# „Alle Gelder in Gefahr“: Exploit bei Steadefi

Die DeFi-App Steadefi wurde am 7. August gehackt und mindestens 334.000 US-Dollar wurden gestohlen. Das Entwicklerteam der App sagte in einem Social-Media-Post, durch den Angriff seien derzeit „alle Gelder in Gefahr“. Der Gesamtwert (TVL) der App ist laut Daten von DefiLlama durch den Angriff stark gesunken.

Das Steadefi-Team hat eine Nachricht auf X (ehemals Twitter) veröffentlicht, in der es heißt: „HINWEIS: Bei Steadefi gab es einen Exploit und alle Gelder sind derzeit in Gefahr“. Das Team bestätigte außerdem, dass eine On-Chain-Nachricht an die Adresse 0x9cf71F2ff126B9743319B60d2D873F0E508810dc auf Ethereum gesendet wurde, um mit dem Angreifer zu verhandeln. Blockchain-Daten zeigen, dass es kurz nach dem Angriff eine Reihe von großen Zuflüssen an diese Adresse auf der Avalanche-Chain gegeben hat.

Dabei wurden 130.429 USD Coin (USDC), 3,39 Bitcoin (BTC), 15 Wrapped Ether (WETH) und 6184 Avalanche (AVAX) an diese Adresse geschickt. Außer den WETH wurden alle anderen Token sofort gegen WETH getauscht. Der mutmaßliche Angreifer brachte dann 184 WETH über die Synapse Bridge auf ein anderes Netzwerk.

Die Adresse hat offenbar ähnliche Transaktionen im Arbitrum-Netzwerk durchgeführt.

Daten auf der Ethereum-Blockchain zeigen, dass das Entwicklerteam eine Nachricht an den Angreifer geschickt hat, in der angeboten wird, dass er 10 Prozent des gestohlenen Geldes behalten darf.
 

Nachdem das Steadefi-Team den Angriff bestätigt hatte, veröffentlichte es eine weitere Nachricht über X, in der es erläuterte, wie es zu dem Angriff kommen konnte. Der Angreifer stahl den privaten Schlüssel für die Deployer-Wallet des Teams und verschaffte sich so Zugang, um ownerOnly-Funktionen auszuführen. Der Angreifer führte dann „verschiedene ownerOnly-Aktionen durch. Er erlaubte etwa, dass jede Wallet alles Geld aus den Tresoren ausleihen kann“.

Alles Geld, das ausgeliehen werden konnte, wurde vom Angreifer genommen. Sicherheiten, die in Tresoren gehalten und nicht verliehen wurden, wurden jedoch nicht entnommen, da die App keine ownerOnly-Funktion enthält, mit der man Einlagen entnehmen kann. Daher können Nutzer, die in die „Strategy“-Tresore eingezahlt haben, zumindest einen Teil ihrer Gelder noch abheben.

Der Angreifer hat auch die Farming-Contracts mittels einer ownerOnly-Funktion angehalten. Daher können Nutzer, die svTokens oder ibTokens in Farmen eingezahlt haben, diese nicht abheben, und ihr Geld sitzt Contracts der App fest. Laut dem Post haben die meisten Inhaber dieser Token in die Farmen eingezahlt und können ihr Geld nicht abheben.

Exploits sind ein wachsendes Problem im DeFi-Bereich. Am 8. August sagte das in Estland ansässige Krypto-Zahlungsunternehmen CoinsPaid, dass Angreifer 37 Millionen US-Dollar durch gefälschte Bewerbungsgespräche gestohlen haben. Am 4. August wurde das Curve-Protokoll um 61 Millionen US-Dollar bestohlen. Der Angreifer hat allerdings einen Teil des Geldes zurückgegeben.