Nicht fungible Token (NFT) im Wert von mehreren Millionen Dollar aus Flaggschiff-Sammlungen wie dem Bored Ape Yacht Club (BAYC), dem Mutant Ape Yacht Club (MAYC) oder Cool Cats wurden aufgrund einer Schwachstelle bei alten NFT Trader Smart Contracts gestohlen. Was ist passiert, dass ein solcher Angriff möglich war?
Mehrere Millionen NFT-Dollar weggeflogen, die meisten davon aus dem BAYC
Am gestrigen Samstag, den 16. Dezember, erlebten viele Besitzer von nicht fungiblen Token (NFT) aus Blue-Chip-Sammlungen die unglückliche Überraschung, dass ihre digitalen Kunstwerke aus ihren Brieftaschen verschwanden.
Insgesamt wurden 36 NFTs aus der Flaggschiff-Kollektion Bored Ape Yacht Club (BAYC) und 18 NFTs aus der abgeleiteten Kollektion Mutant Ape Yacht Club sowie einige NFTs aus den Kollektionen World of Women, VeeFriends, Cool Cats oder Squiggle von dem Hacker entwendet. Darüber hinaus wurden auch Personen, die Apecoins (APE), die mit dem BAYC verbundenen Token, besaßen, diese entwendet.
Was hatten die unglücklichen Opfer dieses massiven Angriffs gemeinsam? Sie hatten alle mindestens einen risikoreichen Smart Contract der Plattform NFT Trader autorisiert, die selbst im Laufe des Tages eine Erklärung veröffentlichte, in der sie die Sicherheitslücke bestätigte:
We’ve suffered an attack on old smart contracts, please remove the delegation using https://t.co/zEMgkS96nP to the following addresses:
-0xc310e760778ecbca4c65b6c559874757a4c4ece0
-0x13d8faF4A690f5AE52E2D2C52938d1167057B9af– NFT Trader (@NftTrader) December 16, 2023
“ Wir haben einen Angriff auf alte Smart Contracts erlitten, bitte löschen Sie die Delegation mithilfe von Revoke.cash unter den folgenden Adressen […]. „
Danach übermittelte der Angreifer eine etwas verwirrende On-Chain-Nachricht, in der er mitteilte, dass „die Affen [gemeint sind die BAYC, Anm. d. Red.] sicher sind und irgendwann zu ihrem Nutzer zurückkehren werden“. Seiner Meinung nach wollte er zunächst eine von einem anderen Hacker initiierte Schwachstelle ausnutzen, bevor er merkte, dass er viele wertvolle NFTs absaugen konnte.
“ Am Anfang kam ich wie üblich hierher, um Restmüll zu sammeln. Zuerst dachte ich, dass ich nur TOKEN bekommen könnte, aber schließlich fand ich heraus, dass ich auch NFT bekommen konnte. Ich weiß nicht viel über NFTs, aber ich habe mir die Preise für NFTs angesehen und denke, dass man mit Exploits eine Menge Gewinn machen kann. […] Wenn Sie den NFT des Affen zurückhaben wollen, müssen Sie mir ein Kopfgeld zahlen, das ist es, was ich verdiene. 1 BAYC = 30 ETH 1 MAYC = 6 ETH. Sie müssen mir 10 % ETH für meine Arbeit zahlen, wenn Sie einen BAYC haben […] Sie müssen mir 3 ETH zahlen, wenn es ein BAYC ist, und 3,6 ETH, wenn es ein MAYC ist“.
Urheber des Diebstahls von NFT
NFTs endlich an ihre Besitzer zurückgegeben
Zunächst scheint der Angreifer beschlossen zu haben, einige NFTs auf eigene Faust zurückzugeben, manchmal sogar mit einer bestimmten Summe in Ether (ETH), wie ein Besitzer eines gestohlenen BAYC auf X berichtete, nachdem er es zurückerhalten hatte:
Und jetzt hat mir der Hacker gerade 31 eth geschickt? Was in der Welt los ist. Is this real life?
– Ricky Sanders (@RSandersDFS) December 16, 2023
“ Und jetzt hat mir der Hacker gerade 31 ETH geschickt? Was ist hier los? Ist das die Realität? „
Heute Morgen teilte Boring Security, eine Gruppe von Freiwilligen, die daran arbeitet, bewährte Sicherheitspraktiken für NFT-Inhaber weiterzugeben, und die manchmal On-Chain-Ermittlungen durchführt, mit, dass die 36 BAYC und 18 MAYC gegen eine Prämie von 10 % des Floor Price der Sammlungen an sie zurückgegeben worden seien und dass die Beute an die Opfer zurückgegeben werde.
Alle 36 BAYC und 18 MAYC, die die Ausbeuterin besaß, sind nun in unserem Besitz.
Wir schickten ihr 10% des Bodenpreises der Sammlungen als Bounty. We will be working with the affected victims getting them back to them free of charge.
Direkt nach dieser Kaffeepause …
Victims please…
– Boring Security (@BoringSecDAO) December 17, 2023
Der Hacker seinerseits überwies die ihm zugeflossenen Gelder an den Kryptowährungsmixer Tornado Cash, um die Spuren on-chain zu verwischen.
Screenshot, der einen Teil der vom Hacker getätigten Transaktionen zeigt
Wir möchten außerdem betonen, dass dank der Bemühungen von 0xfoobar, 0xf4d3 und 0xqit einige NFTs schnell wiederhergestellt werden konnten und diese es geschafft haben, dass die Sicherheitslücke durch die Bereitstellung eines On-Chain-Patches nach einer Vereinbarung mit NFT Trader behoben wurde.
Eine Geschichte, die also mit einer positiven Note enden wird, obwohl sie die Gefahren aufzeigt, die mit den Berechtigungen einhergehen, die einigen Smart Contracts gewährt werden können, die auf den ersten Blick sicher sind.
