# Value DeFi verliert 6 Mio. US-Dollar durch „Flash-Loan-Exploit“

Das DeFi-Projekt Value DeFi ist Opfer eines sogenannten „Flash-Loan-Exploits“ geworden, durch den ein Schaden von knapp 6 Mio. US-Dollar entstanden ist.

Dabei hat der betreffende Angreifer zwei „Flash-Loans“ von anderen DeFi-Projekten verwendet, um über diese die Kursdifferenzen bei Value DeFi zum eigenen Vorteil zu nutzen. Er halt also eine „Lücke im System“ gefunden und diese ausgeschlachtet bzw. „exploitet“.

Zur Erklärung: Flash-Loans sind Krypto-Kredite, die genehmigt werden, ohne dass der Kreditnehmer ein entsprechendes Pfand hinterlegen muss. Dies ist möglich, weil die jeweiligen Kredite wortwörtlich „blitzschnell“ (Engl.: Flash) wieder zurückgezahlt werden, denn sie müssen noch innerhalb der gleichen Blockchain-Transaktion beglichen werden.

Um 10:45 Uhr (EST) hatte sich ein Krypto-Nutzer am Freitag einen solchen Flash-Loan in Höhe von 80.000 ETH (mehr als 36 Mio. US-Dollar) aus dem Projekt Aave auszahlen lassen. Aave-Entwickler Emilio Frangella bemerkte diesen ungewöhnlichen Vorgang und wies dementsprechend auf Twitter darauf hin:

80.000 eth flashloan on @AaveAave https://t.co/ngnHIoNKpi

— Emilio Frangella (@The3D_) November 14, 2020

Emiliano Bonassi, ein selbsternannter Whitehat-Hacker und Mitgründer von DeFi Italy, meldete anschließend, dass der Angreifer auch beim DeFi-Projekt Uniswap einen Flash-Loan in Form des Stablecoins DAI abgehoben hatte, der wiederum einem Gegenwert von 116 Mio. US-Dollar entsprach.

Wie Bonassi des Weiteren feststellte, hat der Angreifer die von Aave geliehenen ETH in Stablecoin-Gelder umgetauscht, dann einen Teil der von Uniswap erhaltenenen DAI in den Multi-Stablecoin Vault von Value DeFi eingezahlt und anschließend mehrere Wechselvorgänge zwischen den Stablecoins USDT, USDC und DAI durchgeführt, um die Unterschiede im Wechselkurs innerhalb von Value DeFi zu „exploiten“.

This is the complex exploit I’ve ever seen. It used 2 FLASHLOANS, one with @AaveAave (80k ETH) and one using flashswap with @UniswapProtocol (116M DAI).

In the image the steps! pic.twitter.com/nTm2SEgsur

— Emiliano Bonassi | emiliano.eth (@emilianobonassi) November 14, 2020

Im Interview mit Cointelegraph erklärt Bonassi, dass die Attacke vom Konzept her ähnlich war, wie der jüngste Angriff auf das DeFi-Projekt Harvest Finance, allerdings sei das Vorgehen gegen Value DeFi der komplexeste Exploit, den er bisher gesehen habe. Zudem wäre es „das erste Mal“ gewesen, dass ein Angreifer zwei Flash-Loans gleichzeitig genutzt hat.

Wenig später räumte Value DeFi den Angriff im firmeneigenen Discord-Server ein:

„Die momentanen Vorgänge im MultiStables Vault sind uns bekannt. Bitte gebt uns Zeit, damit wir es genau prüfen können. Alle anderen Vaults und Pools laufen ganz normal.“

Kurz nachdem der Exploit vorüber war, schickte der Angreifer eine Ethereum-Transaktion an die Adresse von Value DeFi hinterher, mit der er die Betreiber des Projekts verhöhnte. So fragte er sarkastisch:

„Wisst ihr schon, was Flash-Loans sind?“

Der Angreifer zahlte lediglich 0,31 US-Dollar in ETH mit seiner Transaktion, was ein weiterer Beleg dafür ist, dass es ihm mit der Nachricht lediglich um Hohn und Spott ging.

Um 12:12 Uhr (EST) meldete das DeFi-Projekt dann auf Twitter, dass es eine genaue Aufklärung zu dem Angriff veröffentlichen wird. Den Schaden für die Nutzer beziffert Value DeFi auf 6 Mio. US-Dollar:

The MultiStables vault was the subject of a complex attack that resulted in a net loss of $6M. https://t.co/dnFRa5yPBJ
We are currently working on a postmortem and are exploring ways to mitigate the impact on our users.

— Value DeFi Protocol (@value_defi) November 14, 2020

Seit dem Exploit hat der Kurs der zugehörigen Kryptowährung $VALUE um 25 % verloren, wodurch dieser von 2,73 US-Dollar auf nur noch 2,01 US-Dollar gefallen ist.

Der Angriff auf Value DeFi ist das jüngste Kapitel in einer schwierigen Woche für den Bereich der Dezentralisierten Finanzdienstleistungen (DeFi). So wurde auch das DeFi-Projekt Akropolis vor einigen Tagen attackiert. Stani Kulechov vom DeFi-Projekt Aave meint derweil, dass der Exploit von Value DeFi aufzeigt, dass es viele Angriffspunkte bei DeFi-Projekten gibt, was deren Betrieb umso schwieriger macht:

 

„Es wird immer schwieriger, ein widerstandsfähiges DeFi-Projekt zu bauen.“