GaslessReservoirEnabler gehackt, 23.000 Dollar erbeutet

Eine Sicherheitslücke im Vertrag GaslessReservoirEnabler hat es Angreifern ermöglicht, mehr als 23.000 Dollar in Kryptowährungen von fast tausend Nutzern zu stehlen. Der Täter nutzte bestehende Token-Genehmigungen für WETH und ZED aus, indem er eine Lücke bei der Überprüfung der Eigentümerschaft ausnutzte.

Das Wichtigste in Kürze:

• Eine Sicherheitslücke ermöglichte es einem Hacker, WETH- und ZED-Token von 997 Wallets abzuziehen
• Die gestohlenen Mittel wurden zusammengeführt und über eine Bridge nach Polygon transferiert
• Der anfällige Vertrag prüfte Moduladressen nicht korrekt, wodurch beliebige Aufrufer Token-Verteilungen ausführen konnten

Wie der Angriff ablief

Das Problem lag in der Funktion erc20WithTransfersAndExecute von GaslessReservoirEnabler. Der Vertrag prüfte zwar, welche Moduladressen verwendet werden durften, verknüpfte die eigentlichen ERC20-Transferanweisungen jedoch nicht mit einem berechtigten Eigentümer. Dies öffnete Angreifern die Tür.

Ein Angreifer konnte so bestehende Token-Genehmigungen nutzen, die Nutzer dem Vertrag bereits erteilt hatten. Durch das Umleiten dieser Berechtigungen konnten WETH- und ZED-Guthaben direkt von den Opfern an den Hacker überwiesen werden, ohne dass neues Vertrauen geschaffen werden musste.

Schaden und weitere Schritte

Insgesamt waren Token von 997 Adressen betroffen. Die Angreifer-Wallet, bekannt unter der Adresse 0x46f54c1a86575679fc3d29666c1717e9786279aa, führte die gesamte Beute zusammen und schickte sie über eine Bridge nach Polygon. Das Sicherheitsunternehmen SlowMist, das den Angriff entdeckte und untersuchte, meldet, dass der Fall inzwischen in der Community bekannt ist.