Compass Investments

– In diesem Artikel: Infini Cryptocurrency Neobank wurde von ehemaligen Ingenieuren gehackt, die angeheuert wurden, um Smart Contracts zu erstellen;

Mitbegründer übernahmen die Verantwortung dafür, dass der Zugang nicht gesichert war;

Infini-Gelder wurden in DAI und dann ETH umgetauscht, die auf mehrere Adressen aufgeteilt wurden, ähnlich wie beim jüngsten Bybit-Hack.

Hacker zogen über 49 Millionen USDC aus der Infini Stable Coin Bank ab. Der Exploit könnte mit dem Insider-Zugang zu den Smart Contracts zusammenhängen, auf die der Entwickler nach der Übertragung an Infini weiterhin Zugriff hatte. Der Administrator-Zugang zu den Smart Contracts ermöglichte es dem Exploit, über 49 Millionen USDC aus dem Stablecoin-Protokoll von Infini zu transferieren. Infini selbst hat seine Reaktion auf den Exploit oder die Art des Hacks nicht erklärt; Infini ist ein Kryptowährungskartenausgeber und akzeptiert Sicherheiten in Stablecoins, um tägliche Zahlungen zu leisten.

Die Gelder wurden Berichten zufolge aus dem MEV Capital Usual USDC-Tresor von Morpho entnommen; der Exploit wurde in Umsatzprodukten installiert. Morpho gab keine Warnung aus und meldete die verlorenen Gelder nicht.

Der Exploit wurde nach einer scheinbar routinemäßigen Wal-Transaktion entdeckt, als eine neue Wallet alle in einem Vertrag gesperrten Gelder abzog. Die Wallet des Angreifers ist Infini bekannt, das Berichten zufolge den Exploit in Auftrag gegeben hat, um den Smart Contract zu erstellen. Der Angreifer wusste nichts von dem Projekt und hatte Admin-Rechte, die es ihm ermöglichten, den Anruf zu tätigen, der die gesamte Liquidität abzog.

ALERT Heute wurde @0xinfini von einem 49-Millionen-Dollar-USDC-Exploit betroffen, weil der Angreifer seine Admin-Rechte missbrauchte. Betroffene

@ Die unmittelbare Aktion des Angreifers bestand darin, Geld zu tauschen, um 17.696 ETH von USDC zu kaufen. Der Angreifer handelte über DAI, das über ein dezentrales Protokoll zugänglich ist. Die Gelder wurden über Uniswap, Sky Protocol und 0x Protocol verschoben. Indem sie USDC so schnell wie möglich umtauschten, konnten die Hacker die Gelder in ETH umwandeln; ETH wird nie eingefroren, sondern nur von den Börsen auf eine schwarze Liste gesetzt.

Der Angreifer teilte dann den Erlös in kleine Beträge und mehrere Adressen auf. Der Forscher nutzte die neue Wallet, um kleine Beträge von ETH als Benzin zu senden, um die Transaktion abzuschließen. Die anfängliche Finanzierung der Wallet stammte von Tornado Cash, was dazu beitrug, die Präsenz des Hackers in der Kette etwas zu verschleiern;

ETH wurde dann durch eine Reihe von Überweisungen bewegt. Zum Zeitpunkt der Erstellung dieses Artikels sind die Gelder noch nicht transferiert worden.

Haben die Hacker aus der Demokratischen Volksrepublik Korea wieder zugeschlagen?

Die Identität des Vertragserstellers bleibt unbekannt, da Infini nicht bekannt gegeben hat, wer mit der Erstellung des Smart Contracts beauftragt war.

Der Infini-Hack folgt auf den größten Angriff des Jahres 2025, als die Bybit-Börse bis zu 1,5 Milliarden Dollar in Ethereum (ETH) verlor. Die Bybit-Hacker verwendeten eine ähnliche Technik, um ETH aufzuspalten, bevor sie es mischten. Der Blockchain-Forscher ZachXBT hat wiederholt darauf hingewiesen, dass diese Technik eine der charakteristischen Methoden der Lazarus-Hackergruppe ist. Bisher hat Infini die Wallets der Angreifer nicht mit anderen bekannten Lazarus-Adressen in Verbindung gebracht.

Dieses Mal wurden keine privaten Schlüssel bekannt und Infini hat keine Abhebungen oder Einzahlungen gestoppt.

Infini-Gründer @ christianeth übernahm die volle Verantwortung für den Exploit und behauptete eine Nachlässigkeit bei der Übertragung der Autorität vom Entwickler zum Projekt. Der Gründer versicherte den Nutzern, dass sich das Protokoll noch in der Entwicklung befindet und dass er sie im schlimmsten Fall voll entschädigen wird.

Ich muss mir keine großen Sorgen machen, denn mein privater Schlüssel wurde nicht weitergegeben. Ich habe bei der Übergabe meiner Anmeldedaten fahrlässig gehandelt. Letztendlich bin ich dafür verantwortlich. Das ist ein rotes Tuch… Ich habe keine Liquiditätsprobleme. Die Entschädigung kann in vollem Umfang gezahlt werden, und die Mittel sind rückverfolgbar.