Trotz 10 Audits in 2 Jahren wurde Euler Finance gehackt

Euler Finance, ein auf Ethereum basierendes Kreditprotokoll, erlitt einen 196-Millionen-Dollar-Angriff, obwohl es über zwei Jahre hinweg zehn separaten Audits unterzogen wurde, die es als risikoarm und ohne offene Probleme einstuften. Michael Bentley, CEO von Euler Labs, drückte seine Frustration über den Hacker aus und erklärte, er würde ihnen niemals vergeben, da er durch den Angriff wertvolle Zeit mit seinem neugeborenen Sohn verlor.

Sechs verschiedene Firmen, darunter Halborn, Solidified, ZK Labs, Certora, Sherlock und Omnisica, führten von Mai 2021 bis September 2022 intelligente Vertragsprüfungen bei Euler Finance durch. Halborn bewertete die Risikobewertung anhand der Wahrscheinlichkeit eines Sicherheitsvorfalls und seiner Auswirkungen könnte haben. Euler erhielt nur ein geringes Risiko, und die Prüfung ergab ein insgesamt zufriedenstellendes Ergebnis. Bei der Untersuchung und Analyse von 23 Smart Contracts durch Halborn über einen Zeitraum von einem Monat wurden nur zwei geringe Risiken und drei Informationsrisiken identifiziert. Euler erklärte, dass es Halbborns Berichterstattung überprüft habe und zu dem Schluss gekommen sei, dass die Risiken keine signifikanten Bedrohungen darstellten.

In ähnlicher Weise befasste sich Omnisica mit einigen falschen Paradigmen in Eulers Basis-Swapper-Implementierung und wie der Swap-Modus von der Codebasis gehandhabt wurde. Der Bericht stellte fest, dass diese Probleme von Euler ordnungsgemäß behandelt wurden und keine offenen Fragen mehr bestanden. Trotz der Audits war das Protokoll immer noch anfällig für Angriffe, was dazu führte, dass Bentley seine Frustration über die Situation zum Ausdruck brachte.

Am 16. März begann der Hacker, Gelder über einen Krypto-Mixer namens Tornado Cash zu bewegen, nur wenige Stunden nachdem Euler ein Kopfgeld von 1 Million Dollar für Informationen ausgesetzt hatte, die zur Verhaftung des Hackers führten. In einem kürzlich erschienenen Twitter-Thread dankte Bentley Sicherheitsexperten, die an Hinweisen für die Untersuchung arbeiten, und drückte seine Dankbarkeit für die Unterstützung der Community in diesen herausfordernden Zeiten aus. Er erklärte jedoch auch, dass er dem Angreifer, der ihn aufgrund des Angriffs gezwungen habe, Zeit mit seinem neugeborenen Sohn zu opfern, niemals vergeben würde.

Euler gab nur 24 Stunden vor dem Anbieten des Kopfgeldes eine Warnung heraus und erklärte, dass es eine starten würde, „die zu Ihrer Verhaftung und der Rückgabe aller Gelder führt“, wenn 90% der gestohlenen Gelder nicht innerhalb von 24 Stunden zurückgegeben würden. Trotz des Kopfgeldes bewegte der Hacker weiterhin Gelder über Tornado Cash und hinterließ dem Euler-Team einen erheblichen Verlust.