Ankr's Ethereum-Cross-Chain-Bridge verlor am 9. November rund 304.500 $, nachdem ein Angreifer fünf betrügerische Auszahlungsanfragen stellte, die auf einer bereits auf Optimism abgeschlossenen Einzahlung basierten.

Das Blockchain-Sicherheitsunternehmen Blockaid identifizierte den Angriff zuerst und bezifferte die anfänglichen Verluste auf 292.000 $. SlowMist erhöhte die Schätzung anschließend auf rund 304.500 $ und führte den Diebstahl auf gefälschte Cross-Chain-Belege zurück, die die Autorisierungsprüfungen der Bridge passierten, obwohl sie manipulierte Transaktionsdetails enthielten.

Der Angreifer verwendete eine legitime Einzahlung vom 3. November in Höhe von rund 0,0044 ankrETH auf Optimism erneut. Obwohl diese Übertragung bereits auf Ethereum eingelöst worden war, wurde ihre Transaktionsreferenz wiederverwendet, um fünf weitere Abhebungen mit unterschiedlichen Assets, Empfängern und Beträgen zu autorisieren. Die fünf Abhebungen wurden innerhalb von etwa drei Minuten ausgeführt und verlagerten den verfügbaren Bestand der Bridge an mehreren Token in eine vom Angreifer kontrollierte Wallet. Das Wiederverwendungsmuster deutet auf eine strukturelle Schwachstelle im Bridging-Design hin: Wenn Auszahlungen allein auf Grundlage eines Belegs genehmigt werden, kann eine einzige abgeschlossene Einzahlungsreferenz mehrere Ansprüche unterstützen, sofern die prüfenden Seiten nicht jede Anfrage anhand der Aufzeichnungen der Quell-Chain bestätigen.

Fünf gefälschte Abhebungen leeren die Reserven der Bridge

On-Chain-Aufzeichnungen zeigen, dass der Angreifer rund 82,91 ankrETH, 515.206 ankrPOL und 7,98 Millionen ANKR-Token entnahm. Zwei weitere Abhebungen entfernten etwa 5.372 Polygon-Staking-Token und 0,82 aETHb.

PeckShield verfolgte die gestohlenen Assets, schätzte den anfänglichen Verlust auf etwa 286.000 $ und berichtete, dass ein Großteil der Erlöse in rund 103 ETH im damaligen Wert von etwa 217.000 $ umgewandelt wurde. Die unterschiedlichen Verlustschätzungen ergeben sich aus abweichenden Token-Bewertungen und dem Zeitpunkt der jeweiligen Bewertung.

SlowMist identifizierte die zentrale Schwachstelle im Auszahlungsautorisierungsprozess der Bridge. Obwohl sich alle fünf Belege auf dieselbe ursprüngliche Optimism-Transaktion bezogen, enthielt jeder veränderte Überweisungsdetails und trug eine gültige Signatur des vertrauenswürdigen Konsens-Signers der Bridge. Diese Signaturen erlaubten es der withdraw()-Funktion der Bridge, Assets freizugeben, ohne unabhängig zu prüfen, ob die behaupteten Abhebungen echten Einzahlungen auf der Quell-Chain entsprachen.

Die Bridge-Architektur von Ankr basiert auf einem Notarisierungsprozess, bei dem Einzahlungstransaktionen autorisiert werden, bevor die entsprechenden Assets in einem anderen Netzwerk freigegeben werden können. Dieses Vertrauen auf eine vertrauenswürdige Signierungsschicht ist in der Cross-Chain-Infrastruktur weit verbreitet – und genau deshalb bestimmt die Strenge der verifikation auf der Zielseite, nicht die Größe einzelner Einzahlungen, wie viel Wert einer einzelnen genehmigten Auszahlung ausgesetzt ist.

Wie der Angreifer an gültige Signaturen gelangte, ist weiterhin ungeklärt. SlowMist hat nicht bestätigt, ob Signatur-Zugangsdaten kompromittiert wurden oder ob die Autorisierungsinfrastruktur manipuliert wurde.

Frühere Überweisungen von Operator-Wallets werfen Fragen auf

Blockaid meldete auch verdächtige Geldbewegungen unter Wallets, die mit den Aktivitäten von Ankr auf Ethereum, Arbitrum und Linea in Verbindung stehen. Mehrere Stunden vor den Bridge-Abhebungen wurden Mittel aus diesen Wallets auf eine separate Adresse gebündelt und später zur Finanzierung des Kontos verwendet, das den Exploit ausführte.

Der Zusammenhang zwischen diesen Überweisungen und den unbefugten Signaturen ist weiterhin unbestätigt, und die Ermittler haben nicht geklärt, ob die Aktivität kompromittierte Zugangsdaten oder eine andere Angriffsmethode umfasste.

Frühere Vorfälle und Status der Bridge

Der Exploit folgt auf einen separaten Vorfall beim Liquid-Staking-Vertrag von Ankr im August, als eine Schwachstelle in ankrFLOW die Erstellung ungedeckter Token ermöglichte und zu Verlusten von rund 410.000 $ bei MORE Markets führte. Eine ähnliche Cross-Chain-Autorisierungspanne betraf Ende Oktober auch die zkLink-Nova-Bridge und resultierte in unbefugten Abhebungen von rund 786.000 $.

Die Ethereum-Bridge von Ankr blieb nach dem Angriff am 9. November zunächst unpausiert, doch spätere On-Chain-Aufzeichnungen zeigen, dass die Abhebungen gegen 09:51 UTC an jenem Morgen ausgesetzt wurden. Ankr hatte zum Zeitpunkt der Berichterstattung neither eine öffentliche Erklärung zu dem Vorfall abgegeben noch einen Wiederherstellungsplan angekündigt. Die Herkunft der akzeptierten Signaturen, die endgültigen finanziellen Verluste und eine mögliche Entschädigung der betroffenen Nutzer bleiben unbestätigt. Da die Abhebungen ausgesetzt sind und eine offizielle Erklärung zu den akzeptierten Signaturen noch aussteht, sind die wichtigsten kurzfristigen Indikatoren die Stellungnahme von Ankr und ein möglicher Wiederherstellungs- oder Entschädigungsplan, die Dauer der Aussetzung der Abhebungen sowie aktualisierte Tracing- oder Verlustangaben der Sicherheitsunternehmen, die die rund 103 ETH in umgewandelten Erlösen verfolgen.

Quelle: Crypto Adventure