Die dezentralisierte Börse Cetus, aktiv im Sui-Netzwerk, wurde wie wir schrieben letzte Woche von einem der größten DeFi-Exploits der letzten Jahre getroffen.
Durch eine Schwachstelle im Code des automatischen Market Makers wurden nicht weniger als 223 Millionen Dollar erbeutet. Das Sicherheitsunternehmen Dedaub veröffentlichte einen ausführlichen Bericht, in dem das technische Versagen und die Folgen detailliert erklärt werden.
Overflow-Bug lässt den Code entgleisen
Der Fehler lag im Automated Market Maker (AMM) von Cetus. Ein AMM ist ein Mechanismus, der sicherstellt, dass Menschen auf dezentralen Börsen immer Krypto kaufen oder verkaufen können, ohne dass dafür direkt eine andere Person benötigt wird. Dies geschieht mit Hilfe von Liquiditätspools. Wenn jemand Vermögenswerte mit den Pools tauschen möchte, berechnet der AMM, wie viele Tokens der Händler zurückbekommen muss.
Laut Dedaub lag das Problem in der Logik von Cetus’ AMM, wo ein „Overflow“-Fehler in den mathematischen Berechnungen nicht korrekt behandelt wurde. Anstatt extreme Werte abzulehnen, wurden diese abgeschnitten, was zu falschen Ausgaben führte. Ein Angreifer konnte dadurch mit nur einem Token eine riesige Position erlangen, mit der anschließend echte Vermögenswerte aus den Pools geplündert wurden. Es war also kein Hack, sondern eine clevere Ausnutzung eines bestehenden Fehlers im Code.
Auditwarnungen wurden ignoriert
Das Schmerzhafte ist, dass dieser Fehler hätte vermieden werden können. Im Jahr 2023 lief Cetus auf dem Aptos-Netzwerk. Damals hatte die Sicherheitsfirma Ottersec während eines Audits im Aptos-Netzwerk bereits vor der Schwachstelle gewarnt. Bei dem Wechsel zum Sui-Netzwerk blieb der Bug jedoch bestehen. Trotz Versuchen, die Sicherheit zu verbessern, scheiterte das Cetus-Team daran, die Overflow-Bedingungen angemessen zu kontrollieren, so Dedaub: „Komplexe Mathematik innerhalb von decentralized finance erfordert präzise Bewertung und Tests.“
Millionenverlust und Kurssturz
Der Angriff fand am frühen Morgen des 22. Mai statt und führte zu Panikverkäufen im Sui-Netzwerk. SUI selbst fiel zunächst wenig, steht aber mittlerweile fast 15% niedriger als vor dem Angriff. Der CETUS-Token selbst erlitt einen härteren Schlag. Der Token fiel um fast 50%. Kleinere Memecoins, die auf Cetus gehandelt wurden, fielen sogar um mehr als 90%.
Die Sui Foundation konnte etwa 163 Millionen Dollar der gestohlenen Mittel einfrieren, aber der Schaden bleibt erheblich. Cetus bot dem Hacker zunächst die Möglichkeit, einen großen Teil der Vermögenswerte im Austausch für Immunität zurückzugeben. Der Hacker ging darauf nicht ein, und Cetus hat mittlerweile eine Belohnung von 5 Millionen Dollar ausgesetzt für Informationen, die zur Identifizierung der Täter führen. Das Ereignis unterstreicht einmal mehr die Bedeutung sorgfältiger Audits und rigoroser Sicherheitskontrollen innerhalb des DeFi-Sektors.
