Introduktion till The New Gold Protocol
Det AI-drivna och självbeskrivna ”DeFi 3.0” stakingprotokollet The New Gold Protocol, som byggdes med hållbarhet i fokus, hackades timmar efter lanseringen den 18 september 2025. Hackaren utnyttjade två designbrister i NGP. Denna händelse visar hur bristande säkerhet i protokollens design kan fördöma ett projekt redan från start.
Protokollets syfte och design
The New Gold Protocol är ett stakingprotokoll som är byggt ovanpå BNB-blockkedjan. Ett av de problem som The New Gold Protocol syftar till att lösa är ”bristen på prissättningsregler.” Enligt vitboken ”saknar många DeFi-protokoll standardiserade mekanismer för beteendeprissättning, vilket resulterar i volatilitet och oordning.” Det ”nästa generationens DeFi 3.0” New Gold Protocol var avsett att överträffa konkurrenter som saknar inneboende intäkter och vars styrningsmodeller är ineffektiva.
NGP-teamet strävade efter att uppnå transparens, rättvisa och hållbarhet genom AI-optimering. Skalbar, transparent och tidsmedveten — New Gold Protocol sätter en ny standard för stakingprotokoll.
Hackningen av The New Gold Protocol
The New Gold Protocol strävade efter att skapa en inkluderande stakingplattform med en transparent och automatiserad miljö som upprätthålls via smarta kontrakt. Genom tokenbränningar främjade NGP sin inhemska token som deflationär. Det lovade verkliga avkastningar istället för inflationsdrivna och spekulativa incitament. NGP:s vitbok föreslog att transparens säkerställer ansvarsskyldighet, men det visade sig vara otillräckligt.
Hackningen inträffade strax efter lanseringen av NGP-token. Mängden NGP-tokens som kunde köpas var begränsad för att förhindra prisinflationattacker, men hackaren lyckades kringgå detta skydd.
Enligt analytiker från blockchain-säkerhetsföretaget Hacken hade hackaren sex timmar före attacken ackumulerat ett stort antal tillgångar via flash-lån med olika konton. Flash-lån är en funktion som är populär på DeFi-plattformar och tillåter användare att snabbt låna kryptotillgångar utan säkerhet. Lånade medel kan användas för arbitragehandel, stjäla medel från ett protokoll eller prismanipulation. Som Hacken noterar kan skador orsakade av flash-lånsattacker uppgå till miljontals dollar.
Taktik och konsekvenser av attacken
Angriparen använde en taktik för orakelmanipulation. Protokollet bestämde NGP-tokenpriset genom att skanna sina reserver i DEX:s likviditetspool, vilket gjorde det möjligt för angriparen att manipulera priset. Angriparen började byta BUSD till NGP på PancakePair, vilket snabbt pumpade NGP:s pris.
The New Gold Protocol hade två begränsningar: en köpgräns och en nedkylningsgräns för köpare. Båda dessa begränsningar kringgicks när angriparen använde en ”dEaD”-adress som mottagare. Nästa steg var att tömma nästan alla BUSD-tokens från protokollet genom att sälja NGP, vilket lämnade The New Gold Protocol med nästan inga medel.
Angriparen fick sedan 1,9 miljoner dollar i kryptovaluta och bytte omedelbart medlen till BNB-baserad ETH. Enligt Hacken-teamet inkluderade de följande åtgärderna att sätta in stulna medel till Tornado Cash genom Ethereum som kopplades med Across. Denna åtgärd skickade NGP-priset uppåt samtidigt som den lämnade protokollet med endast en liten mängd medel. Snart föll NGP-tokenpriset med 88%.
Tyvärr, trots ambitiösa planer på att omforma DeFi-sektorn och bygga en hållbar produkt, försummade The New Gold Protocol sin egen säkerhet och drabbades av allvarliga skador.
Företaget har inte kommenterat händelsen. Den senaste tweeten, som publicerades flera timmar före attacken, lyder ”stabilitet möter tillväxt” och framstår nu som ett bittert skämt.
Flash-lånsattacker i DeFi
Så snart flash-lån introducerades blev flash-lånsattacker snabbt en av de taktiker som användes av brottslingar. Den största attacken inträffade i mars 2023, där hackaren lyckades stjäla cirka 197 miljoner dollar i Wrapped Bitcoin, Wrapped Ethereum och andra tillgångar från Euler Finance-protokollet. Hackaren utnyttjade ett fel i plattformens beräkningsränta.
Medlen skickades till en adress som tidigare använts av de beryktade DPRK-hackarna, Lazarus Group. Vad som gjorde detta fall särskilt anmärkningsvärt var att hackaren frivilligt återlämnade alla medel och bad om ursäkt. Andra anmärkningsvärda exempel inkluderar Cream Finance-hacket (130 miljoner dollar stulna 2021) och Polter (12 miljoner dollar stulna 2024).
Ett flash-lån var en del av schemat som användes 2025 för att radera 223 miljoner dollar i kryptovaluta från Cetus-protokollet baserat på Sui.
