BounceBit schaltet seine Layer-1-Blockchain dauerhaft ab, nachdem eine Autorisierungslücke einem Angreifer ermöglicht hatte, rund 3 Millionen US-Dollar an BB-Token aus neun Mainnet-Konten ohne Zustimmung der Eigentümer zu verschieben.

Der Angreifer führte zwischen dem 19. August um 21:02 UTC und dem 20. August um 01:54 UTC 14 unbefugte Transaktionen aus und übertrug dabei 286.543.148 BB, bevor das Netzwerk gestoppt wurde. Die Blockproduktion endete am 20. August um 02:36:37 UTC bei Blockhöhe 20.702.857.

Laut dem Team wurden keine privaten Schlüssel offengelegt und keine Signaturen gefälscht. Benutzer-Wallets, Hardware-Geräte und Börsenkonten wurden nicht kompromittiert. BounceBits Produkte CeDeFi Strategy, Promo Vaults, Prime und Real-World-Assets werden getrennt von der betroffenen Layer-1-Infrastruktur betrieben und blieben unberührt.

BounceBit hatte dieses Mainnet 2024 als Bitcoin-„CeDeFi“-Netzwerk gestartet, das Renditen aus zentralisierten Finanzprodukten mit On-Chain-Produkten kombinierte. Der BB-Token debütierte im Mai desselben Jahres über das Launchpool-Programm von Binance; zu den frühen Unterstützern zählten Binance Labs und Blockchain Capital.

Da die Blockproduktion eingestellt wurde, können auf der BounceBit Chain keine Transaktionen mehr abgewickelt werden, sodass die auf einem Snapshot beruhende Neuausgabe der einzige Weg ist, die Guthaben der Inhaber fortzuführen.

Von Evmos geerbte Autorisierungslücke

Der Exploit beruhte auf einer Autorisierungslücke in einem nativen Modul, das aus dem von der BounceBit Chain genutzten Evmos-Technologie-Stack übernommen wurde. Die Lücke ermöglichte es dem Aufrufer eines Smart Contracts, ein anderes Konto als Quelle der Mittel festzulegen, ohne dass das Modul ordnungsgemäß überprüfte, ob dieses Konto die Transaktion autorisiert hatte.

Damit handelt es sich bei dem Vorfall um einen Autorisierungsfehler auf Protokollebene der BounceBit Chain und nicht um eine kompromittierte Wallet oder einen Angriff mit gestohlenen Schlüsseln.

Das Team strebte zunächst eine Reparatur des Netzwerks an; eine Mitteilung vom 20. August skizzierte ein geplantes Chain-Upgrade. Der Wiederherstellungsplan wurde später zugunsten einer dauerhaften Einstellung der Layer 1 aufgegeben. Evmos – ein auf dem Cosmos SDK basierendes Netzwerk, das für den Betrieb Ethereum-kompatibler Smart Contracts entwickelt wurde – stellte selbst im Mai nach einem Governance-Beschluss zur Einstellung den Netzbetrieb ein, was die weitere Wartung des zugrunde liegenden Stacks erheblich erschwerte.

BounceBit geht damit einen anderen Wiederherstellungsweg als Netzwerke, die nach einem Exploit Fehler beheben und neu starten. THORChain beispielsweise schloss im Mai nach seinem Vault-Exploit in Höhe von 10,7 Millionen US-Dollar einen stufenweisen Neustart des Netzwerks ab.

BB wird anhand eines Snapshots vor dem Exploit neu ausgegeben

Stattdessen wird BB zu einem BEP-20-Token auf der BNB Chain, dem Standard dieses Netzwerks für fungible Token und dem Äquivalent zu Ethereums ERC-20. Die neuen Guthaben beruhen auf einem Snapshot, der am 19. August um 21:02:35 UTC im Block 20.697.260 erstellt wurde – unmittelbar vor der ersten unbefugten Transaktion.

Die 286.543.148 BB des Angreifers werden von der Ersatzausgabe ausgeschlossen. Legitime Guthaben werden automatisch auf den entsprechenden BNB-Chain-Adressen wiederhergestellt, einschließlich BB aus Staking- und Unbonding-Positionen. Inhaber müssen weder ihre Wallets migrieren noch einen Antrag stellen noch Ersatz-Token manuell beanspruchen.

BounceBit koordiniert sich außerdem mit zentralisierten Börsen hinsichtlich Kundenguthaben und Einzahlungskontrollen. Derzeit gibt es weder eine offizielle Claim-Website noch ein Antragsformular für die Migration, und Inhaber wurden gewarnt, Links zu meiden, die eine Wallet-Verifizierung oder eine Token-Migration verlangen.

Die Verlagerung bringt BB direkt auf ein Netzwerk, das bereits zentraler Schauplatz eines Großteils der Aktivitäten von BounceBit ist. Die BNB Chain verzeichnete in diesem Jahr zudem mehrere nicht zusammenhängende Sicherheitsvorfälle auf Token-Ebene, darunter zuletzt den B²-Token-Diebstahl; der BounceBit-Exploit ereignete sich jedoch auf der eigenen, auf Evmos basierenden Layer 1 des Projekts und nicht auf der BNB Chain.

BB notiert nach dem Exploit nahe 0,01 US-Dollar

BB notierte am Samstag nahe 0,0103 US-Dollar, mit einem 24-Stunden-Handelsvolumen von rund 89,7 Millionen US-Dollar und einer Marktkapitalisierung von etwa 12,8 Millionen US-Dollar, laut CoinMarketCap. Der Token fiel am 20. August im Zuge des Exploits und der Netzwerkstörung auf ein Allzeittief von 0,00804 US-Dollar. Die aktuellen Kurse entsprechen nur einem Bruchteil des Niveaus, zu dem BB in den Monaten nach seinem Listing Mitte 2024 gehandelt wurde.

BounceBit wird die neue BEP-20-Vertragsadresse über seine offiziellen Kanäle bekanntgeben, sobald die Bereitstellung abgeschlossen ist. Zu den noch ausstehenden Schritten gehören die automatische Wiederherstellung der Guthaben und die Frage, wie zentralisierte Börsen unter den abgestimmten Kontrollen mit Einzahlungen des neu ausgegebenen Tokens verfahren. Bis dahin haben bestehende Inhaber keine Migrations-Transaktion und keinen Claim-Prozess abzuschließen.