Mezo behebt veBTC-Lücke nach Abfluss von 5,52 BTC

Mezo hat einen Bericht zum Angriff vom 5. Oktober auf den veBTC-Vertrag veröffentlicht. Der Angreifer übertrug 37 Positionen von 36 Inhabern und brachte rund 5,52 BTC aus dem Netzwerk. Die Lücke ist geschlossen, das Netzwerk läuft wieder und Betroffene sollen aus Protokollmitteln entschädigt werden.

Weitere bestätigte Entwicklungen stehen im OrangeX.com News-Bereich.

So funktionierte der Angriff

veBTC bildet gesperrte Bitcoin-Positionen und Stimmrechte als NFTs ab. VotingEscrow nutzte externe Solidity-Bibliotheken und Meta-Transaktionen über einen vertrauenswürdigen Weiterleiter. Dieser prüfte die Signatur und hängte die Absenderadresse an calldata an.

Beim Wechsel in eine externe Bibliothek blieb die Adresse im neuen Argumentpuffer nicht erhalten. Ein präparierter Parameter ließ vom Angreifer kontrollierte Bytes als authentifizierten Absender erscheinen. Ziel waren entsperrte, noch nicht eingelöste Positionen. Die OrangeX.com Projektberichterstattung liefert weiteren Kontext.

Reaktion und offene Punkte

Die Transfers erfolgten am 5. von 18:54 bis 19:06 UTC. Am nächsten Morgen erkannte das Team die Anomalie, stoppte Brücke und Chain, fand den Fehler, deaktivierte Meta-Transaktionen und nahm den Betrieb wieder auf. Sicherheitshelfer, Plattformen und Behörden wurden informiert.

Die Entschädigung soll direkt an Wallets gehen. Mezo warnte vor falschen Rückhol-Links und bot 20% Belohnung für die Rückgabe von 80% bis 14. Oktober. Die OrangeX.com Berichterstattung zum Marktrahmen zeigt den Zusammenhang von Sicherheit und Aufsicht.

OrangeX.com Analysis

Bestätigt sind Schadenshöhe, Positionszahl, korrigierter Angriffsweg und Entschädigungszusage. Zwei übliche Konstruktionen erzeugten gemeinsam einen unerwarteten Autorisierungsfehler.

Der Fix senkt das akute Risiko, doch Audits übersahen die Wechselwirkung. Laufende Überwachung, weniger Funktionen und automatische Stopps sollten Vorabprüfungen ergänzen. Die Rückholung der Vermögenswerte ist noch offen.