Drie DeFi-protocollen op één dag gehackt: ruim 35 miljoen dollar buitgemaakt

Drie grote DeFi-protocollen zijn binnen 24 uur gehackt. AFX Trade, BSquaredNetwork en Verus verloren daarbij samen meer dan 35 miljoen dollar aan crypto.

Vooral de aanval op AFX Trade springt eruit, maar ook de andere incidenten laten opnieuw zien hoe kwetsbaar de systemen zijn die crypto tussen verschillende blockchains verplaatsen. Opvallend is dat Verus voor de tweede keer in korte tijd slachtoffer werd van een vrijwel identieke hack.

Hack kost AFX Trade ruim 24 miljoen dollar

Blockchainbeveiliger PeckShieldAlert sloeg als eerste alarm over de aanval op AFX Trade, een protocol op het Arbitrum-netwerk. Volgens het beveiligingsbedrijf maakten hackers ongeveer 24,15 miljoen dollar aan USDC buit.

De gestolen crypto werd vervolgens van Arbitrum naar Ethereum verplaatst en omgezet in 12.467,5 Ethereum (ETH). Door de fondsen om te zetten en te verplaatsen, maakten de aanvallers het moeilijker om de geldstroom te volgen.

Steven Goldfeder van Arbitrum benadrukte dat het getroffen systeem niet door Arbitrum werd beheerd. Volgens hem lag de verantwoordelijkheid voor de beveiliging volledig bij AFX Trade.

Ook BSquaredNetwork en Verus getroffen

Nog geen uur na de eerste hack meldde PeckShieldAlert een tweede incident. Dit keer was BSquaredNetwork het doelwit.

Volgens het beveiligingsbedrijf maakten hackers 8,59 miljoen B2-tokens buit op de BNB Chain, met een geschatte waarde van 3,86 miljoen dollar. De tokens werden vrijwel direct ingewisseld voor ruim 5.000 Wrapped BNB (WBNB). Vervolgens werd de opbrengst omgezet in 1.128 ETH en via NEAR Intents verplaatst.

De aanval bleef niet zonder gevolgen voor beleggers. De B2-token verloor kort na het incident meer dan vijftien procent van zijn waarde.

Ook Verus werd binnen dezelfde 24 uur gehackt. Volgens blockchainanalyseplatform Lookonchain maakten aanvallers ongeveer 7,55 miljoen dollar buit via een kwetsbaarheid in het systeem dat crypto tussen verschillende blockchains verplaatst.

Dat incident is extra opvallend. Ongeveer twee maanden geleden verloor Verus al ruim 11,5 miljoen dollar door een vergelijkbare aanval. Volgens beveiligingsbedrijf Blockaid vertonen beide hacks sterke overeenkomsten. Dezelfde infrastructuur, hetzelfde aanvalspad en vermoedelijk dezelfde kwetsbaarheid lijken opnieuw te zijn misbruikt. Dat wijst erop dat de eerder ontdekte beveiligingsproblemen mogelijk nooit volledig zijn verholpen.

Beveiliging AFX Trade krijgt stevige kritiek

Na de aanval op AFX Trade kwam ook de beveiligingsaanpak van het protocol onder vuur te liggen. On chain-beveiligingsexpert Taylor Monahan vroeg zich publiekelijk af waarom er überhaupt ruim 24 miljoen dollar op het getroffen systeem stond opgeslagen.

Na het bestuderen van een recent gepubliceerde audit concludeerde zij dat er meerdere zorgwekkende tekortkomingen waren. Volgens Monahan werd het systeem nauwelijks uitgebreid getest voordat het live ging. Daarnaast zouden verschillende door auditors gemelde problemen wel zijn erkend, maar nooit zijn opgelost. Ook kregen de auditors slechts toegang tot een deel van de broncode, waardoor een volledige beoordeling onmogelijk was.

Monahan reageerde cynisch op de situatie:

Eerlijk gezegd lijken ze een super chill team. Ah ja, het is waarschijnlijk prima, we wachten gewoon af en sturen het dan handmatig als dat nodig is.

Volgens haar wijzen de technische tekortkomingen op een bredere cultuur waarin beveiliging onvoldoende prioriteit kreeg. Dat vergroot volgens Monahan het risico op grootschalige hacks, zoals de drie aanvallen die de DeFi-sector binnen één dag troffen.