Aanvaller weet bijna €170 miljoen te stelen van Beanstalk Stablecoin-protocol

Beanstalk Farms is een op Ethereum (ETH) gebaseerde stablecoin-protocol. Een hacker wist circa €168 miljoen van het protocol te stelen.

Beanstalk-markt stort in

Het blockchain beveiligingsbedrijf Peckshield Inc. merkte de aanval in eerste instantie op. Volgens hun wist de aanvaller ten minste $80 (€74) miljoen te stelen. Uiteindelijk bleken de verliezen voor het protocol echter aanzienlijk hoger te liggen dan dit geschatte bedrag.

Als gevolg van de aanval, stortte de Beanstalk-markt in. Uit cijfers van Coingecko blijkt dat de markt momenteel ongeveer 84% gedaald is. De stablecoin, die nu iets minder stable lijkt, wordt hierdoor momenteel verhandeld voor ongeveer $0.16 per stuk.

1/ The @BeanstalkFarms was exploited in a flurry of txs (https://t.co/PMsdP5dnJG and https://t.co/wyHe3ARZgU),
leading to the gain of $80+M for the hacker (The protocol loss may be larger), including 24,830 ETH and 36M BEAN.

— PeckShield Inc. (@peckshield) April 17, 2022

Wat ging er eigenlijk mis?

Naar verluidt kon de cyberaanvaller zoveel stelen door in eerste instantie een flitslening af te sluiten op het leenplatform Aave. Hierdoor kon de hacker een grote hoeveelheid aan Stalk verzamelen, de native token van Beanstalk. Doordat de hacker hierdoor in één keer zoveel tokens in zijn bezit had, kon hij een kwaadaardig bestuursvoorstel doorgeven dat alle protocolfondsen in een privé Ethereum-wallet afvoerde. Dit adres was uiteraard die van de aanvaller. De projectleiders van het platform meldde het volgende:

“Beanstalk heeft geen gebruik gemaakt van een flitsleningbestendige maatregel om het percentage van Stalk te bepalen dat vóór het BIP had gestemd. Dit was de fout waardoor de hacker Beanstalk kon misbruiken.”

Niet bekend of geld terugkomt

In eerste instantie waren de smart contracts van Beanstalk gecontroleerd door het blockchain-beveiligingsbedrijf Omnicia. Deze audit vond echter plaats voordat de kwetsbaarheid met flitsleningen geïntroduceerd werden.

Niet al het gestolen geld komt in slechte handen terecht, want volgens Peckshield werd circa $250.000 gedoneerd aan een Oekraïense noodwallet. Het is momenteel nog niet bekend of de hacker van plan is om het gestolen geld, of een (groot) deel hiervan, terug te betalen.