Edel, ein DeFi-Kreditprotokoll, das tokenisierte Aktien als Sicherheit akzeptiert, meldete Verluste von rund 403.000 $ durch einen Exploit, der die Wrapper- und Oracle-Schichten seiner tokenisierten Google-Aktie traf. Der Angreifer manipulierte den Wechselkurs zwischen wGOOGLx, einer gewrapp ten Version von Edels tokenisierter Google-Aktie, und dem zugrundeliegenden GOOGLx und blähte den Sicherheitenwert um etwa das 78-fache auf, bevor er sich dagegen verschuldete. Zu den gestohlenen Mitteln gehörten 384.215 USDC sowie gewrappte Positionen in SPYx, QQQx, MSTRx, NVDAx und TSLAx. Sicherheitsfirmen beziffern die Schadenssumme unterschiedlich: Cyvers nannte rund 353.000 $, GoPlus rund 403.000 $ Verluste und etwa 305.000 $ Gewinn des Angreifers, CertiK rund 204.000 $ entzogene Mittel. Die Spanne spiegelt unterschiedliche Messgrößen für Bad Debt, Bruttoverlust und Nettogewinn wider.
Edel erklärte, keine Einlegerin und kein Einleger werde Verluste tragen. Das Team wird die Bad Debt selbst schultern, betroffene Salden eins zu eins wiederherstellen und die Oracle-Architektur für eine Version zwei neu aufbauen. SlowMist führte die Ursache auf Edels Preisquelle zurück, die latestAnswer() nutzte, um den convertToAssets()-Kurs des ERC-4626-Vaults auszulesen. Dieser Umrechnungskurs kann von einem Angreifer verschoben werden, der genug vom zugrundeliegenden Flow kontrolliert. GoPlus wies darauf hin, dass der Angreifer einen Flash Loan nutzte, um wiederholt einzuzahlen und zu leihen und so den Wechselkurs zwischen wGOOGLx und GOOGLx zu verzerren. CertiK beschrieb denselben Fehler aus Sicht des Kreditgebers: Die aufgeblähte wGOOGLx-Sicherheit deckte anschließend tatsächlich geliehene Vermögenswerte ab.
Warum das wichtig ist
Die Neuheit ist die Anlageklasse, nicht die Technik. Flash Loans, ERC-4626-Wechselkurs-Angriffe und Oracle-Manipulationen tauchen seit Jahren in DeFi-Exploits auf. Edel fügt einen Wrapper um eine tokenisierte Aktie hinzu, was ein zweites Preisproblem zusätzlich zur Aktie selbst einbringt. Ein Kreditmarkt muss nun die Aktie bewerten, die gewrappte Version darüber, den convertToAssets-Kurs des Vaults und den Oracle-Pfad, der einen Wert meldet. Der Kurs der Alphabet-Aktie bewegte sich während des Exploits nicht. Die Diskrepanz zwischen der Deckung auf Emittentenebene und der On-Chain-Bepreisung ist die Lücke, durch die der Angreifer schlüpfte.
Tokenisierte Aktien sind im Sicherheiten-Segment schnell gewachsen. RWA.xyz beziffert den On-Chain-Wert tokenisierter Aktien auf 1,7 Mrd. $, mit monatlichem Transfervolumen von 8,92 Mrd. $ und über 396.000 Inhabern. xStocks listet mehr als 100 Aktien und ETFs über 50+ Plattformen mit einem Gesamttransaktionsvolumen von 25 Mrd. $.
Häufig gestellte Fragen
-
Was genau wurde beim Edel-Vorfall ausgenutzt?
Der Wechselkurs zwischen wGOOGLx und dem zugrundeliegenden GOOGLx-Token wurde per Flash Loan manipuliert, sodass der Sicherheitenwert des gewrapp ten Tokens vor der eigentlichen Kreditaufnahme auf rund das 78-fache seines korrekten Werts stieg.
-
Hat sich der Alphabet-Aktienkurs während des Exploits bewegt?
Nein. Die Schwachstelle lag in den Wrapper- und Oracle-Schichten, mit denen Edel seine tokenisierte Google-Aktie bewertete, nicht im Alphabet-Aktienkurs selbst.
-
Wie hoch war der Verlust und wer kommt dafür auf?
Sicherheitsfirmen nannten Werte zwischen rund 204.000 $ und 403.000 $, je nachdem ob Bad Debt, Bruttoverlust oder Nettogewinn des Angreifers gemessen wurde. Edel erklärte, keine Einleger trügen Verluste, und das Team werde die Bad Debt eins zu eins selbst tragen.
-
Was unterscheidet diesen Exploit von früheren DeFi-Oracle-Angriffen?
Die zugrundeliegenden Techniken (Flash Loans, ERC-4626-Kurs-Manipulation) sind bekannt. Neu ist die Anlageklasse: gewrappte tokenisierte Aktien führen eine zweite Preisschicht zusätzlich zur Aktie selbst ein, und Edel scheint der erste klar dokumentierte Exploit mit tokenisierten Aktien als Sicherheit zu sein.
-
Wie groß ist der Markt für tokenisierte Aktien heute?
RWA.xyz beziffert den On-Chain-Wert tokenisierter Aktien auf 1,7 Mrd. $, mit monatlichem Transfervolumen von 8,92 Mrd. $ und über 396.000 Inhabern. Allein xStocks listet mehr als 100 Aktien und ETFs über 50+ integrierte Plattformen.
CoinDesk
TheBlock
WuBlockchain
Lookonchain