Eminence Bonding-Curve-Drain

Am 29. September 2020 wurde das unveröffentlichte DeFi-Gaming-Projekt Eminence — gebaut von Andre Cronje, dem Schöpfer von Yearn Finance — durch einen Flash-Loan-Angriff auf seine Bonding-Curve-Token-Mechanik um rund 15 Millionen $ drainiert. Cronje hatte explizit erklärt, das Projekt sei „mindestens drei Wochen entfernt" von der Fertigstellung, dennoch flossen 15 Mio. $ innerhalb von Stunden nach seinen Art-Teasern ein. Der Angreifer gab danach 8 Millionen $ an Yearns Developer-Fund zurück.

Was geschah

Cronjes typischer „ship early, iterate publicly"-Ansatz führte dazu, dass seine deployten Contracts oft On-Chain auftauchten, lange vor ihrem geplanten Launch. Für Eminence — ein Gaming-Ökonomie-Projekt ohne Website, ohne Dokumentation und ohne öffentliche Launch-Ankündigung — hatte Cronje einfach eine in Arbeit befindliche Version des EMN-Token-Contracts auf Uniswap deployt, vermutlich zum Testen.

Die Krypto-Community bemerkte das Deployment, identifizierte Cronjes Signatur und strömte trotzdem hinein — deponierte rund 15 Millionen $ an Stablecoins in EMNs Bonding Curve innerhalb weniger Stunden, in der Annahme, Cronjes Beteiligung garantiere eventuelle Wertschöpfung.

Die Bonding Curve war nicht auditiert. Der Angriff war, in Cronjes eigenen Worten, „ein sehr einfacher":

1. Viel EMN minten am engen Ende der Bonding Curve (niedriger Preis pro Token bei geringer Supply).
2. Das frisch geminte EMN burnen durch eine parallele Funktion im Tausch gegen eine andere Währung, die der Contract höher preiste.
3. Die Erlöse zurück in EMN verkaufen, um mehr zu minten — rekursiv.
4. Wiederholen, bis die gesamten 15 Mio. $ extrahiert waren.

Netto-Drain: rund 15 Mio. $ in die Wallet des Angreifers. Der EMN-Preis kollabierte gegen Null.

Folgen

• Ein Teil des Angreifers — möglicherweise dieselbe Person, möglicherweise ein anderer White-Hat — gab 8 Mio. $ an einen Yearn-kontrollierten Developer-Fund innerhalb von Stunden zurück.
• Cronje erklärte, er würde die wiederhergestellten 8 Mio. $ an ursprüngliche Deponenten basierend auf einem Pre-Hack-Snapshot verteilen.
• Cronje adressierte den Vorfall öffentlich und wiederholte seinen „test in production"-Ansatz, was breite Kritik aus der Security-Community auslöste.
• Eminence wurde nie als fertiges Produkt gelauncht.

Warum es wichtig ist

Eminence ist die Gründungs-Fallstudie für „Degens stürzen sich auf unveröffentlichte Contracts" als wiederkehrenden DeFi-Failure-Modus. Der Eifer der Community, Cronjes eventuelle Launches zu front-runnen, erzeugte wiederholt erzwungene Verluste über 2020-2022:

• Eminence (Sep. 2020) — 15 Mio. $ in eine unfertige Bonding Curve.
• Iron Banks CR Finance v0 (Anfang 2021) — ähnliches Muster mit kleineren Verlusten.
• Mehrere Cronje-getaggte Contracts über Fantom und Avalanche erhielten Millionen an Einlagen vor offiziellen Launches.

Die tiefere, weniger wohlwollende Lektion, die die Community nur teilweise absorbiert hat: Der Name eines berühmten Entwicklers auf einem Contract ist kein Audit, kein Launch und keine Sicherheitsgarantie. Cronjes Ruf war — von ihm selbst entworfen — eine Marke, die Kapital schneller anzog, als seine Security-Review nachkommen konnte. Eminence war die erste große Instanz; es war nicht die letzte.