Hundred Finance’s $7.4 million stolen last year starts to move

DL News · 2024-05-01T14:59:11.000Z

In April last year, a hacker exploited a bug in Optimism-based DeFi protocol Hundred Finance, making off with $7.4 million. After over a year of silence, the stolen funds are now on the move. At around 10:25 am London time on Wednesday, the hacker withdrew almost $800,000 worth of Ether and Tether’s USDT stablecoin from decentralised exchange Curve after using the tokens to provide liquidity there over a year ago. Following the withdrawal, the hacker used decentralised exchange Uniswap to swap the USDT, as well as smaller amounts of other cryptocurrencies like PAXG, WOO, FRAX and DAI into Ether. In total, the transactions increased the wallet’s Ether holdings by just over $1 million. The hacker now holds $4.2 million worth of Ether, $1.2 million DAI, $859,000 of Synthetix’s sUSD stablecoin, and smaller amounts of Wrapped Ether, FRAX, SNX, and Wrapped Bitcoin. Why the hacker suddenly decided to start moving funds after all this time isn’t known. If the hacker is still in control of the wallet and behind the transactions, it could signal they are preparing to cash out the stolen funds. Hackers often convert stolen crypto into Bitcoin or Ether in order to more easily swap it for fiat currency. Could the hacker cash out? It may be increasingly difficult for the hacker to cash out their stolen crypto. Before attempting to cash out funds through a centralised crypto exchange, the hacker will need to break the chain of traceability that links the funds to the wallet that conducted the hack. Previously, hackers have relied on crypto mixers such as Samourai Wallet or privacy protocols like Tornado Cash to launder funds. But regulators worldwide are cracking down on ways crypto users can obfuscate their transaction histories. On April 24, the European Parliament voted to ban crypto mixers as part of new anti-money laundering regulations. Then on April 25, the DoJ charged two founders of crypto mixer Samourai Wallet with conspiracy to commit money laundering and conspiracy to operate an unlicensed money transmitting business. In the case like Samourai Wallet, US authorities took control of the crypto mixer’s servers, leaving it inoperable. The enforcement actions have also dissuaded users from using crypto mixers and privacy protocols. In September 2022, developers at privacy protocol Tornado Cash told crypto security firm Elliptic that low liquidity on the protocol meant that users were struggling to mix even $100. The Hundred Finance hack: One year later Hundred Finance was a protocol forked from popular lending protocol Compound v2 that let users lend and borrow crypto. On April 15 2023, a hacker exploited a bug in Hundred Finance’s code to steal approximately $7.4 million from depositors. The hacker exploited a rounding error in how the protocol processed withdrawals, letting them use a small amount of Wrapped Bitcoin as collateral to withdraw more assets then they should have been able to. Following the exploit, Hundred Finance first offered a $500,000 open bounty for information that could lead to the arrest of the hacker and the retrieval of the stolen assets. Later, the protocol attempted to negotiate a return of the funds by offering the hacker 10% of the stolen funds, around $740,000, for the safe return of the remaining 90%. Both attempts to recover the stolen funds failed, and Hundred Finance token holders voted to shut the project down on August 9. Tim Craig is a DeFi Correspondent at DL News. Got a tip? Email him at tim@dlnews.com.

Im April letzten Jahres nutzte ein Hacker einen Fehler im auf Optimism basierenden DeFi-Protokoll Hundred Finance aus und erbeutete 7,4 Millionen US-Dollar.
Nachdem über ein Jahr lang keine Nachricht kam, sind die gestohlenen Gelder nun unterwegs.
Am Mittwoch gegen 10:25 Uhr Londoner Zeit zog der Hacker Ether und den Stablecoin USDT von Tether im Wert von fast 800.000 Dollar von der dezentralen Börse Curve ab, nachdem er die Token vor über einem Jahr verwendet hatte, um dort für Liquidität zu sorgen.
Nach der Auszahlung nutzte der Hacker die dezentrale Börse Uniswap, um USDT sowie kleinere Mengen anderer Kryptowährungen wie PAXG, WOO, FRAX und DAI in Ether umzutauschen.
Insgesamt erhöhten die Transaktionen den Ether-Bestand des Wallets um knapp über 1 Million Dollar.
Der Hacker besitzt nun Ether im Wert von 4,2 Millionen US-Dollar, DAI im Wert von 1,2 Millionen US-Dollar, den Stablecoin sUSD von Synthetix im Wert von 859.000 US-Dollar sowie kleinere Mengen Wrapped Ether, FRAX, SNX und Wrapped Bitcoin.
Warum der Hacker nach all dieser Zeit plötzlich beschloss, Geld zu transferieren, ist unbekannt. Wenn der Hacker immer noch die Kontrolle über die Wallet hat und hinter den Transaktionen steckt, könnte das ein Zeichen dafür sein, dass er sich darauf vorbereitet, das gestohlene Geld auszuzahlen.
Hacker wandeln gestohlene Kryptowährungen häufig in Bitcoin oder Ether um, um sie einfacher gegen Fiatgeld eintauschen zu können.
Konnte der Hacker Geld daraus machen?
Für den Hacker kann es zunehmend schwieriger werden, die gestohlenen Kryptowährungen auszuzahlen.
Bevor der Hacker versucht, Gelder über eine zentrale Kryptobörse auszuzahlen, muss er die Rückverfolgbarkeitskette unterbrechen, die die Gelder mit der Wallet verbindet, die den Hack durchgeführt hat.
Bisher verließen sich Hacker zum Waschen von Geldern auf Krypto-Mixer wie Samourai Wallet oder Datenschutzprotokolle wie Tornado Cash.
Doch Regulierungsbehörden auf der ganzen Welt gehen hart gegen die Methoden vor, mit denen Krypto-Benutzer ihre Transaktionshistorie verschleiern können.
Am 24. April stimmte das Europäische Parlament im Rahmen neuer Vorschriften zur Bekämpfung der Geldwäsche für ein Verbot von Krypto-Mixern.
Am 25. April erhob das Justizministerium dann Anklage gegen zwei Gründer des Krypto-Mixers Samourai Wallet wegen Verschwörung zur Geldwäsche und Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts.
Im Fall von Samourai Wallet übernahmen die US-Behörden die Kontrolle über die Server des Krypto-Mixers und machten ihn funktionsunfähig.
Die Durchsetzungsmaßnahmen haben Benutzer auch davon abgehalten, Krypto-Mixer und Datenschutzprotokolle zu verwenden. Im September 2022 teilten Entwickler des Datenschutzprotokolls Tornado Cash dem Krypto-Sicherheitsunternehmen Elliptic mit, dass die geringe Liquidität des Protokolls dazu führe, dass Benutzer Schwierigkeiten hätten, auch nur 100 Dollar zu mischen.
Der Hundred Finance-Hack: Ein Jahr später
Hundred Finance war ein aus dem beliebten Kreditprotokoll Compound v2 abgezweigtes Protokoll, das es Benutzern ermöglichte, Kryptowährungen zu verleihen und auszuleihen.
Am 15. April 2023 nutzte ein Hacker einen Fehler im Code von Hundred Finance aus, um Einlegern etwa 7,4 Millionen US-Dollar zu stehlen.
Der Hacker nutzte einen Rundungsfehler bei der Abhebungsverarbeitung durch das Protokoll aus, wodurch er mit einer kleinen Menge Wrapped Bitcoin als Sicherheit mehr Vermögenswerte abheben konnte als vorgesehen.
Nach dem Exploit bot Hundred Finance zunächst eine Belohnung von 500.000 US-Dollar für Informationen an, die zur Festnahme des Hackers und zur Wiederbeschaffung der gestohlenen Vermögenswerte führen könnten.
Später versuchte das Protokoll, eine Rückgabe der Gelder auszuhandeln, indem es dem Hacker 10 % der gestohlenen Gelder, etwa 740.000 US-Dollar, für die sichere Rückgabe der restlichen 90 % anbot.
Beide Versuche, die gestohlenen Gelder zurückzuerhalten, schlugen fehl und die Token-Inhaber von Hundred Finance stimmten am 9. August für die Schließung des Projekts.
Tim Craig ist DeFi-Korrespondent bei DL News. Haben Sie einen Tipp? Senden Sie ihm eine E-Mail an tim@dlnews.com.

Weitere Inhalte des Erstellers entdecken

Aktuelle Nachrichten