Ein Sybil-Farming-Angriff auf WUSD.fi und GLOVE entzog Uniswap-V3-Liquiditätspools auf Ethereum rund 200.000 $. Kein Audit deckte den Fehler im Belohnungsmechanismus auf.
Jemand hat die Mathematik vor dem Protokoll durchschaut. Am 25. Mai entkam ein einzelner Angreifer mit rund 200.000 $ aus zwei Uniswap-V3-Pools, die mit dem WUSD.fi– und dem GLOVE-Protokoll auf Ethereum verbunden sind. Nicht genau ein Fehler im Vertragscode. Eher ein Fall eines Belohnungsmechanismus, der nie fragte, wen er belohnt.
Der Blockchain-Sicherheitsforscher exvulsec meldete den Vorfall auf X und legte die vollständige On-Chain-Spur dar. Der Angreifer nutzte einen Flash-Kredit, durchlief frische Wallets und warf geerntete GLOVE-Token in die Liquiditätspools, bevor jemand es bemerkte.
Der Mechanismus, den niemand auf Herz und Nieren prüfte
Im Vertrag von WUSD.fi befindet sich eine Funktion namens WUSD._englove. Laut exvulsec auf X konnte jede frische Wallet, die mindestens 100 WUSD wrapped und dabei weniger als 2 GLOVE hielt, Glove.mintCreditless aufrufen und bis zu 2 GLOVE-Token erhalten. Keine Identitätsprüfung. Keine Ratenbegrenzung. Nichts.
Der Angreifer setzte EIP-7702-Helferverträge ein, zog einen Morpho-USDT-Flash-Kredit und führte dann wiederholte Wrap- und Unwrap-Zyklen über frische Wallet-Adressen durch. Jede neue Adresse qualifizierte sich erneut. GLOVE prägte weiter.
Geerntete GLOVE-Token gingen direkt in Uniswap V3. Der GLO-USDC-Pool verlor bei beobachtbaren Abflüssen 11.702 USDC. Der GLO-USDT-Pool büßte 8.079 USDT ein. Beide Beträge zum Zeitpunkt der Berichterstattung via Etherscan bestätigt.
Was die Community bemerkte
SecureAI auf X brachte es auf den Punkt: Der Exploit lag nicht am Vertrag selbst. Es war das Design des Belohnungsmechanismus. Audits neigen dazu, sich die Logik des Codes anzusehen. Sie testen selten wirtschaftliche Anreizpfade so intensiv, wie es ein Angreifer tut.
Der chinesischsprachige Krypto-Account aegixe_cn auf X nannte es einen weiteren Missbrauch von Anreizen und warnte Nutzer davor, die Mechanismen eines Protokolls zu verstehen, bevor sie Geld hineinstecken. Diese Art von Erinnerung trifft anders, wenn bereits 200.000 $ aus dem Pool verschwunden sind. DeFi-Exploits haben sich in diesem Jahr gehäuft, wobei allein im Mai mehrere Vorfälle auf der Liquiditätsebene auf Ethereum zu verzeichnen waren.
Keine Orakelmanipulation. Kein Reentrancy. Nur eine Prägefktion, die Token an jeden ausgab, der mit einer frischen Adresse auftauchte. Der Angriff lief so lange weiter, wie neue Adressen sich qualifizierten. Und das taten sie – Teil eines Musters, das DeFi im Jahr 2026 fast 770 Millionen $ gekostet hat. Laut den Einreichungen.
Schreibe einen Kommentar