Die ICON Foundation erklärte, der Replay-Exploit vom 27. August habe 119.866.000 ICX und 531.600 bnUSD aus von der Stiftung gehaltenen Vermögenswerten freigegeben. Zwei legitime Auszahlungsnachrichten wurden 1.492-mal wiederverwendet, wobei 1.490 Aufrufe erfolgreich waren; Nutzereinlagen, -guthaben oder -positionen wurden nicht angefasst. Der bestätigte Nettoverlust betrug rund 150,2 ETH plus 31.204 USDC, während der Großteil der ICX zurückverfolgt und eingefroren wurde und sich in aktiver Rückgewinnung befindet.
Warum es wichtig ist
Der Fehler änderte einen Teil eines Auszahlungs-Identifikators, ohne die signierte Payload zu verändern. Eine Anpassung zur Standardisierung von Auszahlungsnachrichten auf 32 Byte leitete Teile der Seriennummer durch eine Float64-Logik statt durch exakte Ganzzahlarithmetik. Der Angreifer variierte vorzeichenlose High-Bits, während die Signatur weiterhin die unveränderten unteren 256 Bit verifizierte, wodurch die Eindeutigkeitsprüfung ausgehebelt wurde. Zwei Aufrufe wurden rückgängig gemacht, und jeder erfolgreiche Aufruf schrieb einem Relayer-Wallet gut.
ICON erklärte, der Fehler sei spezifisch für die eigene Implementierung gewesen. Andere unterstützte Chains nutzten Fixed-Width-Integer, die diese Diskrepanz nicht erzeugen konnten. Ein Relay-Audit im November 2025 listete den betroffenen Quellcode des Migrations-Vertrags nicht auf, und keiner seiner neun Befunde kennzeichnete das Seriennummern-Problem.
Marktauswirkungen
Die Freigabe von 119,9 Mio. ICX entspricht nicht dem bestätigten Verlust. ICON erklärte, der Großteil der ICX sei zurückverfolgt, eingefroren und befinde sich in aktiver Rückgewinnung, während bnUSD und SODA vollständig zurückgewonnen wurden. An Börsen gehaltene ICX bleiben unter Vorbehalt, da die genauen gehaltenen, umgewandelten oder ausgezahlten Beträge nicht vorliegen.
Die Überwachung schlug um 02:08 UTC an, der Vertrag wurde jedoch 105 Minuten später pausiert, nachdem ICX bereits begonnen hatte, sich zu Einzahlungsadressen an Börsen zu bewegen. Bitvavo, Bitget und KuCoin setzten ICX-Transfers aus, und das Netzwerk stand für rund 25 Stunden still. Rückgewinnungssummen, Börsenkennzahlen und die Reaktion auf das Audit sind die nächsten wesentlichen Updates.
Häufig gestellte Fragen
-
Wie hoch war der bestätigte Nettoverlust durch den ICON-Exploit?
ICON beziffert den bisherigen Nettoverlust mit rund 150,2 ETH plus 31.204 USDC. Die Freigabe von 119.866.000 ICX entspricht nicht dem bestätigten Verlust, da der Großteil der ICX zurückverfolgt, eingefroren und in aktiver Rückgewinnung ist.
-
Wie ließ der Replay-Fehler dieselben Nachrichten einzigartig erscheinen?
Eine Anpassung zur Standardisierung von Auszahlungsnachrichten auf 32 Byte leitete Teile der Seriennummer durch eine Float64-Logik. Der Angreifer variierte vorzeichenlose High-Bits, während die Signaturprüfung weiterhin die unveränderten unteren 256 Bit abdeckte.
-
Hat der Exploit Nutzereinlagen, -guthaben oder Handelspositionen erreicht?
Nein. ICON erklärte, der Exploit habe von der Stiftung gehaltene Vermögenswerte freigegeben und keine Nutzereinlagen, -guthaben oder -positionen angefasst.
-
Wie lange brauchte ICON, um den betroffenen Vertrag zu pausieren?
Die Überwachung schlug um 02:08 UTC an, der betroffene Vertrag wurde um 03:53 pausiert, 105 Minuten nach dem Alarm. Das Netzwerk stand später rund 25 Stunden still.
-
Was bleibt bei der ICX-Rückgewinnung ungewiss?
Die an Börsen gehaltenen ICX-Bestände bleiben unter Vorbehalt, da genaue Angaben zu gehaltenen, umgewandelten oder ausgezahlten Beträgen fehlen. ICON erklärte, bnUSD und SODA seien vollständig zurückgewonnen, während der Großteil der ICX zurückverfolgt, eingefroren und in aktiver Rückgewinnung sei.
TheBlock
CoinDesk
CoinTelegraph
WuBlockchain