millionen Dollar aus dem Protokoll abgezogen wurden. Pendle ging in einem Post-Mortem-Beitrag auf den Vorfall ein und enthüllte, dass seine schnelle Reaktion weitere Verluste in Höhe von über 100 Millionen US-Dollar an Benutzergeldern verhindert habe.

According to reports, the crypto heist took place on Tuesday, with the malicious actor exploiting a vulnerability in Penpie’s reward distribution mechanism. The vulnerability stemmed from a Penpie-only feature that permitted permissionless listing of Pendle markets on Penpie.

Berichten zufolge fand der Krypto-Raub am Dienstag statt, wobei der böswillige Akteur eine Schwachstelle im Belohnungsverteilungsmechanismus von Penpie ausnutzte. Die Sicherheitslücke entstand durch eine reine Penpie-Funktion, die die erlaubnislose Auflistung von Pendle-Märkten auf Penpie ermöglichte.

The attacker used an “evil market” contract to inflate the staking balance and claim unwarranted rewards. As a result, they were able to drain $7.87 million in wstETH, $2.51 million in sUSDe, $3.4 million agETH, $2.22 million in rswETH, and four other Pendle-related Yield tokens from the protocol.

Der Angreifer nutzte einen „bösen Markt“-Vertrag, um den Einsatzsaldo zu erhöhen und ungerechtfertigte Belohnungen zu fordern. Infolgedessen konnten sie 7,87 Millionen US-Dollar an wstETH, 2,51 Millionen US-Dollar an sUSDe, 3,4 Millionen US-Dollar an agETH, 2,22 Millionen US-Dollar an rswETH und vier weitere Pendle-bezogene Yield-Token aus dem Protokoll entfernen.

Following the exploit, the hacker swapped the crypto assets for 11,113 ETH using the Li.fi protocol. The stolen funds, worth $27.3 million, were later transferred to crypto mixer Tornado Cash.

Nach dem Exploit tauschte der Hacker die Krypto-Assets über das Li.fi-Protokoll gegen 11.113 ETH. Die gestohlenen Gelder im Wert von 27,3 Millionen US-Dollar wurden später an den Krypto-Mixer Tornado Cash überwiesen.

The Penpie Team sent a message to the attacker, asking them to “amicably” resolve the incident. The protocol recognized the project’s vulnerability and the exploit’s role in bringing it forward, proposing a white hat bounty for the safe return of the funds.

Das Penpie-Team schickte eine Nachricht an den Angreifer und forderte ihn auf, den Vorfall „einvernehmlich“ zu lösen. Das Protokoll erkannte die Verwundbarkeit des Projekts und die Rolle des Exploits bei seiner Weiterentwicklung an und schlug ein White-Hat-Kopfgeld für die sichere Rückgabe der Gelder vor.

Additionally, they offered the attacker an opportunity to “transition into a white-hat role, where your skills will be acknowledged and rewarded.” The team assured that the hacker’s identity would remain confidential and they would not pursue any legal action against them.

Darüber hinaus boten sie dem Angreifer die Möglichkeit, „in eine White-Hat-Rolle zu wechseln, in der Ihre Fähigkeiten anerkannt und belohnt werden“. Das Team versicherte, dass die Identität des Hackers vertraulich behandelt werde und keine rechtlichen Schritte gegen ihn eingeleitet würden.

As of this writing, there are no reports of a resolution between the exploiter and the protocol’s team.

Zum jetzigen Zeitpunkt gibt es keine Berichte über eine Lösung zwischen dem Exploiter und dem Protokollteam.