UNCX-hack raakt gedeelde token vault op Ethereum
Blockaid meldt dat de aanval via een gedeelde vestingpool ook tokens van andere projecten trof. UNCX heeft de Ethereum-diensten stilgezet en een bredere audit gestart.
Korte samenvatting
- Een hacker haalde woensdag ongeveer $86.000 weg uit de gedeelde token vestingpool van UNCX Network op Ethereum.
- Volgens Blockaid werden via één gedeelde pool tokens van meerdere projecten geraakt door een aanval op de constructie.
- UNCX startte een bredere security audit en zette vesting- en liquidity-lockingdiensten op Ethereum tijdelijk stil.
Een hacker heeft woensdag ongeveer $86.000 (€76.800) weggehaald uit de gedeelde token vestingpool van UNCX Network op Ethereum. Daarbij werden ook tokens meegenomen die andere projecten daar hadden vastgezet. Beveiligingsbedrijf Blockaid zei dat de aanval op het moment van publicatie nog liep.
Hoe de aanval werkte
UNCX, voorheen UniCrypt, biedt cryptoprojecten een manier om eigen tokens vast te zetten zodat insiders niet vroeg kunnen verkopen. Volgens Blockaid zaten veel projecten samen in één pool, waardoor een aanval op die constructie meerdere partijen kon raken.
De aanvaller opende eerst meerdere vestingposities in de pool. Daarna werd één grote positie vrijgemaakt en werden extra tokens in de pool gestort. Vervolgens werd een positie geannuleerd die eerder was aangevuld. Daardoor bleef een kleine restpositie over, en die kon volgens Blockaid daarna tokens van andere gebruikers opnemen.
UNCX beschrijft in zijn eigen uitleg dat vested tokens in een gecontroleerd contract vaststaan en niet kunnen worden verstuurd, verkocht, toegevoegd aan liquiditeit of gestaked.
Waarom dit voor DeFi telt
UNCX zei bij publicatie nog niets publiek over het incident. Het bedrijf, dat sinds 2020 diensten voor token locking en vesting aanbiedt, beheert volgens de beschikbare gegevens in totaal meer dan $164 miljoen (€146 miljoen) aan vastgezette waarde over meerdere blockchains. Op Ethereum staat daarvan ongeveer $111,4 miljoen (€99,5 miljoen).
De aanval laat zien dat ook relatief kleine verliezen in DeFi gevoelig liggen als een gedeelde constructie meerdere projecten tegelijk raakt. In de sector klinkt daardoor opnieuw de roep om extra beveiligingslagen en strengere controles op smart contracts. UNCX heeft volgens de beschikbare informatie inmiddels een bredere security audit van zijn smart contracts gestart en de vesting- en liquidity-lockingdiensten op Ethereum tijdelijk stilgezet. Dat past in een bredere reeks incidenten waarbij fouten in contractlogica of key management direct geld kosten, zoals bij de verschuiving van crypto-hacks naar keys en governance eerder dit jaar.
Beperkte reactie op de markt
De eigen token van UNCX reageerde nauwelijks. UNCX Network (UNCX) handelde rond $24,80 (€22), een stijging van 0,16% in 24 uur, met een totale marktwaarde van bijna $905.000 (€808.400). Dat staat in contrast met de impact op kleinere projecten, waar een relatief bescheiden hack al genoeg kan zijn om de operatie zwaar te raken.
Blockaid noemde twee wallets die bij de aanval betrokken waren. Etherscan liet zien dat een van die wallets ongeveer $5.874 (€5.250) vasthield, verspreid over acht transacties. De belangrijkste open vraag is nu welke projecten precies zijn geraakt en of UNCX verdere opnames nog kan stoppen.
