- Die Entwickler nutzten den Token cBTC, um Preise zu manipulieren.
- Alle Coins der Kokomo-Nutzer sind danach aus Liquiditäts-Pools verschwunden.
- Die Website von Kokomo und alle sozialen Medien wurden gelöscht.
Die Entwickler hinter dem DeFi-Protokoll Kokomo Finance haben Token-Preise in einer ausgeklügelten Betrugsmasche manipuliert. Auf diese Weise konnten sie 4 Millionen US-Dollar an Nutzereinlagen stehlen, berichtet CoinDesk.
Diese Art von Betrug wird auch als "Exit Scam" bezeichnet. Sie ist ähnlich einem Rug-Pull-Betrug, wobei die Entwickler oder Hintermänner einer Krypto-Plattform ein legitim aussehendes Projekt für interessierte Parteien lancieren, aber am Ende die gesamte Liquidität abziehen.
In der Regel löschen die Betrüger ihre gesamte Web-Präsenz, sobald sie eine beträchtliche Menge an Geld auf die Plattform gezogen haben, sowohl offline als auch online. Das ist auch in diesem Fall passiert.
Attacke wurde mit BTC-Derivaten durchgeführt
Die erst kürzlich gestartete DeFi-Plattform Kokomo Finance ermöglichte es Nutzern, solche Kryptowährungen wie Ethereum (ETH), Wrapped Bitcoin (wBTC), Tether (USDT), DAI und USD Coin (USDC) zu leihen, in Liquiditäts-Pools einzuzahlen und damit zu handeln. Die Plattform war im Optimism-Netzwerk aktiv und gewann schnell an Popularität.
Laut dem Sicherheitsunternehmen CertiK haben die Kokomo-Entwickler den Token cBTC für den Angriff genutzt. Ähnlich wie wBTC ist es ein Token, der den Wert von Bitcoin auf der Ethereum-Blockchain abbilden soll. Die Betrüger waren aber in der Lage, dessen Preis zu manipulieren.
Anschließend nutzten sie die Hauptadresse des protokolleigenen Tokens KOKO, um einen bösartigen Smart Contract auszuführen. Sie legten eine andere Geschwindigkeit für Belohnungen fest, unterbrachen die Kreditaufnahme und setzten einen anderen Smart Contract ein, um mit der Plattform zu interagieren.
cBTC ist ein umhülltes BTC-Derivat, das auf dem Ethereum Mainnet läuft. In diesem Fall wurde es ausgestellt, um Kokomo vorzugaukeln, dass es über Liquidität verfügt, was aber nicht der Fall war.
Die Cyberkriminellen nutzten eine zweite Entwickleradresse, um einen großen Transfer eines anderen BTC-Derivats auf Ethereum, Sonne wBTC, zu genehmigen. Mit den Token tauschten sie dann die gesamte von den Nutzern an Kokomo gelieferte Liquidität aus, die mehr als 4 Millionen US-Dollar betrug.
Kokomo löste sich in Luft auf
Die Website von Kokomo und alle seine sozialen Medien wurden kurz nach dem Angriff gelöscht. Der KOKO-Token hat fast seinen gesamten Wert verloren.
Dieser Exploit ist der jüngste in einer Reihe von zunehmenden Sicherheitslücken und Angriffen auf DeFi-Plattformen. Euler Finance hat Anfang des Monats 200 Millionen US-Dollar durch einen Hacker-Angriff verloren - allerdings konnte der Großteil der Coins inzwischen wiedererlangt werden.
Mitwirkende
