Beanstalk Farms verliert 182 Millionen Dollar bei einem DeFi-Governance-Hack

Beanstalk Farms, ein kreditbasiertes Stablecoin-Protokoll, bestätigte, dass es seine gesamten Sicherheiten in Höhe von 182 Millionen US-Dollar durch eine Sicherheitsverletzung verloren hat, die durch zwei finstere Governance-Vorschläge in Verbindung mit einem Flash-Darlehensangriff ausgeführt wurde.

Das Stablecoin-Protokoll sah, wie sein Governance-Vorschlagssystem ausgenutzt wurde, das es den böswilligen Akteuren ermöglichte, all das Geld an Sicherheiten zu extrahieren. Dieses Problem mit dem Protokoll wurde durch eine verdächtige Regierungsführung ausgelöst Vorschläge BIP-18 und BIP-19, die am 16. April von dem Kriminellen herausgegeben wurden, der um das Protokoll bat, der Ukraine einige Gelder zu spenden.

Aber diese Vorschläge hatten einen böswilligen Reiter, der mit ihnen verbunden war, der schließlich die Sinkhole von Geldern aus dem Protokoll auf der Grundlage von Smart Contract Auditors errichtete BlockSec.

Die letzte Sicherheitsverletzung des Protokolls für dezentralisierte Finanzen (DeFi) ereignete sich um 12:24 Uhr UTC. Damals nahm der Hacker Flash-Darlehen in Höhe von 1 Milliarde US-Dollar aus dem AAVE (AAVE)-Protokoll auf, die auf USD Coin (USDC), DAI (DAI) und Tether (USDT) Stablecoins lauteten.

Sie nutzten die Mittel, um angemessene Vermögenswerte zu erhalten, um 67 % der Führung des Protokolls zu übernehmen und genehmigen ihre Vorschläge.

Wir unternehmen alle Anstrengungen, um zu versuchen, voranzukommen. Als dezentralisiertes Projekt bitten wir die DeFi-Community und Experten für Kettenanalysen, uns dabei zu helfen, die Fähigkeit des Exploiters einzuschränken, Gelder über CEXs abzuheben. Wenn der Verwerter offen für eine Diskussion ist, sind wir es auch. https://t.co/fwceVz6hbi

– Bohnenstangenfarmen (@BeanstalkFarms) 17. April 2022

Ein Flash-Darlehen muss innerhalb eines Blocks ausgeführt und zurückgezahlt werden und erfordert normalerweise mehrere Smart Contracts gleichzeitig, um abgeschlossen zu werden. Flash-Darlehen wurden zuvor verwendet, um Hacks und Sicherheitslücken anderer Protokolle auszuführen. Beanstalk Farms wird als eine dezentrale algorithmische Stablecoin-Ausgabeplattform beschrieben, die von Ethereum betrieben wird.

In diesem Zusammenhang war der Fall technisch gesehen kein Hack, da die Smart Contracts und Governance-Prozesse wie vorgesehen perfekt funktionierten. Die Probleme und Mängel in ihrem Design wurden ausgenutzt, wie Projektsprecher „Publius“ bei einem Treffen am 18. April einräumte, als er sagte:

„Es ist bedauerlich, dass das gleiche Governance-Verfahren, das Beanstalk in die Lage versetzte, erfolgreich zu sein, letztendlich sein Verderben war.“

Das Blockchain-Sicherheitsanalyseunternehmen PeckShield benachrichtigte das Beanstalk-Team Twitter um 12:41 Uhr UTC am 17. April, dass es ein Problem mit der ominösen Aussage geben könnte:

„Hallo, @beanstalkFarms, vielleicht möchten Sie einen Blick darauf werfen.“

Unsere erste Analyse zeigt die @BeanstalkFarms Der Verlust beträgt ~182 Millionen Dollar! Hier ist die Aufschlüsselung der gestohlenen Vermögenswerte: 79,238,241 BEAN3CRV-f, 1,637,956 BEANLUSD-f, 36,084,584 BEAN und 0.54 UNI-V2_WETH_BEAN. https://t.co/8OzPn8F8ot

- PeckShield Inc. (@peckshield) 17. April 2022

An diesem Punkt war es zu spät. Der Kriminelle hatte bereits rund 80 Millionen US-Dollar in Beans (BEAN) und Ether (ETH) gestohlen, während das gesamte Protokoll seinen gesperrten Gesamtwert (TVL) von 182 Millionen US-Dollar verlor, basierend auf den von ihm erworbenen Daten PeckShield. BEAN ist jetzt um etwa 80 % gefallen und wird auf Basis von 0.19 $ gehandelt CoinGecko erreichte aber einen Tiefststand von 0.06 $, als der Hacker seine Token abwarf.

Wie der Beanstalk Farms Exploiter den Plan ausführte

Der Exploiter tauschte BEAN gegen ETH und schickte die Coins später an Tornado Cash, um ihre digitalen Spuren zu verwischen. Aber sie schickten auch 250,000 USDC an die Ukraine Crypto Donation Wallet. Insbesondere veröffentlichte Publius am 11. April um 49:17 Uhr UTC, dass das Projekt verloren gehen könnte, weil es keine Risikokapitalunterstützung gibt, um diese Verluste auszugleichen, und erklärte: „Wir sind am Arsch.“

Beim offiziellen Team- und Community-Meeting auf dem Beanstalk Discord-Kanal, das am 18. April stattfand, doxxte Publius die drei Leute, die das Projekt entwickelt hatten. Dazu gehören Brendan Sanderson, Benjamin Weintraub und Michael Montoya, die alle zusammen die University of Chicago besuchten und Beanstalk Farms gründeten.

Montoya erklärte, dass das Team die Dienste des konsultiert habe Bundesamt für Untersuchungen (FBI) Crime Center und würde:

„Kooperieren Sie uneingeschränkt mit ihnen, um die Täter aufzuspüren und Gelder zurückzufordern.“

Die Smart Contracts des Protokolls wurden ausgesetzt und alle Governance-Privilegien wurden vom Team widerrufen. Das Team antwortete nicht, als es gefragt wurde, ob das FBI ihrer Meinung nach das Recht hat, ihnen zu helfen, aber Publius glaubt, dass es sich um einen Diebstahl handelt, der untersucht werden muss.

In diesem Zusammenhang hat die Beanstalk-Community das Team in seinen schwierigen Zeiten trotz massiver persönlicher Verluste stark unterstützt. Nichtsdestotrotz ist Community-Mitglied „Astrabean“ der Meinung, dass das Team mehr Verantwortung für diesen Angriff übernehmen muss, anstatt das Geschehene als ehrlichen Fehler zu akzeptieren, von dem sich das Projekt erholen und weitermachen muss. Er hat das gesagt:

„Ich hätte gewollt, dass Sie als Führungskräfte die Verantwortung für das übernehmen, was passiert ist.“

Auf der anderen Seite wiederholte Community-Mitglied „CharlieP“ diese Bedenken hinsichtlich des Vertrauens in das Protokoll. Er fragte das Team von Beanstalk Farms:

„Willst du damit sagen, dass du keine Verantwortung für dieses Unterfangen trägst? Wenn das der Fall ist, wem können wir dann vertrauen, dass so etwas nicht noch einmal passiert?“

Publius antwortete, dass das Projekt einfach ein Open-Source-Code-Experiment sei, kein Geschäft. Er fügte hinzu, dass weder er noch das Beanstalk-Team für das, was passiert ist, zur Rechenschaft gezogen werden sollten. Er erklärte:

„Wenn Sie uns auffordern, Verantwortung zu übernehmen, ist das wirklich unangemessen.“