Virtue, das drittgrößte DeFi-Protokoll auf IOTA mit Einlagen von rund 427.000 US-Dollar, hat nach einem Angriff alle Funktionen gestoppt. Der Angreifer brachte die Schlüssel aller 14 Oracles unter seine Kontrolle.
Dadurch konnte er Virtue einen beliebigen IOTA-Kurs melden, knapp 4,94 Millionen VUSD erzeugen und die Liquidation von 45 ausreichend besicherten Nutzerpositionen auslösen.
Insgesamt zog das Protokoll IOTA-basierte Sicherheiten im Umfang von umgerechnet 23,2 Millionen IOTA ein, um rund 455.000 VUSD Schulden zu tilgen. Anschließend waren nur noch 8 Prozent aller VUSD gedeckt.
Angreifer übernimmt Kontrolle über den IOTA-Preis
Der Angriff begann am 28. August. Zunächst meldeten die kompromittierten Oracles einen Preis von zehn Millionen US-Dollar je IOTA, obwohl der IOTA-Preis nur bei rund 3,9 US-Cent lag. Mit einer Einlage von einem IOTA lieh sich der Angreifer daraufhin rund 4,94 Millionen VUSD. Virtue erklärte in einem Bericht:
„Am 28. August 2026 übernahm ein Angreifer die Signaturschlüssel aller 14 Oracles in der IOTA-Mainnet-Queue von Switchboard. Dadurch konnte er den IOTA-Preis, den Virtue aus dem Feed bezog, beliebig steuern. Er nutzte diese Kontrolle in beide Richtungen.“
Die Schwachstelle befand sich im System von Switchboard. Normalerweise müssen drei Guardians den Austausch eines Oracle-Schlüssels bestätigen. Der Angreifer konnte die benötigten Guardian-Objekte jedoch ohne Genehmigung selbst erstellen und die Schlüssel in einer einzigen Transaktion austauschen.
Tipp der Redaktion: IOTA rüstet das Mainnet auf: Das steckt hinter Protocol 33
Virtues Prüfungen bemerkten die Manipulation nicht. Der Preis kam augenscheinlich aus der richtigen Quelle, war aktuell und trug gültige Signaturen. Das Protokoll prüfte nicht, ob die gemeldete Höhe plausibel war. Virtue erklärte:
„Die bestehende Regel prüfte die Herkunft des Feeds, die Beteiligung der Signierer und die Aktualität. Sie kontrollierte jedoch nicht unabhängig, ob die Höhe des akzeptierten Preises plausibel war. Der Vorfall zeigt, dass Herkunftskontrollen allein nicht ausreichen, wenn alle Signierer einer vorgelagerten Preisquelle kompromittiert sind.“
Angreifer profitiert von den Liquidationen
Anschließend drückte der Angreifer den gemeldeten IOTA-Preis zeitweise unter 1,91 US-Cent. Der Liquidationsbot hielt dadurch 45 gesunde Nutzerpositionen für unzureichend besichert und löste sie automatisch auf.
Zuvor hatte der Angreifer seine neu erzeugten VUSD in den Stability Pool eingezahlt. Dieser Pool tilgt bei Liquidationen die Schulden und erhält dafür die eingezogenen Sicherheiten. Als größter Einleger deckte der Angreifer rund 342.000 VUSD beziehungsweise 75 Prozent der liquidierten Schulden und erhielt Sicherheiten im Umfang von rund 16,7 Millionen IOTA (etwa 655.000 US-Dollar). Virtue erläuterte:
„Die Einzahlung war gezielt und nicht opportunistisch. Sie erfolgte in derselben Transaktion wie die Prägung und bevor auch nur eine Liquidation stattfand. Das Verhalten zeigt, dass die Poolposition gezielt darauf ausgerichtet war, von den unmittelbar danach ausgelösten Liquidationen zu profitieren.“
Weitere rund 6,1 Millionen IOTA gingen an reguläre Einleger. Davon landeten etwa 5,1 Millionen auf einer Multisig-Adresse mit unbekanntem Eigentümer.
Protokoll bleibt eingefroren
Die Sicherheiten der nicht liquidierten Nutzer sind laut Virtue vollständig vorhanden. Ohne die Position des Angreifers stehen rund 141.000 VUSD an Schulden Sicherheiten im Wert von etwa 407.000 US-Dollar gegenüber. Sie sind damit fast dreifach gedeckt.
Lesetipp: IOTA mit 6.119 On-Chain-Transaktionen: Ein Projekt dominiert
Auszahlungen bleiben trotzdem gesperrt. Andernfalls könnten schnelle Abhebungen die Verluste aus den ungedeckten VUSD auf die übrigen Nutzer verlagern.
Virtue entfernte Switchboard aus seiner Preisermittlung. Community-Validatoren blockierten außerdem die Angreiferadressen, nachdem mehr als 38 Prozent der Voting Power die notwendige Schwelle von gut 33 Prozent überschritten hatten. KuCoin schränkte ein verdächtiges Konto vorübergehend ein, während Binance den Kontoinhaber kontaktierte.
„Die Eindämmungsmaßnahmen sichern Vermögenswerte, die andernfalls möglicherweise verschoben worden wären, und verbessern die Aussichten auf eine Sanierung erheblich. Sie stellen die Deckung von VUSD jedoch noch nicht wieder her. Die vom Angreifer gehaltenen 4,15 Millionen VUSD bleiben ausstehend, während die blockierten IOTA noch nicht unter die Kontrolle des Protokolls übertragen wurden.“
Virtue will die 45 liquidierten Nutzer entschädigen. Vor einer Wiederaufnahme sollen feste Preisgrenzen und der Vergleich mehrerer unabhängiger Quellen ähnliche Angriffe verhindern.
