Team Finance Migration-Drain

Am 27. Oktober 2022 wurde das Team Finance Liquiditäts-Sperr-Protokoll — das von Hunderten kleinkapitalisierter Token-Projekte genutzt wurde, um „gesperrte Liquidität" als Glaubwürdigkeit zu demonstrieren — für 15,8 Millionen Dollar während einer Uniswap v2 → v3-Migration exploitet. Der Angreifer gab 2.700 $ an Gas für den Drain aus. 7 Millionen Dollar wurden zurückgegeben nach On-Chain-Verhandlung.

Was geschah

Team Finances Produkt war ein Liquidity-Locker: Token-Projekte sperrten ihre Uniswap-Liquiditätsanbieter (LP)-Token in Team-Finance-Verträgen als öffentliche Verpflichtung, dass die zugrunde liegende Liquidität nicht rug-gepullt werden würde. Das Protokoll bot einen Migration-Helper an, mit dem Projekte ihre gesperrte Liquidität atomar von Uniswap v2 nach v3 verschieben konnten.

Der Migration-Helper hatte einen Fehler in seiner Preis-Validierungslogik. Bei der Migration von LP-Token von v2 nach v3 tat der Helper:

1. Entnahm die v2-LP-Token aus dem gesperrten Team-Finance-Vertrag.
2. Re-poolte die zugrunde liegenden Vermögenswerte in ein v3-Paar mit der vom Aufrufer angegebenen Preisrange und Verhältnis.
3. Erstattete alle „verbleibenden" Vermögenswerte, die nicht in die Ziel-v3-Position passten, an den Aufrufer zurück.

Die fatale Auslassung: Der Helper validierte die vom Aufrufer angegebene Preisrange nicht gegen eine Sicherheits-der-Mittel-Invariante. Ein Angreifer, der die Migration aufrief, konnte:

1. Eine v3-Preisrange so verzerrt angeben, dass fast keine der zugrunde liegenden Vermögenswerte tatsächlich in den v3-Pool eingezahlt wurden.
2. Den Großteil der gesperrten Liquidität als „Rest-Erstattung" vom Protokoll erhalten.
3. Mit der Differenz zwischen dem vorab-gesperrten Wert und der nach-migrationen v3-Position davonkommen.

Der Angreifer zielte auf vier gesperrte Token-Paare — CAW (11,5 Mio. $), Dejitaru Tsuka (1,7 Mio. $), Kondux (0,7 Mio. $), Feg (1,9 Mio. $) — insgesamt ~15,8 Mio. $, mit einem Gesamt-Gas-Aufwand von rund 2.700 $.

Nachwirkungen

• Team Finance pausierte Migrationen sofort und veröffentlichte eine Post-Mortem.
• Der Angreifer identifizierte sich als „Whitehat" in Transaktions-Memos und gab rund 7 Mio. $ der gestohlenen Mittel zurück.
• Die verbleibenden ~9 Mio. $ wurden behalten; einige wurden schließlich über Tornado Cash gewaschen.
• Team Finance redesignte den Migration-Helper mit korrekter Preisrange-Validierung.

Warum es zählt

Team Finance ist einer der saubereren Fälle dafür, wie „auditiert" nicht gleichbedeutend mit „sicher" ist — der Migrationsvertrag war auditiert worden, aber das Audit umfasste nicht die spezifische ökonomische Invariantenprüfung, die diesen Bug gefangen hätte. Die Schwachstellenklasse (fehlende Validierung auf vom Aufrufer gelieferten Preisranges) ist strukturell identisch mit mehreren anderen DeFi-Exploits, bei denen Migrations- oder Admin-Pfade die Validierung überspringen, die die normalen Nutzer-Flows erzwingen.

Die tiefere Lehre, besonders relevant für Liquidity-Locker-Produkte: Die Vertrauensannahme ist „die gesperrte Liquidität kann vom Projekt bis zur Entsperrung nicht bewegt werden". Jeder Code-Pfad, der dem Projekt erlaubt, gesperrte Liquidität zu bewegen, ohne sie zu entsperren — einschließlich für Migrationen, Upgrades oder „Rest-Erstattungen" — ist eine Hintertür zum Vertrauensmodell, das das gesamte Produkt durchzusetzen existiert.

Die 2.700 $ Gas-Kosten zum Entziehen von 15,8 Mio. $ sind selbst eine eindrucksvolle Statistik — eine Erinnerung daran, dass Smart-Contract-Exploits meist Arbeitskosten sind, nicht Kapitalkosten. Sobald die Schwachstelle identifiziert ist, ist die Exploitation im Wesentlichen kostenlos.