Hundred Finance slachtoffer geworden van hack en verliest $7 miljoen

Het multichain-leningprotocol Hundred Finance heeft te maken gehad met een aanzienlijke beveiligingsinbreuk op de Ethereum layer-2 blockchain Optimism, waardoor het protocol ongeveer $7,4 miljoen aan verliezen heeft geleden, zo meldde het protocol op Twitter.

Het bleek een flitslening-aanval te zijn

Hundred Finance heeft aangekondigd dat het slachtoffer was geworden van een exploit en dat het samenwerkte met de hacker en verschillende beveiligingsteams om het incident aan te pakken. Het protocol heeft niet bekendgemaakt hoe de aanval heeft plaatsgevonden, maar blockchain-beveiligingsbedrijf CertiK heeft verklaard dat het een flitslening-aanval was.

Bij een flitsleningaanval leent een hacker een groot bedrag via een soort niet-gecollateraliseerde lening van een uitleenprotocol. Vervolgens gebruikt de hacker dit geld om de prijs van een activum te manipuleren op een gedecentraliseerd financieel (DeFi) platform.

Wisselkoers werd gemanipuleerd

Volgens Certik heeft de aanvaller bij Hundred de wisselkoers tussen ERC-20-tokens en hTOKENS gemanipuleerd, waardoor er meer tokens konden worden opgenomen dan er oorspronkelijk waren gestort. Het blockchain-beveiligingsbedrijf vervolgde:

De wisselkoersformule werd gemanipuleerd door middel van contante waarde. Cash is het bedrag aan WBTC dat het hBTC-contract heeft. De aanvaller manipuleerde het door grote hoeveelheden WBTC aan het hToken-contract te doneren, zodat de wisselkoers omhoog gaat.

Certik meldt dat er grote leningen zijn afgesloten tegen de gemanipuleerde wisselkoers en dat Hundred Finance bezig was met het opstellen van een autopsierapport over het incident.

Jaar geleden was er nog een andere exploit op het platform

Deze aanval komt bijna 12 maanden nadat Hundred eerder blootgesteld werd aan een andere exploit op de Gnosis Chain. In die exploit heeft de hacker alle liquiditeit van het protocol leeggemaakt door middel van een herintredingsaanval en nam $ 6 miljoen over. In dezelfde exploit stal de hacker ook geld van het Agave-protocol.

Sinds vorig jaar hebben verschillende aanvallers flitsleningen gebruikt om zich te richten op DeFi-protocollen. Recente gevallen zijn onder meer aanvallen op Euler Finance ($ 196 miljoen) en Mango Markets ($ 46 miljoen). Hoewel de hacker van Euler het grootste deel van het geld heeft teruggegeven, is de dief van Mango gearresteerd door de Amerikaanse autoriteiten.