UwU Lend geconfronteerd met tweede hack van $3,7M: Premie uitgegeven

UwU Lend, een DeFi leenprotocol, is zwaar getroffen nadat een tweede hack ze $3,7 miljoen afhandig heeft gemaakt. Na een eerdere aanval van $19,3 miljoen heeft het protocol besloten een premie van $5 miljoen uit te geven aan de persoon die de identiteit van de hacker vrij weet te geven.

UwU Lend gehackt

UwU Lend is in de afgelopen drie dagen twee keer aangevallen, waarbij in totaal zo’n $23 miljoen is verloren. De tweede aanval vond donderdag plaats, terwijl het protocol bezig was met het terugbetalen van gebruikers na de eerst hack.

Op 10 juni werd UwU Lend zwaar getroffen door een geavanceerde aanval, waarbij $19,3 miljoen gestolen werd. De aanvallers gebruikten zogenaamde ‘flash loans’ om het protocol te misbruiken.

UwU Lend heeft hierna direct de activiteiten stopgezet om haar gebruikers te verzekeren dat de meeste activa veilig waren. Ook boden ze de hacker een ‘white hat premie’ van $4 miljoen aan voor de teruggave van het gesloten geld. De gestolen activa omvat onder andere Wrapped Ethereum, Wrapped Bitcoin, Curve DAO, Tether en Staked USDe.

De aanval

Blockchain beveiligingsbedrijf Beosin heeft op X (Twitter) onthuld hoe de hacker te werk ging:

Analysis of @UwU_Lend attack: UwU Lend attack is caused by price manipulation. The attacker first use flash loan to swap $USDe for other tokens, which led to a lower price of $USDe and $sUSDe . The attacker deposited some to UwU Lend and then lent more $sUSDe than expected.

— Beosin Alert (@BeosinAlert) · June 11, 2024

De aanvaller manipuleerde de prijs van de USDe om deze met ‘flash loans’ te ruilen voor andere tokens. Dit devalueerde USDe en sUSDE. Na de prijsmanipulatie deponeerde de hacker enkele tokens in UwU Lend en leende hij meer sUSDe dan verwacht, waardoor de prijs van USDe hoger werd. Op dezelfde manier stortte de aanvaller sUSDE naar UwU Lend om CRV te lenen.

Op X (Twitter) kondigde UwU Lend deze woensdag aan dat ze de kwetsbaarheid hadden geïdentificeerd en opgelost:

(1/5) The team has now identified the vulnerability, which was unique to the sUSDe market oracle and has now been 𝗿𝗲𝘀𝗼𝗹𝘃𝗲𝗱. All other markets have been re-reviewed by industry professionals and auditors with no issues or concerns found.

— UwU Lend (@UwU_Lend) · June 12, 2024

Het protocol werd hierdoor niet meer onderbroken en de markten werden langzaam maar zeker heropend. Echter, toen de situatie gefixt leek, werd deze donderdag een tweede aanval gerapporteerd. Deze keer ging het om $3,7 miljoen uit het protocol.

De gemeenschap reageerde erg bezorgd en trok de veiligheid van hun fondsen in twijfel. Op het moment heeft UwU Lend het protocol opnieuw gesloten om onderzoek te doen.

Tot op dit moment heeft UwU Lend geen officiële verklaring uitgebracht over de tweede hack. Veel gebruikers vragen zich hierdoor af hoe de tweede aanval zo snel na de eerste kan plaatsvinden. Daarnaast vragen ze zich af of de beveiligingsmaatregelen van het protocol wel voldoende zijn om toekomstige hacks te voorkomen.

Premie voor de hacker

13 juni heeft UwU Lend in een on-chain bericht aan de hacker gezegd dat ze een premie van $5 miljoen geven aan de persoon die de hacker als eerste weet te identificeren. UwU Lend beweert in het bericht dat deze $5 miljoen uitbetaald zal worden in Ethereum en voorrang heeft op terugbetaling en aangifte.