Loopscale Zwei-Wochen-Drain

Am 26. April 2025 erlitt das Solana-basierte DeFi-Kreditprotokoll Loopscale einen Exploit über 5,8 Millionen $ — etwa 12 % seines TVL von 40 Mio. $ — nur 16 Tage nach seinem Launch am 10. April. Der Angreifer manipulierte die Preisgestaltung des RateX-PT-Token-Orakels, um unterbesicherte Kredite aufzunehmen. Nach Verhandlungen akzeptierte der Angreifer eine Belohnung von 10 % und gab alle Mittel zurück, was zu null Nutzerverlusten führte.

Was geschah

Loopscales Kreditplattform akzeptierte verschiedene Solana-DeFi-Token als Sicherheiten, darunter RateX-PT-Tokens — Plasma-Token-Wrapper, die von RateX, einem Festzins-Yield-Protokoll, verwendet werden. Loopscales Kreditpreislogik für PT-Tokens hing von Orakel-Lesungen ab, die Preise aus dem zugrundeliegenden RateX-Zustand ableiteten.

Der fatale Fehler: Die Preisfunktionen für PT-Tokens konnten manipuliert werden durch spezifische Aufruf-Sequenzen, die Loopscales Solvenzprüfungen nicht auslösten. Der Angreifer:

1. Manipulierte das RateX-PT-Token-Orakel durch Zustandsänderungen, die die Preisableitungslogik beeinflussten.
2. Hinterlegte die manipuliert bewerteten PT-Tokens als Sicherheiten bei Loopscale.
3. Lieh sich reale Vermögenswerte (USDC, SOL) gegen die aufgeblähte Sicherheitenbewertung.
4. Verschwand ohne Rückzahlung, sodass Loopscale mit Sicherheiten zurückblieb, die weniger wert waren als die dadurch besicherten Kredite.

Insgesamt entwendet: 5,7 Mio. USDC + 1.200 SOL = ungefähr 5,8 Mio. $.

Folgen

• Loopscale pausierte alle Kredit- und Auszahlungsvorgänge innerhalb von Stunden.
• Das Team sandte On-Chain-Nachrichten an den Angreifer und bot eine 10 %-Bug-Bounty im Austausch für Immunität vor Strafverfolgung an.
• Der Angreifer akzeptierte das Angebot und gab die gestohlenen Mittel zurück an Loopscales Wiederherstellungsadresse.
• Keine Nutzerverluste — Operationen wurden mit gepatchter PT-Orakel-Logik wieder aufgenommen.

Warum es wichtig ist

Loopscales Vorfall ist eine eindrucksvolle Fallstudie dafür, wie schnell ein frisch gestartetes DeFi-Protokoll zum Ziel wird. Der Exploit ereignete sich 16 Tage nach dem Launch, als:

• Das Protokoll rund 40 Mio. $ an TVL und 7.000+ Verleiher angesammelt hatte — genug Kapital, um die Operation lohnenswert zu machen.
• Die Codebasis sich noch in aktiver Iteration befand, mit regelmäßig hinzugefügten neuen Funktionen.
• Die Incident-Response-Verfahren des Teams in der Produktion noch nicht erprobt waren.

Die strukturellen Lehren:

1. Neue Protokolle werden in ihren ersten 30 Tagen nach dem Launch überproportional angegriffen. Die Kombination aus frischem Code, sich ansammelndem TVL und unreifer Incident Response schafft ein hochwertiges, schwach verteidigtes Ziel. Angreifer überwachen ausdrücklich dieses Zeitfenster.

2. Orakel-Abhängigkeiten von relativ neuen Tokens (wie RateX PT) erben die Sicherheitseigenschaften des zugrundeliegenden — die Preisableitungslogik des PT-Tokens war die eigentliche Angriffsfläche, nicht Loopscales Kreditmathematik.

3. Das 10 %-Belohnung-/100 %-Wiederherstellungs-Ergebnis wird zunehmend zum dominanten Beilegungsmuster für mittelgroße DeFi-Exploits. Die ökonomische Logik für den Angreifer — Belohnungszahlung ist risikofrei, gewaschene Mittel sind riskant — drängt zu dieser Lösung, solange der Angreifer rational und nicht identifizierbar ist.

Loopscales Reaktion — sofortige Pause, transparente On-Chain-Verhandlung, vollständige Wiederherstellung innerhalb von Tagen — setzte einen glaubwürdigen Maßstab dafür, wie ein Protokoll eines kleinen Teams einen ernsten Vorfall bewältigen kann, ohne das Nutzervertrauen zu zerstören. Die nachfolgende Transparenz des Teams über die technische Grundursache (Veröffentlichung detaillierter Post-Mortems) ist zur Standardpraxis für Protokolle geworden, die nach einem Exploit Glaubwürdigkeit erhalten wollen.