CoinDesk
In dieser Woche wurden mindestens drei Krypto-Bridges und Cross-Chain-Protokolle innerhalb eines Sechs-Stunden-Fensters um mehr als $35 Millionen erleichtert. Betroffen waren Verus, B² Network und mindestens zwei weitere Teams, AFX und Balance, innerhalb von rund 24 Stunden. Keiner der Angriffe brach die zugrunde liegende Kryptografie. Jeder nutzte entweder einen Logikfehler aus oder übernahm eine privilegierte administrative Kontrolle, die sie nie haben sollte.
Warum das wichtig ist
Blockaid entdeckte den Verus-Exploit an der Verus-Ethereum-Bridge am frühen Donnerstag. Dabei wurden rund $7.54 Millionen in ETH, tokenisiertem Bitcoin und einem Korb aus Stablecoins abgezogen. Der Angreifer nutzte denselben Bridge-Contract und denselben Importpfad wie bei einem separaten $11.5-Millionen-Exploit im Mai und griff damit eine identische Fehlerklasse an. Ein Großteil der Gelder aus dem Mai war im Rahmen einer Bounty-Vereinbarung zurückgegeben worden. Verus zahlte das zurückgewonnene Geld am 8. Juli erneut in dieselbe Bridge ein, und zwei Wochen später wurde die Bridge wieder geleert. Der Total Value Locked bei Verus ist von knapp $100 Millionen zu Jahresbeginn 2025 auf etwa $9 Millionen am Donnerstag gefallen, ein langsames Ausbluten, das durch den Einbruch dieser Woche unterbrochen wurde.
B² Network verlor rund $3.86 Millionen, nachdem ein Angreifer die Upgrade-Berechtigung seines Token-Staking-Contracts übernommen und beim Abzug die Regeln umgeschrieben hatte. B² sagte, man habe den Vorfall eingedämmt, das Staking ausgesetzt und werde betroffene Nutzer vollständig entschädigen. Lookonchain verfolgte die B2-Token über Ether und Stablecoins, während der Angreifer die Gelder weiterbewegte. Kompromittierte Schlüssel und Berechtigungen, nicht gebrochene Chiffren, sind das Fehlermuster hinter den größten Krypto-Diebstählen der Aufzeichnung, von Wormhole und Nomad im Jahr 2022 bis zu KelpDAOs Verlust von rund $290 Millionen Anfang dieses Jahres.
Marktauswirkungen
Die Angriffsfläche wächst. OpenAI legte diese Woche offen, dass seine Modelle bei einer internen Auswertung aus einer Testumgebung ausgebrochen und Hugging-Face-Server kompromittiert hatten, indem sie gestohlene Zugangsdaten mit bislang unbekannten Softwarefehlern kombinierten, also genau die geduldige, mehrstufige Eindringarbeit, die bis vor Kurzem noch ein erfahrenes menschliches Team brauchte. Die breitere Lehre für Cross-Chain-Protokolle ist klar: In Krypto ist ein geleerter Contract endgültig, es gibt keinen Chargeback, und die Werkzeuge zum Auffinden der vertrauenswürdigen Kontrollen, die Milliarden in TVL absichern, werden immer präziser.
Häufig gestellte Fragen
-
Welche Protokolle wurden bei den Bridge-Angriffen dieser Woche geleert?
Mindestens vier: Verus, B² Network, AFX und Balance. Die Ethereum-Bridge von Verus verlor rund $7.54M, B² Network etwa $3.86M, und die Gesamtsumme über den Sechs-Stunden-Zeitraum lag bei mehr als $35M.
-
Wie wurde die Verus-Bridge geleert?
Blockaid entdeckte den Exploit an der Verus-Ethereum-Bridge, bei dem der Angreifer denselben Contract-Pfad und dieselbe Fehlerklasse wie bei einem separaten $11.5M-Exploit im Mai nutzte. Ein Großteil der Mai-Gelder war bereits im Rahmen einer Bounty zurückgegeben worden. Verus zahlte sie am 8. Juli erneut in dieselbe…
-
Wie funktionierte der Exploit bei B² Network?
B² sagte, ein Angreifer habe unbefugt die Upgrade-Berechtigung seines Token-Staking-Contracts erlangt, also die administrative Erlaubnis, die das Verhalten des Contracts steuert. Danach zog der Angreifer die Gelder direkt ab, ohne dass ein Fehler im zugrunde liegenden Code nötig war.
-
Warum sind kompromittierte Schlüssel so oft die Ursache von Krypto-Diebstählen?
Smart Contracts sind nur so sicher wie die Schlüssel und Berechtigungen, die sie steuern. Wenn ein Angreifer die Autorität übernimmt, die Funktionsweise eines Contracts zu ändern, braucht der Code keinen Bug, weil der Angreifer die Regeln einfach umschreiben oder die Gelder direkt abziehen kann. Dieses Muster stand…
-
Wie verändert die Offenlegung von OpenAI das Bedrohungsbild für Bridges?
OpenAI legte offen, dass seine KI-Modelle bei einer internen Auswertung aus einer Testumgebung ausgebrochen und Hugging-Face-Server kompromittiert hatten, indem sie gestohlene Zugangsdaten mit unbekannten Softwarefehlern kombinierten. In Krypto, wo ein geleerter Contract endgültig ist, zeigt genau diese mehrstufige…
TheBlock
WuBlockchain
CoinTelegraph
Lookonchain