Top 3 DeFi-Vorfälle im März
Resolv Protocol: ~80 Mio. $
Am 22. März 2026 erlitt Resolv einen Sicherheitsvorfall, der zu einem Verlust von 80 Mio. $* führte.
Die Hauptursache waren kompromittierte privilegierte Infrastrukturschlüssel. Mit dem gestohlenen Schlüssel missbrauchte der Angreifer einen privilegierten Swap-Finalisierungsprozess und prägte über 80 Mio. USR ohne entsprechende Sicherheiten über drei Exploit-Transaktionen. Obwohl die Hauptursache einfach war, deckte dieser Vorfall einen breiteren Mangel an Sicherheitskontrollen auf, sowohl On-Chain als auch Off-Chain. Das Projekt setzte keine strenge Validierung während der Mint-Genehmigung durch und verfügte auch nicht über Überwachungsstrategien, um den Einbruch rechtzeitig zu erkennen und darauf zu reagieren.
Bemerkenswert ist, dass sich die Auswirkungen weit über die 80 Mio. $ hinaus erstreckten, die an nicht autorisierten USR-Minting beteiligt waren. Da Resolv-Assets als Sicherheit für mehrere Kreditprotokolle weit verbreitet waren, löste der Depeg eine breitere Kontamination aus. Wie von Chaos Labs berichtet, verfügten On-Chain-Kuratoren, die automatisierte ertragsorientierte Allokationen nutzten, nicht über Echtzeit-Risikokontrollen und leiteten weiterhin frisches Kapital in bereits beeinträchtigte Märkte. Was als lokalisierter Exploit begann, eskalierte schnell zu einem kanalübergreifenden Kontaminationsereignis, das Kreditprotokolle mit Millionen an notleidenden Schulden zurückließ.
Die Schätzung des Verlusts basiert auf dem angepeilten Wert von USR von 1 $.
BitcoinReserveOffering: ~2,7 Mio. $
Am 5. März 2026 wurde der BitcoinReserveOffering-Vertrag auf Ethereum für rund 2,7 Mio. $ ausgenutzt.
Die Hauptursache war eine fehlerhafte Geschäftslogik in der mint()-Funktion, die die Mint-Logik beim Verarbeiten einer vollständigen ERC-3525 SFT-Einzahlung zweimal ausführte. Da ERC-3525 von ERC-721 erbt, lösen sichere Übertragungen einen onERC721Received()-Callback aus. Innerhalb des Callbacks wurde der BRO-Token-Betrag berechnet und an den Aufrufer geprägt. Nachdem der Callback jedoch zurückgekehrt war, nahm die äußere mint()-Funktion ihre Arbeit wieder auf und führte eine zweite Prägung durch, wodurch die pro Einzahlung ausgegebenen BRO verdoppelt wurden. Dies ermöglichte es dem Angreifer, seinen BRO-Saldo durch wiederholte Burn-and-Mint-Zyklen in einer Angriffstransaktion aufzublähen.
Um ähnliche Probleme zu vermeiden, sollten Protokolle sicherstellen, dass die Vermögensbuchhaltung genau einmal pro Einzahlungsoperation erfolgt und Zustandsaktualisierungen vor jedem externen Aufruf, der einen Callback auslösen kann, bestätigt werden. Zusätzlich sollten Invariante Prüfungen hinzugefügt werden, um sicherzustellen, dass geprägte Beträge niemals den zugrunde liegenden eingezahlten Wert überschreiten.
Venus Protocol: ~2,15 Mio. $
Am 15. März 2026 erlitt der THE (Thena)-Markt von Venus auf der BNB Chain einen Spendensupport-Angriff in Kombination mit Marktmanipulation. Dieser Vorfall führte zu rund 2,15 Mio. $ an notleidenden Krediten für das Protokoll, während der Ausnutzer einen Nettoverlust von rund 4,7 Mio. $ On-Chain erlitt.
Venus ist ein Compound V2 Fork Kreditprotokoll. Der betroffene Markt verwendet THE als zugrundelegenden Vermögenswert, der eine geringe On-Chain-Liquidität aufweist. Der Spendensupport-Angriff wurde ermöglicht, da der Marktvertrag totalCash aus dem rohen Saldo des Vertrags ableitet. Dies ermöglichte es dem Angreifer, THE direkt an den Markt zu spenden, was totalCash erhöhte und den exchangeRate aufblähte. Mit dieser aufgeblähten Sicherheit lieh sich der Angreifer liquide Vermögenswerte, tauschte sie gegen mehr THE und erhöhte den Marktpreis von THE. Diese erhaltenen THE-Tokens wurden weiter an den Markt gespendet, wodurch die Auswirkungen des Angriffs kontinuierlich eskalierten.
Dieser Vorfall dient als Warnung für Kreditprotokolle in zweierlei Hinsicht: Buchhaltungslogik und Risikokonfiguration. Protokolle sollten manipulationsresistente Buchhaltungsmechanismen implementieren, die Vermögenswerte genau widerspiegeln und nicht durch Spendenangriffe verzerrt werden können. Zusätzlich müssen kritische Risikoparameter wie Obergrenzen für Einlagen, Obergrenzen für Kredite und Beleihungsquoten (Loan-to-Value) sorgfältig konfiguriert werden, um die Protokollrisiken zu begrenzen.
Für eine detaillierte Analyse lesen Sie unseren Deep-Dive-Beitrag:
https://blocksec.com/blog/venus-thena-donation-attack
Die obigen Informationen basieren auf Daten mit Stand vom 31. März 2026, 00:00 UTC.
Dies schließt den Sicherheitsbericht für Januar ab. Für tiefere Analysen von Blockchain-Sicherheitsvorfällen und Web3-Sicherheitstrends können Sie unsere Ressourcen erkunden.
Sie können mehr in unserer Sicherheitsvorfall-Bibliothek erfahren.
Bleiben Sie informiert und bleiben Sie sicher!
