Flashkredit-Angreifer entzieht RedSonic Vault 9,25 ETH in einer einzigen Ethereum-Transaktion
Wichtige Erkenntnisse
- •Der Angriff auf den RedSonic Vault führte zu einem Verlust von rund 9,25 ETH und wurde vollständig über einen Flashkredit von 1.139 WETH bei Balancer finanziert, ohne dass der Angreifer eigenes Kapital einsetzen musste.
- •Die registerErc20-Funktion der Vault verfügte über keine Zugriffskontrollen, wodurch der Angreifer stETH als zweites Asset registrieren konnte, dessen Anteile auf demselben zugrunde liegenden Guthaben wie rsvETH beruhten.
- •Die Anteilspreisberechnung basierte auf dem rohen stETH-Guthaben der Vault, sodass eine Einzahlung von 9,34 stETH den Wert der bestehenden rsvETH-Bestände des Angreifers künstlich erhöhte, ohne neue Anteile zu prägen.
- •Der Angreifer zahlte 1.130 ETH ein, um rund 99 % der rsvETH-Anteile zu kontrollieren, und löste sie dann für 1.139,5 ETH ein; das zurückgewonnene stETH wurde auf Curve in ETH getauscht, bevor der Flashkredit in derselben Transaktion zurückgezahlt wurde.
- •Der Exploit lief im Konstruktor eines selbstzerstörenden Vertrags ab, doch die atomare On-Chain-Transaktion bleibt über Etherscan öffentlich nachvollziehbar.
Ein Angreifer mit Flashkredit hat dem RedSonic Vault auf Ethereum in einer einzigen, in sich abgeschlossenen Transaktion 9,25 ETH entzogen. Die Blockchain-Sicherheitsfirma ExVulSec identifizierte den Exploit und veröffentlichte eine vollständige technische Analyse des Vorfalls, der sich am 5. September 2026 ereignete.
Der Angreifer benötigte kein eigenes Startkapital. Stattdessen nahm er einen Flashkredit über 1.139 WETH bei Balancer auf, um den gesamten Angriff zu finanzieren. Flashkredite ermöglichen es Kreditnehmern, auf große Beträge zuzugreifen, ohne Sicherheitsleistungen zu erbringen – sofern der Kredit innerhalb derselben Transaktion zurückgezahlt wird. Angreifer nutzen diesen Mechanismus häufig, um Exploits zu finanzieren, die andernfalls erhebliches Startkapital erfordern würden.
Wie sich der Exploit entfaltete
Die Wurzel des Angriffs lag in der Art, wie die RedSonic-Vault ihre rsvETH-Anteile bewertet. Die Vault berechnet den Anteilswert über eine Funktion namens getTotalAssetBalance, die für die Lido-Position das rohe stETH-Guthaben der Vault direkt ausliest. Diese Designentscheidung wurde zum Fundament des Exploits: Anteilspreise, die direkt an ein rohes Guthaben gekoppelt sind, können sich verschieben, wenn sich dieses Guthaben unerwartet ändert – ohne dass entsprechende Anteile geprägt oder verbrannt werden müssten. Die Bewertung von Anteilen auf Basis roher Token-Guthaben statt einer manipulationssicheren Buchungsmethode ist eine wiederkehrende Schwäche bei DeFi-Exploits, und dieser Vorfall passt in dieses übergreifende Muster.
Laut ExVulSec unterlag die registerErc20-Funktion der Vault keinen Zugriffsbeschränkungen, das heißt, jeder konnte eine neue Asset-Klasse innerhalb der Vault registrieren. Uneingeschränkte administrative Funktionen gehören zu den am häufigsten genannten Ursachen in den Post-Mortem-Berichten von Sicherheitsfirmen. Der Angreifer registrierte stETH als zweites Asset und schuf damit eine Anteilsklasse namens rsvstETH. Beide Anteilstypen schöpften anschließend aus exakt demselben zugrunde liegenden stETH-Guthaben.
Der Exploit-Contract zerstörte sich nach Abschluss der Ausführung selbst. Sicherheitsforscher weisen darauf hin, dass sich selbstzerstörende Verträge die spätere On-Chain-Nachverfolgung oft erschweren. ExVulSec bestätigte zudem, dass der Exploit im Konstruktor des Vertrags ablief.
ALERT — Exploit on Ethereum @reddio_com RedSonic Vault was drained for ~9.25 ETH. A no-capital attacker flash-loaned 1,139 WETH from Balancer, inflated the vault's share price, and cashed out. The exploit ran inside a self-destructing contract's constructor. Root cause: the… — ExVul (@exvulsec), September 5, 2026
Der Doppel-Asset-Fehler
Der Angreifer zahlte zunächst 1.130 ETH ein und erwarb damit nahezu 99 % aller ausgegebenen rsvETH-Anteile – eine Position, die den restlichen Exploit vorbereitete. Anschließend zahlte er 9,34 stETH direkt in die Vault ein. Diese einzelne Einzahlung erhöhte das stETH-Guthaben, ohne neue rsvETH-Anteile zu prägen.
Da die rsvETH-Preisberechnung das rohe stETH-Guthaben ausliest, trieb die zusätzliche Einzahlung den Anteilspreis künstlich in die Höhe. Die bestehenden rsvETH-Bestände des Angreifers gewannen dadurch sofort an Wert, ohne dass neue rsvETH ausgegeben wurden.
Der Angreifer löste seine rsvETH anschließend für 1.139,5 ETH ein – laut der Transaktionsanalyse von ExVulSec eine Einlösung, die den gesamten Gewinn von 9,25 ETH erbrachte. Außerdem löste er separat die rsvstETH-Anteile für stETH ein. Derselbe zugrunde liegende Kollateral wurde damit effektiv doppelt aus einem gemeinsamen, gepoolten Vault-Guthaben ausgezahlt.
ExVulSec berichtete, dass das zurückgewonnene stETH auf Curve gegen ETH getauscht und der Balancer-Flashkredit innerhalb derselben Transaktion zurückgezahlt wurde.
On-Chain-Details
Etherscan-Daten führen die Wallet des Angreifers als 0x70f2333d21Ed7E7D105F6578227A9A747687982C. Der RedSonic-Vault-Contract befindet sich unter 0x4315990d9eeaffdfafd49958b4851f203fa1126f, und die Angriffstransaktion trägt den Hash 0xe3cba90e865c6cba950ebce36a52607f51f1fd33cd9fb920c78803f19b57791a. Die Transaktion bleibt öffentlich auf Etherscan einsehbar, sodass jeder die Details des Exploits überprüfen kann. Da der gesamte Angriff – einschließlich der Registrierung der zweiten Asset-Klasse – atomar in einer Transaktion ausgeführt wurde, kann die On-Chain-Forensik jeden Schritt nachvollziehen, obwohl der Exploit-Contract selbst nicht mehr existiert.
Quelle: Blockonomi
