Ein Hacker hat am Mittwoch etwa 86.000 USD aus dem gemeinsamen Token-Vesting-Pool des UNCX-Netzwerks auf Ethereum abgezogen und dabei Token gestohlen, die andere Projekte gesperrt hatten. Die Sicherheitsfirma Blockaid berichtet, dass der Angriff weiterhin läuft.
UNCX, früher UniCrypt, bietet Krypto-Projekten eine Möglichkeit, eigene Token zu sperren, damit Insider nicht frühzeitig verkaufen können. Die Smart Contracts halten aktuell etwa 179,7 Millionen USD auf verschiedenen Blockchains, davon 111,4 Millionen USD auf Ethereum.
Wie konnte der Angreifer Token von anderen abheben?
Blockaid sagt, dass der Verlust aus einer einzigen Transaktion stammt, die den Pool geleert hat. Viele Projekte lagern ihre gesperrten Token gemeinsam in diesem Pool.
Der Angreifer eröffnete zunächst mehrere Vesting-Positionen. Eine Vesting-Position ist ein Platzhalter, der Token speichert und sie nach einem Zeitplan freigibt.
Danach hat der Angreifer eine große Position freigegeben und zusätzliche Token in den Pool geschickt. Anschließend wurde eine aufgestockte Position wieder storniert.
So blieb nur eine sehr kleine Position übrig. Laut Blockaid konnte diese kleine Position dann Token abheben, die anderen Nutzern gehörten.
In der eigenen Anleitung beschreibt UNCX, dass die gesperrten Token zeitlich begrenzt in einem geprüften Smart Contract liegen.
„können nicht gesendet, verkauft, zur Liquidität hinzugefügt oder gestaket werden”, heißt es im Leitfaden.
Blockaid nannte zwei Wallets des Angreifers. Etherscan zeigte, dass eine davon etwa 5.874 USD in acht Transaktionen hielt.
Warum ein Verlust von 86.000 USD auch für kleine Projekte wichtig ist
UNCX hatte zum Zeitpunkt der Veröffentlichung noch kein öffentliches Statement zum Angriff veröffentlicht.
Der Token der Plattform hat kaum reagiert. UNCX Network (UNCX) lag laut BeInCrypto-Daten bei 24,80 USD, ein Plus von 0,16% in 24 Stunden. Die gesamte Marktkapitalisierung beträgt rund 905.000 USD.
Auch kleine Verluste können ein Projekt zum Scheitern bringen. Die dezentrale DEX Full Sail wurde im August nach einem Hack in Höhe von etwa 91.000 USD eingestellt.
Auch ältere Smart Contracts waren betroffen. Notional Finance verlor im September etwa 1,73 Millionen USD durch einen Integer-Overflow-Bug in alten Verträgen.
Token-Locker gibt es, damit Käufer sicher sein können, dass Insider das Angebot nicht schnell abverkaufen. Offene Fragen bleiben, welche Projekte Token verloren haben und ob UNCX den Pool vor weiteren Abhebungen stoppen kann.
