Hacker stahlen mehr als 31,6 Mio. USD bei zwei nicht miteinander verbundenen Krypto-Bridge-Exploits, die nur wenige Stunden auseinander lagen und sich gegen Bridges richteten, die von der dezentralen Perpetual-Börse AFX und dem Verus Protocol betrieben werden.

Laut Blockaid verlor AFX, eine auf Arbitrum operierende dezentrale Perpetual-Börse, am Mittwoch Berichten zufolge 24,15 Mio. USD, nachdem eine seiner Cross-Chain-Bridges ins Visier genommen worden war. Stunden später erklärte Blockaid, einen separaten Exploit gegen die Verus Ethereum Bridge entdeckt zu haben, bei dem etwa 7,5 Mio. USD an Krypto-Assets gestohlen wurden.

Die aufeinanderfolgenden Vorfälle unterstrichen die Sicherheitsrisiken, denen Cross-Chain-Bridges weiterhin ausgesetzt sind. Diese werden genutzt, um Assets zwischen separaten Blockchains zu übertragen und halten häufig große Reserven an Mitteln. Cross-Chain-Bridges gehören zu den am häufigsten ins Visier genommenen Komponenten im Krypto-Sektor. Bedeutende Bridge-Exploits gehen bis ins Jahr 2022 zurück – darunter die Vorfälle bei Ronin Network und Wormhole – und sind collectively für Verluste von über 1 Milliarde USD verantwortlich. Sie haben wiederholt Sicherheitsforscher zu Aufrufen für verbesserte Key-Management- und Validierungspraktiken veranlasst.

„Another bridge, another exploit. Bridges will always be a weak link, until security is upgraded“, sagte der Onchain-Ermittler TheCrypticWolf in einem Beitrag auf X: https://x.com/TheCrypticWolf1/status/2080145550100337039?s=20

AFX-Protokoll-Bridge ins Visier genommen

Blockaid erklärte, am Mittwoch um 21:30 Uhr UTC einen Exploit gegen eine von AFX betriebene Bridge entdeckt zu haben. Offchain Labs-Mitbegründer Stephen Goldfeder bestätigte, dass ein Bridge-Hack ein Drittanbieter-Protokoll betroffen habe, und stellte gleichzeitig klar, dass die native Bridge von Arbitrum nicht kompromittiert worden sei.

„We're aware of a report of a bridge hack on Arbitrum and are investigating. We can confirm that the transaction in question originated from a third-party protocol, and the Arbitrum native bridge has not been hacked or exploited in any way“, sagte Goldfeder in einem Beitrag auf X: https://x.com/sgoldfed/status/2080071210847674709?s=20

SunSec, Gründer der Web3-Sicherheitscommunity DeFiHackLabs und Mitwirkender bei SEAL, erklärte, dass die vorliegenden Beweise auf kompromittierte Keys und nicht auf einen Smart-Contract-Logikfehler als Ursache des Exploits hindeuteten: https://x.com/1nf0s3cpt/status/2080082521778467217?s=20

Ido Ben-Natan, Mitbegründer und CEO von Blockaid, sagte gegenüber Cointelegraph, dass die Einschätzung des Unternehmens mit Berichten übereinstimme, wonach fünf Hot-Validator-Keys kompromittiert worden seien.

„This appears to have been an operational security incident rather than a smart contract vulnerability“, sagte Ben-Natan. „The unauthorized withdrawal carried genuine validator signatures, meaning the bridge's onchain verification behaved exactly as designed rather than being bypassed.“

Ben-Natan fügte hinzu, dass das erforderliche Validator-Quorum mit authentischen Signaturen erfüllt worden sei, was darauf hindeute, dass die Kompromittierung wahrscheinlich in der Offchain-Signaturinfrastruktur der Bridge und nicht im Bridge-Vertrag selbst erfolgt sei. Kompromittierungen von Schlüsseln, die die Validator- oder Signaturinfrastruktur betreffen, waren bei Bridge-Exploits ein wiederkehrendes Fehlermuster, das sich von Smart-Contract-Logikfehlern unterscheidet, da sie Angreifern ermöglichen, gültige Signaturen zu erzeugen, die der Onchain-Code nicht abweisen kann.

Cointelegraph erklärte, AFX um eine Stellungnahme gebeten zu haben.

Verus Ethereum Bridge von separatem Exploit getroffen

In einem separaten Vorfall entdeckte Blockaid einen Exploit, der sich gegen die Verus Ethereum Bridge richtete. Der Angriff entzog den Bridge-Reserven 7,5 Mio. USD in Form von Ether, tBTC, USDC, USDt, EURC, MKR und scrvUSD. tBTC ist ein durch Bitcoin besicherter ERC-20-Token.

Blockaid erklärte, der Angriff ähnele einem früheren Vorfall bei der Verus Ethereum Bridge im Mai, bei dem 11,58 Mio. USD abgeflossen waren. Laut Blockaid wurde dieselbe Angriffsmethode verwendet, jedoch war die Wallet des Angreifers eine andere. Das erneute Auftreten desselben Exploit-Pfads gegen dieselbe Bridge im Abstand von nur wenigen Monaten verdeutlicht die Herausforderung, Bridge-Schwachstellen vollständig zu beheben, sobald ein Import- oder Verifizierungsablauf als ausnutzbar erkannt wurde.

„An attacker used the bridge import path to trigger unbacked Ethereum-side payouts“, sagte Blockaid.