Eine Sicherheitslücke, die seit 2023 unbemerkt in einem Smart Contract von Secret Network schlummerte, hat den Nutzern diesen Monat 4,67 Millionen Dollar gekostet – eine erneute Erinnerung daran, dass Cross-Chain-Brücken nach wie vor die am häufigsten ausgenutzte Angriffsfläche in der Kryptowelt sind.
Der Angriff zielte auf die IBC-Verbindung zwischen Axelar und Secret Network ab, zwei interoperablen Cosmos-Chains. Am 10. Juni entdeckte ein Angreifer, dass der Vertrag, der die Transfers zwischen den beiden Netzwerken regelt, nie überprüfte, über welchen Kanal eine eingehende Einzahlung tatsächlich erfolgte; er glich lediglich den Namen des Tokens mit einer genehmigten Liste ab.
Diese Lücke ermöglichte es dem Angreifer, eine unabhängige Kette mit einem einzigen Validator zu starten, einen nicht autorisierten Kanal zum Secret-seitigen Vertrag zu öffnen und gefälschte Einzahlungen selbst weiterzuleiten, wodurch echte, einlösbare saTokens ohne Deckung geprägt wurden.
Wie sich die Geldwäschespur entfaltete
Sobald die Token geprägt waren, löste der Angreifer die gefälschten saUSDT, saUSDC und fünf weitere „wrapped“ Vermögenswerte über den legitimen Axelar-Kanal ein und entzog so die echten, in Treuhand gehaltenen Reserven.
Die Erlöse wurden über Osmosis an Ethereum weitergeleitet, wo sie über das CoW-Protokoll in ETH umgetauscht, auf etwa 30 Wallets aufgeteilt und schließlich auf KuCoin, ChangeNow und HitBTC geschleust wurden.
Axelar gab an, die Unstimmigkeit am 17. Juni, neun Tage nach dem Angriff, entdeckt zu haben, als eine routinemäßige kettenübergreifende Überweisung fehlschlug, weil das Treuhandkonto nicht mehr genügend Token enthielt, um sie zu decken.
Die Ermittler führten den Fehlbetrag auf sieben ungewöhnliche Transaktionen vom 10. Juni zurück und deaktivierten die Secret-Verbindung innerhalb weniger Stunden. Das Unternehmen betont, dass sein Kernprotokoll und andere Integrationen nicht betroffen waren und sich der Schaden auf Vermögenswerte beschränkte, die speziell für die Secret-Axelar-Route „verpackt“ worden waren.
Eine bekannte Schwachstelle
Der Vorfall reiht sich in eine kostspielige Serie ein. Brücken, die auf einer ähnlichen „Lock-and-Mint“-Logik basieren, haben in diesem Jahr bereits mehr als 340 Millionen Dollar durch vergleichbare Schwachstellen verloren, darunter der 25-Millionen-Dollar-Hack bei Resolv, der 11-Millionen-Dollar-Verlust bei Verus und ein 4-Millionen-Dollar-Schaden bei IoTeX.
In jedem Fall fanden die Angreifer Lücken in den Prüfmechanismen, die sicherstellen sollten, dass die geprägten Token tatsächlich durch gesperrte Sicherheiten gedeckt waren.
Trotz des Angriffs fiel die Reaktion des Marktes verhalten aus. Der Kurs der Axelar (AXL)-Coin gab laut CoinMarketCap an diesem Tag nur um 2,2 % nach, während Secret (SCRT) stabil blieb und weniger als 1 % verlor. Das ist eine verhaltenere Reaktion als bei früheren Bridge-Hacks, was darauf hindeutet, dass Händler die Behauptung von Axelar, das „Kernprotokoll sei nicht betroffen“, vorerst für bare Münze nehmen.
Axelar gibt an, mit Börsen und Strafverfolgungsbehörden zusammenzuarbeiten, um die gestohlenen Gelder aufzuspüren, und bereitet eine umfassende Nachbetrachtung vor. Ein Zeitplan für die Wiederherstellung der Secret-Verbindung wurde noch nicht genannt.
WEITERLESEN: Warum bricht der Kryptomarkt ein, während US-Indizes wie der Nasdaq 100 und der S&P 500 steigen?
