More Markets hat einen Exploit auf Flow EVM erlitten, bei dem etwa 15,5 Millionen WFLOW aus dem Kreditprotokoll abgezogen wurden. Das Blockchain-Sicherheitsunternehmen Blockaid schätzt die Auswirkungen auf etwa 9,3 Millionen US-Dollar.
Zusammenfassung
- More Markets wurde auf Flow EVM ausgenutzt, wobei 15,5 Millionen WFLOW aus seiner mFlowWFLOW-Kreditreserve abgezogen wurden.
- Blockaid schätzte die Auswirkungen auf etwa 9,3 Millionen US-Dollar und brachte den Angriff mit einem Anker-gebundenen LST und dem E-Mode-Mechanismus von More Markets in Verbindung.
- Das Sicherheitsunternehmen identifizierte eine Gruppe von Transaktionen, die nach dem Exploit zum Verschieben von Geldern verwendet wurden, während die endgültigen Verluste und der Verbleib der Vermögenswerte noch untersucht werden.
- Blockaid hat nicht gesagt, dass Ankr oder die Flow-Blockchain selbst kompromittiert wurden; seine erste Offenlegung identifizierte More Markets als das angegriffene Protokoll.
Blockaid sagte in einem X-Beitrag vom 31. August, dass ein Angreifer More Markets, entwickelt von More Labs, ausgenutzt hat, indem er einen Anker-gebundenen Liquid Staking Token zusammen mit dem E-Mode-Mechanismus des Protokolls verwendete. Das Sicherheitsunternehmen identifizierte die mFlowWFLOW-Kreditreserve als Quelle der abgezogenen Token und veröffentlichte Transaktionen, die mit dem Angriff in Verbindung stehen.
Die erste Einschätzung des Unternehmens beziffert den aus der Reserve entfernten Betrag auf 15,5 Millionen WFLOW. Blockaid beschrieb die Zahl von etwa 9,3 Millionen US-Dollar als erkannte Auswirkung, was bedeutet, dass der endgültige Verlust noch nicht bestätigt ist, während Ermittler die Transaktionen verfolgen und feststellen, wohin die Vermögenswerte letztendlich transferiert wurden.
Blockaid veröffentlichte eine Exploit-Transaktion, die Vertragsbereitstellungstransaktion und ein Cluster von Transfers nach dem Exploit. Das Unternehmen sagte, das Cluster enthalte Transaktionen, die verwendet wurden, um Gelder nach der Entleerung der Reserve zu verschieben, hatte aber zum Zeitpunkt der Erstellung dieses Artikels keine endgültige Abrechnung der Bestände des Angreifers vorgelegt.
More-Markets-Exploit zielte auf seine WFLOW-Kreditreserve
More Markets ist ein dezentrales, nicht verwahrendes Kreditprotokoll, das auf Flow EVM bereitgestellt und mit der Aave-V3-Architektur aufgebaut wurde. Sein öffentliches Repository listet neun unterstützte Märkte auf und ermöglicht es Benutzern, Vermögenswerte für Zinsen bereitzustellen, gegen Sicherheiten zu variablen Zinssätzen zu leihen und Positionen zu liquidieren, die unter die erforderlichen Sicherheitenschwellen fallen.
WFLOW und ankrFLOW gehören zu den vom Protokoll unterstützten Vermögenswerten. More Markets listet WFLOW mit einem Beleihungswert von 81,5 % und einer Liquidationsschwelle von 83 %, während ankrFLOW einen Beleihungswert von 78,5 % und eine Liquidationsschwelle von 81 % hat.
Die Dokumentation des Protokolls identifiziert ankrFLOW als Liquid Staking Token (LST), während WFLOW als nativer verpackter Vermögenswert innerhalb des Kreditmarktes dient.
Blockaid brachte den Angriff speziell mit einem Ankr-gebundenen LST und E-Mode in Verbindung, aber seine erste Offenlegung lieferte keine detaillierte technische Aufschlüsselung, die die Sequenz zur Entleerung der WFLOW-Reserve erklärt. Aus der Offenlegung bleibt unklar, ob das zugrunde liegende Problem in der Implementierung von More Markets, der Art und Weise, wie der Ankr-Vermögenswert innerhalb des Kreditprotokolls behandelt wurde, seinen Preisannahmen oder einer Interaktion zwischen den beiden Komponenten entstand.
Die Dokumentation von Ankr beschreibt ankrFLOW als einen zinstragenden Liquid Staking Token, der ausgegeben wird, wenn Benutzer FLOW über seinen Staking-Dienst einsetzen. Sein Wert relativ zu FLOW steigt, wenn Staking-Belohnungen akkumuliert werden, während die Anzahl der vom Benutzer gehaltenen ankrFLOW-Token unverändert bleibt.
Ankr listet separate Smart Contracts auf Flow EVM für den ankrFLOW-Token, den Staking-Pool, die Staking-Konfiguration und den Ratio-Feed. Der Ratio-Feed enthält das Ratio-Zertifikat des Tokens, so seine Dokumentation.
Die Flow-Liquid-Staking-Dokumentation des Unternehmens besagt, dass Benutzer ankrFLOW in DeFi-Anwendungen, einschließlich Kreditmärkten, einsetzen können, um gegen den Wert zu leihen, den ihr eingesetztes FLOW repräsentiert. Ankr gibt an, dass die Flow-Liquid-Staking-Verträge auf Cadence und EVM externen Audits durch Halborn unterzogen wurden.
Blockaid hat nicht gesagt, dass Ankr selbst bei dem Vorfall kompromittiert wurde. Seine Offenlegung identifizierte nur das gebundene LST und den E-Mode-Mechanismus von More Markets als Komponenten, die vom Angreifer verwendet wurden.
Flow EVM ist bisher von dem offengelegten Angriffsvektor getrennt geblieben
Der Vorfall vom 31. August zielte auf eine Anwendung, die auf Flow EVM läuft, basierend auf den von Blockaid veröffentlichten Informationen, ohne dass in der ersten Offenlegung Hinweise darauf zu finden waren, dass die Flow-Blockchain selbst kompromittiert wurde.
Flow EVM bietet eine Ethereum-kompatible Umgebung auf Flow, die es Anwendungen, die für die Ethereum Virtual Machine geschrieben wurden, ermöglicht, im Netzwerk zu operieren. More Markets betreibt seine Kreditverträge in dieser Umgebung.
Flow hat zuvor sowohl More Markets als auch Ankr als Anwendungen beworben, die Benutzern in seinem DeFi-Ökosystem zur Verfügung stehen. Sein Community-Rewards-Programm bot beispielsweise Belohnungen für Aktivitäten mit Kreditprotokollen wie More Markets und für das Staking von FLOW über das liquide Staking-Produkt von Ankr.
Die Unterscheidung zwischen dem More-Markets-Vorfall und einem Exploit auf Netzwerkebene ist besonders relevant, da Flow Ende 2025 einen separaten Sicherheitsverstoß erlitt.
Wie crypto.news bereits berichtete, nutzte ein Angriff am 27. Dezember eine Schwachstelle in Flows Cadence-Ausführungsschicht aus und ermöglichte es einem Angreifer, fungible Token zu duplizieren, bevor er einen Wert von etwa 3,9 Millionen Dollar abzog.
Die anschließende Autopsie der Flow Foundation sagte, dass der Angreifer mehr als 40 bösartige Smart Contracts in einer koordinierten Sequenz einsetzte. Ein Fehler in der Cadence-Laufzeitversion 1.8.8 erlaubte es, ein geschütztes Asset, das nicht hätte kopierbar sein dürfen, als Standard-Datenstruktur zu tarnen und zu duplizieren.
Mehr als 1 Milliarde gefälschte FLOW-Token wurden während dieses Vorfalls an zentralisierte Börsen gesendet. Flow sagte, dass 484,4 Millionen FLOW später von OKX, Gate.io und MEXC zurückgegeben und vernichtet wurden, während das Netzwerk 98,7 % des verbleibenden gefälschten Angebots isolierte.
Flow änderte zuvor seinen Wiederherstellungsplan nach dem 3,9-Millionen-Dollar-Exploit
Der Dezember-Angriff zwang die Flow-Validatoren, die Blockchain innerhalb von Stunden nach der ersten bösartigen Transaktion anzuhalten. Die Flow Foundation schlug zunächst einen vollständigen Chain-Rollback vor, der das Netzwerk auf einen Prüfpunkt vor dem Exploit zurückgesetzt hätte.
Der vorgeschlagene Flow-Chain-Rollback stieß auf Widerstand von Brückenbetreibern und anderen Ökosystemteilnehmern. Kritiker warnten, dass die Umkehrung bestätigter Transaktionen zu doppelten Guthaben für Benutzer führen könnte, die während des betroffenen Zeitraums Vermögenswerte über Brücken bewegt hatten, und Verluste für Benutzer verursachen könnte, die Vermögenswerte hineingebrückt hatten.
Flow gab daraufhin den globalen Rollback auf und übernahm einen isolierten Wiederherstellungsprozess, der darauf ausgelegt war, gefälschte Vermögenswerte zu identifizieren und zu vernichten, während die legitime Transaktionshistorie erhalten blieb.
Während der Wiederherstellung arbeiteten Entwickler daran, sowohl die Cadence- als auch die Flow-EVM-Funktionalität wiederherzustellen. Konten, die mit verdächtigen Aktivitäten in Verbindung standen, waren vorübergehenden Einschränkungen ausgesetzt, während externe Forensikfirmen halfen, betroffene Konten zu verifizieren, wobei Flow schätzte, dass mehr als 99,9 % der Konten nach Abschluss der Wiederherstellung wieder vollen Zugriff erlangen würden.
Die Folgen erstreckten sich später auf Südkorea, wo die Flow Foundation und Dapper Labs im März eine einstweilige Verfügung beantragten, um Upbit, Bithumb und Coinone daran zu hindern, den Handel mit FLOW einzustellen. Die Börsen hatten sich nach dem Sicherheitsvorfall im Dezember auf ein Delisting zubewegt, während Flow darauf bestand, dass die bestehenden Benutzerguthaben nicht kompromittiert worden seien.
Für den More-Markets-Angriff blieb die Offenlegung von Blockaid vom 31. August eine erste Einschätzung. Das Sicherheitsunternehmen sagte, dass weitere Details noch untersucht würden, nachdem es den Abfluss von 15,5 Millionen WFLOW und die anschließende Transaktionsgruppe identifiziert hatte, die verwendet wurde, um Gelder nach dem Exploit zu bewegen.
