Curve Finance start Bug-Bounty nach Ablauf der Rückgabefrist des Angreifers

Das dezentralisierte Finanzierungsprotokoll (DeFi) namens Curve Finance hat ein Belohnungsprogramm zur Aufdeckung von Softwarefehlern eingerichtet.

Diese Belohnung wird allen angeboten, die die Person identifizieren können, die am 30. Juli unrechtmäßig mehr als 61 Millionen US-Dollar aus den Protokoll-Pools abgezogen hat.

Bug-Bounty von 10%

Am 3. August boten Curve und andere betroffene Protokolle dem Hacker eine Belohnung von 10 % an, was mehr als 6 Millionen US-Dollar entspricht. Wenn der Hacker das Angebot annahm, hat er die gestohlenen Vermögenswerte an Alchemix und JPEGd zurückgegeben, aber keine Rückzahlungen an andere betroffene Pools vorgenommen. Da die Frist abgelaufen ist, wird die Person, die den Angreifer identifizieren kann, mit Vermögenswerten im Wert von 1,85 Millionen US-Dollar belohnt.

Die Frist für die freiwillige Rückgabe der Mittel im Zusammenhang mit der Curve-Exploitation endete um 08:00 UTC. Jetzt wird die Belohnung von 10 % der verbleibenden ausgenutzten Mittel (derzeit 1,85 Millionen US-Dollar) der Person angeboten, die den Täter der Ausbeutung identifizieren kann und zu einer Verurteilung durch das Gericht beiträgt. Die On-Chain-Nachricht lautet wie folgt: “Wenn der Ausbeuter sich dazu entscheidet, das Geld vollständig zurückzugeben, werden wir keine weiteren rechtlichen Schritte unternehmen.”

The deadline for the CRV/ETH exploiter passeshttps://t.co/VphQ0bfYr2 pic.twitter.com/x8LP9Tx4rs

— Curve Finance (@CurveFinance) August 6, 2023

“Ich möchte euer Projekt nicht ruinieren”

Vor der Rückgabe des Geldes veröffentlichte der Angreifer eine Nachricht, die anscheinend an die Teams von Alchemix und Curve gerichtet war. In dieser Nachricht behauptete der Angreifer, er sei bereit, das Geld zurückzugeben, nicht weil er befürchtet wurde gefunden zu werden, sondern weil er nicht wollte, dass seine Handlungen die betroffenen Projekte schädigen. Die On-Chain-Nachricht lautete: “Meine Rückzahlung erfolgt nicht, weil ihr mich aufspüren könnt, sondern weil ich euer Projekt nicht ruinieren möchte.”

Der Angriff fand am 30. Juli statt und führte zur Entnahme von mehr als 61 Millionen US-Dollar an Kryptowährungen aus den Curve-Pools. Diese umfassten unter anderem 13,6 Millionen US-Dollar in alETH-ETH von Alchemix, 11,4 Millionen US-Dollar in pETH-ETH von JPEGd und 1,6 Millionen US-Dollar in sETH-ETH von Metronome. Der Hacker konzentrierte sich auf Stablecoin-Pools, indem er Schwachstellen in älteren Versionen der Vyper-Programmiersprache durch Reentrancy-Angriffe ausnutzte.

Die Ausnutzung enthüllte Sicherheitslücken in verschiedenen DeFi-Projekten und führte in der vergangenen Woche zu Bemühungen, gestohlene Gelder im gesamten Ökosystem zurückzuholen.