Safemoon: Audit fördert gravierende Sicherheitsmängel zutage
Safemoon. (Bild: StunningArt / Shutterstock)
Der Memecoin Safemoon hat seit seiner Veröffentlichung schon mehrere parabolische Rallyes sowie massive Kurseinbrüche erlebt. Mit einem marketingwirksamen Namen und einer kreativen Token-Ökonomie versucht Safemoon an den Erfolg des Memecoins Dogecoin anzuknüpfen. Was ihm auch – zumindest teilweise – gelungen ist. Mit einer Marktkapitalisierung von rund 2,6 Milliarden US-Dollar rangiert der erst Anfang März lancierte Altcoin auf Rang 49 der kapitalstärksten Kryptonetzwerke. Auch wenn Safemoon sich wieder deutlich von seinem am 11. März aufgestellten Kursrekord entfernt hat, handelt der Token zu Redaktionsschluss mit 0.00001094 Dollar noch immer knapp 10.000 Prozent über seinem All-Time-Low vom 14. März. Ein Smart-Contract-Audit der Defi-Sicherheitsfirma Hash-Ex hat nun einige teils gravierende Sicherheitsmängel in Smart Contracts von Safemoon ermittelt.
Wie sicher ist Safemoon?
Ganze zwölf Schwachstellen von unterschiedlichem Bedrohungspotenzial präsentiert Hash-Ex in seinem Abschlussbericht zum Audit der Safemoon-Smart-Contracts. Zwei der Sicherheitslücken stuft Hash-Ex dabei als „kritisch“ ein, zwei erhalten das Prädikat „hoch unsicher“. Die restlichen acht Schwachstellen sind von „mittlerer“ bis „niedriger“ Gefahr. Die aufgedeckten Sicherheitslücken können es Angreifern unter anderem ermöglichen, Provisionen für SAFEMOON-Token auf bis zu 100 Prozent festzulegen und Token-Transfers vorübergehend zu blockieren. Letzteres hat seinen Grund in dem Umstand, dass der Smart Contract für den SAFEMOON-Token einer einzelnen externen Entität zugeordnet ist.
„Zum Zeitpunkt der Prüfung ist der Eigentümer des Token-Kontrakts auf ein EOA-Konto (externes Konto) festgelegt, was hohe Risiken für Token-Inhaber mit sich bringt, da ein Angreifer bei einer Kompromittierung des Eigentümer-Kontos die Token-Funktionalität vollständig unterbrechen kann (zum Beispiel durch Blockieren jeglicher Überweisungen).“
Anders gesagt: Safemoon-Holder müssen blind darauf vertrauen, dass der Eigentümer des Smart Contracts ehrlich ist und/oder seinen Zugriff auf den Smart Contract vor böswilligen Dritten schützt.
Eine weitere Schwachstelle sieht Hash-Ex in der Funktion „Renounce Ownership“ des Safemoon-Smart-Contracts. Die Funktion dient dem Ersteller eines Smart Contracts normalerweise dazu, den Zugriff auf den Smart Contract an einen anderen Besitzer beziehungsweise die Community zu übergeben. Bei Safemoon lässt sich laut Hash-Ex nicht ermitteln, ob der Besitzer eines Smart Contracts seine Inhaberschaft für immer oder nur temporär abgegeben hat. Dadurch entsteht eine Backdoor, vor der Mitte März bereits ein Reddit-Nutzer gewarnt hat.
CTO bittet um Vertrauensvorschuss
Die Möglichkeit eines Rug Pulls besteht damit für Safemoon, solange die Funds maßgeblich von einer einzelnen Wallet kontrolliert werden. Safemoon CTO Thomas Smith beteuert unterdessen, dass man nicht die Absicht habe, die Kontrolle über das Protokoll aus der Hand zu geben.
„Was die anderen Themen angeht, wie etwa die Möglichkeit des Ownership Renounce […], so werden wir niemals verzichten und haben unsere Haltung dazu in der Vergangenheit deutlich gemacht. Intern haben wir Richtlinien und Verfahren, wie der Vertrag funktioniert, um das Risiko einer falschen Handhabung von Werten zu verringern, aber wir werden niemals die Gebühren oder maxTx [maximale Transaktionen] ändern“, so Smith gegenüber dem Krypto-Blog Bitcoinist. Damit bleibt Safemoon ein hochgradig zentralisiertes Projekt – inklusiver aller Risiken und Nebenwirkungen.
Autor des Artikels ist Christopher Klee.
Bitte beachte unsere Community-Richtlinien
Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.
Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.
Dein t3n-Team
Den Artikel sollte man kritisch betrachten.
SafeMoon wurde kürzlich CERTIK-Zertifiziert und ist mit Rang #24 und einem Score von 85 definitiv gut dabei.
CERTIK bestätigt, dass es keine kritischen Lücken gibt.
Die einzige „Major“-„Sicherheitslücke“ bezieht sich auf die riesige Wallet auf die die Devs Zugriff haben.
Das wurde aber von vornerein kommuniziert, es gibt neben der Burn-Wallet (die für die Liquidität und die Tokenomics bestehen muss) noch eine Dev-Wallet, in die 2.5% der Transaktionskosten gehen und die gewährleisten soll, dass die Weiterentwicklung definitiv refinanziert werden kann, diese Wallet ist aber auch für die nächsten 4 Jahre „locked“, auch die Devs haben hierauf in diesem Zeitraum keinen Zugriff.
Wäre super, wenn der Artikel diesbezüglich aktualisiert würde und auch die Headline nicht vermuten ließe, dass das Projekt sehr unsicher sei.
Vielen Dank schonmal