Ethereum Smart Contract Bug veranlasst Kryptobörsen Einzahlung von ERC-20 Tokens auszusetzen
Die Kette von Bugs in Ethereum Smart Contracts reißt nicht ab. Jetzt wurde ein sogenannter „Batch-Overflow-Bug“ in den Smart Contracts vieler Coins entdeckt. Kryptobörsen wie OKEx, Poloniex, Coinone und HitBTC haben daraufhin die Einzahlung von ERC-20-Token ausgesetzt.
Die Erstellung eines Ethereum-Tokens ohne ausnutzbare Bugs ist schwieriger, als es sich anhört. Anfang des Jahres hatten Forscher mitgeteilt, sie hätten 34.000 Ethereum Smart Contracts gefunden, die anfällig für Bugs seien. Ein Blogeintrag in dieser Woche konzentrierte sich dabei auf einen ganz speziellen Bug. Dabei handelt es sich um einen „Batch-Overflow-Bug“. Dieser wirkt sich auf die Smart Contracts von ERC-20-Token aus. Die Entdeckung war ernst genug, dass OKEx die Einzahlung von ERC-20-Token aussetzte. OKEx erklärte dazu:
ERC-20 Tokens Deposit Suspendedhttps://t.co/hOyozp6RKz pic.twitter.com/Z919pfGh5J
— OKEx (@OKEx_) April 25, 2018
„Aufgrund der Entdeckung des Smart Contract Bugs «Batchoverflow» setzen wir die Einzahlung aller ERC-20-Token aus. Durch die Ausnutzung dieses Bugs können Angreifer eine extrem hohe Anzahl von Token erstellen und diese auf normale Adressen einzahlen. Das macht viele ERC-20-Token anfällig für Preismanipulationen durch eventuelle Angreifer“.
Weiter führte OKEx aus: „Um die Öffentlichkeit zu schützen, haben wir uns dazu entschlossen, bis zur Behebung des Bugs die Einzahlung aller ERC-20-Token auszusetzen. Darüber hinaus haben wir uns mit den betreffenden Token-Teams in Verbindung gesetzt. Wir haben gebeten, den Bug zu untersuchen und die notwendigen Maßnahmen zu ergreifen, um diesen Angriffen vorzubeugen“. Viele andere Börsen sind OKEx gefolgt.
Es besteht die Möglichkeit, dass ERC-20-Token gestohlen, eingefroren oder dupliziert werden. Das ist eine Albtraumvorstellung für jedes Projekt, das auf dem Ethereumprotokoll aufbauen möchte. Dasselbe gilt für bereits existierende Token. Deren Teams werden nun ihren Programmcode genau auf Schwächen untersuchen. Eines der betroffenen Token ist Smartmesh (SMT). Smartmesh ist ein auf ERC-20 basierendes Token, das auf Huobi, Gate.io, HitBTC und OKEx gehandelt wird. Seine Smart Contracts zeigen derzeit klare Anzeichen einer Ausnutzung. Die Tokenmenge und der Tokenwert haben über 30 Stellen. In den letzten 24 Stunden wurden Hunderte Milliarden von SMT von den Smartmesh Smart Contracts übertragen.
Der Blogeintrag zum „Batch-Overflow-Bug“ wurde am 22. April veröffentlicht. Darin wurde auch das Beautychain (BEC) Token als Opfer derselben Ausnutzung genannt. Der Autor schrieb: „Wir haben unser System auch andere Contracts scannen und analysieren lassen. Die Ergebnisse zeigen, dass mehr als ein Dutzend ERC-20-Contracts anfällig für den Batch-Overflow-Bug sind. Um das zu demonstrieren, haben wir mit einem anfälligen Contract (der an keiner Börse gehandelt werden kann) erfolgreich Transaktionen durchgeführt. Das zeigt, dass der Bug ausgenutzt werden kann“.
Derzeit scheint es so, als seien vor allem weniger bekannte ERC-20-Token betroffen. Dennoch ist das Risiko natürlich nicht auf diese Projekte beschränkt. Wenn Angreifer Token aus dem Nichts erschaffen können, können sie diese an Kryptobörsen gegen Ethereum und Bitcoin tauschen. Das hat Auswirkungen auf den Kurs. Zugleich kann damit das Vertrauen in die Ethereum-Umgebung untergraben werden. Der Kampf um die Blockchains der nächsten Generation ist härter geworden. Konkurrenten wie EOS gehen bereits in Startposition. Da käme es Ethereum sicher sehr gelegen, wenn man sich dort nicht mit Bugs in den Smart Contracts herumschlagen müsste.