Fluid-Belohnungsvertrag verletzt, was zu einem Verlust von etwa 215.000 $ führte

Laut BlackHart wurde der Belohnungsverteilungsmechanismus des DeFi-Projekts Fluid auf Ethereum ausgenutzt, wodurch Vermögenswerte im Wert von etwa 215.000 $ abgezogen wurden. Fluid verwendet einen Merkle-Belohnungslistenmechanismus, der von einem Schlüssel initiiert und von einem anderen genehmigt wird. Der Angreifer hielt beide operativen privaten Schlüssel gleichzeitig, reichte eine Liste ein, die nur ihn selbst belohnte, und schloss den Anspruch dann mit einem Zero-Knowledge-Proof ab.

Die gestohlenen Vermögenswerte stammten aus drei Belohnungsverteilern, darunter 112.883 FLUID, 47.903 GHO und eine kleine Menge cbBTC, die später in ETH getauscht und über Tornado Cash transferiert wurden. Der Kreditmarkt, die Treasury, die DEX und die Benutzereinlagen von Fluid waren nicht betroffen. Das Team ersetzte die kompromittierten Schlüssel und transferierte die verbleibenden Belohnungsgelder innerhalb von etwa 10 Stunden, doch die öffentliche Stellungnahme erwähnte lediglich, dass Belohnungsansprüche für Updates pausiert wurden, ohne Details zum Leck der privaten Schlüssel und den Verlusten zu nennen.