Im Oktober 2022 verlor Mango Markets 116 Millionen US-Dollar durch die Manipulation von Oracle-Preisen.
Im Mai 2022 verlor Venus 11,2 Millionen US-Dollar aufgrund einer verzögerten Oracle-Preisaktualisierung.
Im vergangenen Juli verlor Rho Markets 7,6 Millionen US-Dollar, nachdem ein Contract-Upgrade zu fehlerhaften Oracle-Preisen führte.
Die Wahrheit ist: Diese Verluste hätten vollständig vermieden werden können. Wie? Lesen Sie weiter.
Oracles: Die Lebensader von DeFi-Protokollen
Oracles, die Daten in Blockchains einspeisen, sind grundlegend für DeFi-Anwendungsfälle wie Lending und Derivate. Dennoch haben viele große Projekte – darunter Compound, Cream Finance, Mango Markets, Venus und Rho Markets – erhebliche Verluste durch Oracle-bezogene Angriffe erlitten.
Stellen Sie sich vor, Sie zahlen ein ETH auf einer Lending-Plattform ein, in der Erwartung, einen Vermögenswert zu leihen, und stellen fest, dass Ihre Sicherheit mit über 63.000 Dollar bewertet wird! Man könnte meinen, man hätte den Jackpot geknackt. Für Projektteams ist dies jedoch ein Albtraumszenario. Genau das ist im vergangenen Jahr bei Rho Markets passiert.
Preisanomalien: Der übersehene fatale Fehler
Am 19. Juli 2024 aktualisierte Rho Markets seine Smart Contracts, um einen neuen Asset-Markt zu starten. Eine Fehlkonfiguration im Deployment-Skript führte jedoch dazu, dass die BTC- und ETH-Preise des Oracles vertauscht wurden. Infolgedessen wurde der ETH-Preis fälschlicherweise um das 20-fache überhöht, wodurch Nutzer massive Beträge zu minimalen Kosten leihen konnten – was letztlich zu einem Verlust von 7,6 Millionen US-Dollar führte.
Wichtiger Zeitablauf (UTC):
- 1️⃣ 08:58:29 (Block 7580110) — Der Oracle lieferte den normalen ETH-Preis.
-
2️⃣ 08:58:32 (Block 7580111) — Der Oracle-Contract wurde aktualisiert. Transaktions-Hash: https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34 (Block 7580112) — Nur einen Block später schoss der vom Oracle zurückgegebene ETH-Preis von 3.384 $ auf 63.653 $ hoch (der BTC-Preis wurde fälschlicherweise auf ETH angewendet), das 17-fache des tatsächlichen Werts!
-
4️⃣ 08:59:49 — Nur eine Minute später wurde der erste Angriff gestartet: Ein MEV-Bot nutzte 84 ETH als Sicherheit, um 942 wstETH zu leihen. Durch Wiederholung dieses Vorgangs entzog der Bot 7,6 Millionen US-Dollar. Transaktions-Hash des ersten Angriffs: https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 — Die anfälligen Komponenten des Protokolls wurden deaktiviert, aber da war es bereits zu spät.
Wenn Rho Markets die Oracle-Monitore von Phalcon eingesetzt hätte, wie wäre der Verlauf gewesen?
👉 👉 Phalcon hätte den anormalen Preis sofort erkannt und eine automatisierte Notfallreaktion ausgelöst – wodurch jede Angriffsmöglichkeit komplett unterbunden worden wäre.
Phalcon unterstützt die Überwachung von Oracle-Preisanomalien:
-
Preisabweichung: Überwacht das Ausmaß von Oracle-Preisänderungen und markiert plötzliche Anstiege oder Rückgänge. (z. B. Alarm, wenn sich der Preis zwischen zwei Messungen um mehr als 200 % ändert)
-
Preisbereich: Legt zulässige Preisgrenzen fest. (z. B. Alarm, wenn der Preis den Bereich von 2.380 $–4.380 $ verlässt)
-
Preisabgleich: Vergleicht den Preis des Basis-Oracles mit einem Referenz-Oracle. (z. B. Alarm, wenn sich die Preise um mehr als 30 % unterscheiden)
Normalerweise prüft das Projektteam kritische Konfigurationen vor Contract-Upgrades oder Parameteränderungen sorgfältig. In diesem Vorfall führte jedoch ein manuelles Versehen dazu, dass die Überprüfung der Oracle-Preise ausgelassen wurde. Zwar wurden die verlorenen Vermögenswerte in diesem Fall vom MEV-Bot zurückgegeben, doch solches "Glück" ist bei den meisten Angriffen selten.
Tatsächlich hätte die Einrichtung eines der oben genannten Monitore es dem System ermöglicht, anormale Oracle-Werte sofort zu erkennen und das Team über einen der sieben unterstützten Benachrichtigungskanäle zu alarmieren. Noch wichtiger ist, dass manuelles Eingreifen oft zu langsam ist – die Zeit zwischen einer Anomalie und einem Exploit kann extrem kurz sein (in diesem Fall nur eine Minute). Mit Phalcon werden Notfallmaßnahmen automatisch ausgelöst, sodass Angriffe schlichtweg keine Chance haben.
Auch Verzögerungen und Ausfälle können fatal sein
Im Mai 2022, als der Preis von $LUNA weiter einbrach, wurde Chainlinks integrierter Circuit Breaker ausgelöst, wodurch die Preisaktualisierungen für $LUNA bei 0,107 $ pausierten. Das Venus-Protokoll bemerkte dies nicht rechtzeitig und arbeitete weiterhin mit dem veralteten Preis. Vier Stunden später – als das Team reagierte – war der tatsächliche Preis bereits auf 0,01 $ gefallen. In dieser Zeit nutzten mehrere Adressen $LUNA als Sicherheit, um große Mengen an Vermögenswerten zu leihen, was für das Protokoll zu einem Verlust von etwa 11,2 Millionen US-Dollar führte.
Wenn Venus die Oracle-Monitore von Phalcon eingesetzt hätte, wie wäre der Verlauf gewesen?
👉 👉 Phalcon unterstützt die Überwachung von Preisaktualisierungsverzögerungen und Oracle-Zustandsprüfungen – und gewährleistet damit zeitnahe und zuverlässige Preisfeeds. Bei jeglichen Anomalien wäre das Team sofort alarmiert worden.
Viele Projekte verlassen sich auf ein einzelnes Oracle als Preisquelle und verfügen über keine Mechanismen, um sich gegen Preisanomalien abzusichern. Wenn etwas schiefgeht, profitieren Angreifer, Nutzer werden liquidiert, und der Ruf des Projekts leidet.
Phalcon kann sowohl benutzerdefinierte als auch Drittanbieter-Oracles (wie Chainlink und Pyth) überwachen und bietet damit Echtzeit-Gewissheit über Preisstabilität und -genauigkeit, wodurch Liquidations- und Preismanipulationsrisiken verhindert werden.
Was ist BlockSec Phalcon?
Phalcon vereint nahtlos Security Threat Prevention (Security APP) und Compliance Risk Management (Compliance APP) und bietet Nutzern eine integrierte Lösung für Sicherheit und Compliance gleichermaßen.
Security APP
🔗 https://blocksec.com/phalcon/security
Bietet umfassenden Schutz nach dem Launch, einschließlich:
- Echtzeit-Angriffsüberwachung
- Überwachung operativer, interaktionsbezogener, finanzieller und benutzerdefinierter Risiken
- Dynamischer Schutz für Safe{Wallet}
- Flexible Überwachung von Token-Preisen, -Mengen, Schlüsselvariablen, sensiblen Ereignissen und Funktionsaufrufen
- Automatisierte Notfallreaktion (unterstützt EOA und Multi-Sig-Wallets)
Compliance APP
🔗 https://blocksec.com/phalcon/compliance
Prüft Adressen und überwacht Transaktionen in Echtzeit, um VASPs dabei zu helfen, Risikoexposition und verdächtige Nutzeraktivitäten zu erkennen, um die AML/CFT-Compliance-Anforderungen zu erfüllen.
🔥 Jetzt ausprobieren
BlockSec Phalcon unterstützt derzeit über 30 große Blockchains, darunter Ethereum, BSC, Solana, Base, Tron, Arbitrum, Avalanche, Optimism, Manta, Merlin, Mantle, Sei, Bitlayer, Core, BoB, Story, Sonic, Gnosis und Berachain.
Buchen Sie jetzt eine Produktdemo! Klicken Sie hier oder besuchen Sie den untenstehenden Link. In nur 10 Sekunden loslegen – die ersten 30 Anmeldungen erhalten eine kostenlose Testversion!
🔗 Demo buchen: https://blocksec.com/book-demo
