Das Blockchain-Sicherheitsunternehmen Blockaid hat einen laufenden Exploit gegen Ankr's Ethereum-Cross-Chain-Bridge entdeckt. In einer am 9. November 2026 veröffentlichten Warnung meldete das Unternehmen, dass ein Angreifer rund 292.000 $ aus der Bridge durch fünf unbefugte Abhebungen abgezogen habe – und warnte, dass der Angriff zum Zeitpunkt der Veröffentlichung noch im Gange war.

🚨Blockaid detected an ongoing exploit on @ankr on Ethereum. An attacker submitted five withdraw calls on Ankr's Ethereum cross-chain bridge, using a tiny Optimism deposit to unlock the bridge's full locked inventory to a new wallet. ~$292k drained from the bridge so far across ~5 txs. Attack still ongoing. 🧵

— Blockaid (@blockaid_) November 9, 2026

Der Vorfall wirft Fragen auf, wie die Bridge Cross-Chain-Transaktionen verifiziert und Asset-Freigaben gewährt. Cross-Chain-Bridges zählen seit langem zu den am häufigsten angegriffenen Infrastrukturen des Sektors: Sie halten große Pools gesperrter Assets gleichzeitig für zwei Netzwerke, und einige der größten Exploits in der Geschichte der Kryptowährungen betrafen Bridges. Diese Bilanz ist der Grund, warum Sicherheitsunternehmen Bridge-Verträge kontinuierlich überwachen und warum selbst ein Abzug in sechsstelliger Höhe eine sofortige öffentliche Warnung auslöst.

Eine Optimism-Einzahlung mit fünf Abhebungen verknüpft

Laut Blockaid tätigte der Angreifer fünf Abhebungsaufforderungen auf Ankr's Ethereum-Bridge. Diese Transaktionen beinhalteten Berichten zufolge die Einzahlung eines kleinen Betrags von Optimism, der anschließend genutzt wurde, um Assets aus dem Ethereum-Bridge-Vertrag freizugeben. Das Sicherheitsunternehmen schätzte den Gesamtverlust auf rund 292.000 $ über etwa fünf Transaktionen, wobei die Erlöse an eine neu erstellte Abhebungs-Wallet gesendet wurden.

Die gestohlenen Gelder beschränkten sich nicht auf ein einzelnes Asset. Stattdessen umfassten sie mehrere Token, darunter Ankr-bezogene Liquid-Staking-Token und ANKR, die native Kryptowährung von Ankr.

Im Normalbetrieb gibt eine Cross-Chain-Bridge Assets auf einer Kette frei, nachdem auf der Ursprungskette eine Einzahlung erfolgt ist. Wenn dieselbe Transaktion als Nachweis der Autorisierung für eine weitere Abhebung vorgelegt werden kann, könnte eine einzelne Einzahlung potenziell mehrfach wiederverwendet werden. Blockaid's erste Warnung ging nicht auf die genaue technische Schwachstelle ein und erklärte nicht, wie der Angreifer die Autorisierungskontrollen der Bridge umgangen hatte; das Muster deutet jedoch auf ein Versagen des Verifizierungsschritts hin, der der Asset-Freigabe vorausgeht.

Ankr-Operator-Wallets vor dem Angriff geleert

Auch die On-Chain-Aktivität im Vorfeld der Abhebungen prägte den Vorfall. Blockaid berichtete, dass zwischen 02:08 und 04:06 UTC mehrere Ankr-Operator-Wallets auf Ethereum, Arbitrum und Linea geleert und die Gelder in eine einzige Konsolidierungs-Wallet eingezahlt wurden.

Der Angreifer transagierte anschließend mit dieser Wallet, um die Gebühr für den Relayer zu zahlen, der die Transaktionen an die Bridge übermittelte. Die Abfolge legt nahe, dass die Operation erst durchgeführt wurde, nachdem der Angreifer die erforderliche Transaktionsinfrastruktur vorbereitet hatte. Die Wallet-Bewegungen allein zeigen jedoch nicht, wie der Zugriff auf die Operator-Wallets erlangt wurde oder ob deren Private Keys kompromittiert wurden.

Fünf Transaktionen zielten auf die Ethereum-Bridge

Blockaid identifizierte zwei Exploit-Adressen und teilte eine Beispieltransaktion mit dem kompromittierten Bridge-Vertrag. Alle Abhebungen zielten auf dieselbe Ethereum-Bridge, und das abgezogene Kapital wurde an die Abhebungs-Wallet des Angreifers gesendet.

Der gemeldete Verlust entspricht dem zum Zeitpunkt der Blockaid-Warnung abgezogenen Betrag, nicht einer endgültigen Bilanz des Vorfalls. Dieser Unterschied ist erheblich, da der Angriff noch aktiv war, als das Sicherheitsunternehmen Alarm schlug. Die endgültigen Verluste könnten sich durch weitere Transaktionen sowie Preisveränderungen der betroffenen Token ändern.

Da der Exploit zum Zeitpunkt der Warnung noch offen war, sind die unmittelbar zu beobachtenden Entwicklungen eine korrigierte Verlustbilanz, eine technische Offenlegung, die erklärt, wie eine einzige kleine Einzahlung das Inventar der Bridge freigeben konnte, sowie eine mögliche operative Reaktion von Ankr selbst. Blockaid kennzeichnete seine Warnung als Beginn eines Threads, was darauf hindeutet, dass weitere Details zum Vorfall folgen könnten.

Der Vorfall stellt die Cross-Chain-Verifizierung auf den Prüfstand. Bridges sind auf zuverlässige Kommunikation zwischen Netzwerken angewiesen, und ihre Sicherheit beruht auf der korrekten Validierung von Einzahlungen, Nachrichten und Abhebungsberechtigungen. Ein Versagen in jedem Teil dieses Prozesses kann Assets offenlegen, die in Bridge-Verträgen gehalten werden – selbst wenn die ursprüngliche Einzahlung selbst legitim ist.