Het DeFi-platform Echo Protocol is slachtoffer geworden van een grootschalige hack waarbij een aanvaller ongeveer 1.000 ongeautoriseerde eBTC-tokens heeft aangemaakt. De totale schade wordt geschat op ongeveer 76,7 miljoen dollar.

Beveiligingsbedrijven PeckShield en Lookonchain meldden dat de hacker synthetische Bitcoin (eBTC) wist te creëren op het protocol, dat draait op de Ethereum-compatibele blockchain Monad.

Echo Protocol bevestigde het beveiligingsincident kort daarna en liet weten dat alle cross-chain transacties voorlopig zijn opgeschort zolang het onderzoek loopt.

Hacker verplaatst miljoenen via DeFi-platformen

Volgens blockchain-analyses probeerde de aanvaller direct een deel van de buit wit te wassen via verschillende DeFi-platformen. Zo werd ongeveer 45 eBTC, ter waarde van zo’n 3,45 miljoen dollar, gestort op Curvance, een protocol voor crypto-leningen en liquiditeitsbeheer.

Daar wist de hacker vervolgens 11,3 wrapped Bitcoin te lenen, goed voor ongeveer 868.000 dollar. De tokens werden daarna omgezet naar Ethereum en ingewisseld voor ETH.

Vervolgens werd 384 ETH, met een waarde van ongeveer 822.000 dollar, verstuurd naar Tornado Cash. Deze cryptomixer wordt vaker gebruikt om transacties moeilijker traceerbaar te maken.

Volgens gegevens van DeBank beschikt de aanvaller momenteel nog altijd over ongeveer 955 eBTC, met een geschatte waarde van ruim 73 miljoen dollar.

Beveiligingslek zat niet in smart contracts

Volgens blockchainontwikkelaar Marioo werd de hack niet veroorzaakt door een fout in de smart contracts van Echo Protocol. In plaats daarvan zou een privésleutel van een beheerder zijn gecompromitteerd.

Daardoor kreeg de aanvaller toegang tot belangrijke beheerdersrechten binnen het protocol. Marioo stelde dat het eBTC-contract technisch correct functioneerde. De kwetsbaarheid zat volgens hem vooral in de operationele beveiliging van het platform.

Zo ontbrak onder meer een multisig-systeem voor extra goedkeuringen, evenals limieten op het aantal tokens dat kon worden aangemaakt. Ook ontbraken tijdsvertragingen voor beheerdersacties en aanvullende controles op nieuw onderpand. Hierdoor kon de hacker grote hoeveelheden eBTC creëren zonder dat automatische beveiligingen ingrepen.

Curvance en Monad reageren

Curvance bevestigde dat de eigen smart contracts niet zijn getroffen door de hack. Wel werd de betreffende eBTC-markt tijdelijk stilgelegd voor verder onderzoek.

Ook Monad reageerde op het incident. Medeoprichter Keone Hon benadrukte via X dat het Monad-netwerk zelf niet is getroffen. “Het Monad-netwerk functioneert normaal en is niet geraakt door het incident”, aldus Hon.

Echo Protocol heeft aangekondigd later meer informatie te delen via de officiële communicatiekanalen.

Twaalf DeFi-platformen deze maand al gehackt

De hack van Echo Protocol is het nieuwste incident in een reeks aanvallen op DeFi-platformen. Alleen deze maand werden al minstens twaalf protocollen slachtoffer van hacks of exploits.

Onder meer THORChain, Verus Protocol, Transit Finance en Ekubo kregen recent te maken met beveiligingsproblemen.

De beveiliging van decentralized finance blijft een groot aandachtspunt binnen de cryptosector. In het afgelopen jaar gingen honderden miljoenen dollars verloren door hacks, terwijl meer dan twintig protocollen hun activiteiten tijdelijk of permanent moesten stopzetten.

Eerder dit jaar verloor Drift Protocol ongeveer 285 miljoen dollar door een exploit. Kelp DAO werd in april getroffen door een hack van ongeveer 292 miljoen dollar. Ook Verus Protocol werd deze week gehackt via een vervalst cross-chain bericht, waarbij minstens 11,6 miljoen dollar aan crypto werd buitgemaakt. Transit Finance verloor vorige week nog bijna 1,9 miljoen dollar door een kwetsbaarheid in een verouderd smart contract.