Ausgetauschte Verträge: Wie ein gefälschter Klon eines bekannten DeFi-Protokolls 10,8 Mio. USD abzog (Compounder Finance)

Compounder Finance tarnte sich als Klon bereits bewährter und vertrauenswürdiger DeFi-Protokolle – Compound, Harvest und Yearn. Die Entwickler stellten zunächst auditierte Verträge bereit, gewannen damit das Vertrauen der Nutzer, tauschten sie dann unbemerkt gegen versteckt bösartige Versionen aus und zogen 10,8 Mio. USD an Nutzergeldern ab. Dieser Fall wurde zu einem der eindrücklichsten Belege dafür, dass selbst ein bestandenes Audit die Sicherheit eines Smart Contracts auf lange Sicht nicht garantiert.

Das Projekt startete am 9. November 2020 und positionierte sich als Rendite-Aggregator nach dem Vorbild bereits bekannter und bewährter Protokolle – Compound, Harvest Finance und Yearn Finance. Die Grundlage der Plattform bildeten sogenannte Strategy-Verträge, die ein Audit des Unternehmens Solidity Finance durchlaufen hatten – dieser Umstand wurde öffentlich als Beweis für die Sicherheit der Plattform genutzt und veranlasste Nutzer dazu, Geld anzulegen.

Im Code war jedoch eine Funktion angelegt, die durch einen öffentlichen, faktisch aber von niemandem überwachten 24-Stunden-Timelock geschützt war und es den Entwicklern erlaubte, die legitimen auditierten Strategy-Verträge jederzeit gegen bösartige "Evil Strategy"-Versionen auszutauschen, die in der Lage waren, die von den Nutzern hinterlegten Gelder abzuziehen. Der Auditor Solidity Finance war bereits Mitte November auf die verdächtige Timelock-Funktion aufmerksam geworden und hatte das Entwicklerteam darüber informiert, doch es wurden keinerlei korrigierende Maßnahmen ergriffen.

Am 1. Dezember 2020, etwa drei Wochen nach dem Start, als sich auf der Plattform eine ausreichende Geldsumme angesammelt hatte, aktivierten die Entwickler den Austausch der Verträge und leiteten die Einlagen der Nutzer auf eigene Wallets um: etwa 750.000 USD in Wrapped Bitcoin, 4,8 Mio. USD in Ether, 5 Mio. USD in Dai sowie kleinere Beträge anderer Token – insgesamt 10,8 Mio. USD. Der projekteigene Token CP3R stürzte am selben Tag um etwa 98,8 % ab.

Die Entwickler verschwanden anonym; keine einzige Person aus dem Team wurde je identifiziert, es wurden keine Strafverfahren eingeleitet, und eine Rückerstattung der Gelder an die Nutzer ist nicht dokumentiert.

Veröffentlicht am 21. Juni 2026