Mit Bitcoin und Ethereum verbundene Cross-Chain-Protokolle verlieren bei Angriffswelle binnen Stunden über $35 Millionen

Die Angriffe trafen Verus, B² Network und andere Cross-Chain-Systeme und zeigen, wie kompromittierte Schlüssel, Upgrade-Rechte und Validierungsprüfungen Protokolle leeren können, ohne die zugrunde liegende Kryptografie zu brechen.

Innerhalb von sechs Stunden wurden mindestens drei Krypto-Bridges und Cross-Chain-Protokolle um zusammen mehr als $35 Millionen geleert. Dadurch wurden wiederkehrende Schwächen darin sichtbar, wie diese Systeme konzipiert und verwaltet werden. Die Angriffe zielten auf Verus, B² Network und weitere Cross-Chain-Infrastruktur. Von CoinDesk analysierte Blockchain-Daten — bestätigt durch die Sicherheitsfirmen BlockAid und PeckShield — zeigen, dass keiner der Exploits ein Brechen der zugrunde liegenden Kryptografie erforderte. Jeder Vorfall ging entweder auf einen Logikfehler zurück, bei dem der Code wie vorgesehen ausgeführt wurde, die Regeln aber dennoch Abflüsse erlaubten, oder auf einen kompromittierten Schlüssel, der einem Angreifer unbefugte Kontrolle verschaffte.

Die Angriffswelle unterstreicht die Notwendigkeit, Off-Chain-Komponenten — etwa private Schlüssel, Upgrade-Berechtigungen und Validierungsprüfungen — zu prüfen, nicht nur Smart-Contract-Code. Bei Cross-Chain-Systemen entscheiden diese Kontrollen häufig darüber, ob auf einem Netzwerk gesperrte Vermögenswerte sicher auf einem anderen Netzwerk abgebildet oder freigegeben werden können. Operative Sicherheit wird damit zu einem Bestandteil des Kerndesigns eines Protokolls und nicht zu einer nachrangigen Frage.

Die drei Exploits

Die Perpetuals-Börse AFX verlor rund $24.15 Millionen aus einer Bridge, die sie auf Arbitrum betreibt. Die Verus-Ethereum-Bridge wurde um $7.54 Millionen geleert, ihr zweiter Hack in diesem Jahr über dieselbe Schwachstelle. B², ein Bitcoin-Skalierungsnetzwerk, verlor $3.86 Millionen aus seinem Token-Staking-Vertrag.

Verus-Ethereum-Bridge: Zweite Leerung über dieselbe Schwachstelle

Der schwerwiegendste der bestätigten Angriffe richtete sich gegen das Blockchain-Netzwerk Verus. BlockAid entdeckte am frühen Donnerstag einen Exploit der Verus-Ethereum-Bridge, bei dem rund $7.54 Millionen in Ether, tokenisiertem Bitcoin und mehreren Stablecoins abgezogen wurden.

🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum. An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves. More details in 🧵 — Blockaid (@blockaid_) July 23, 2026

Die Firma wies darauf hin, dass der Angriff denselben Bridge-Vertrag und denselben Einstiegspfad wie ein früherer Hack wiederverwendete und dabei eine identische Fehlerklasse ausnutzte. CoinDesk berichtete über diesen früheren Vorfall, einen Verlust von $11.5 Millionen, im Mai.

Eine Bridge ist ein blockchainbasiertes Werkzeug, das Vermögenswerten ermöglicht, zwischen zwei Netzwerken zu wechseln, die sonst nicht miteinander interagieren können. Sie hält echte Token auf der einen Seite und gibt auf der anderen Seite Ansprüche darauf aus. Ihre Sicherheit hängt vollständig davon ab, korrekt zu prüfen, ob jede Auszahlung tatsächlich durch auf der anderen Chain gesperrte Vermögenswerte gedeckt ist.

Dieses Design macht Bridges zu Infrastruktur mit hohem Schadenspotenzial: Ein Fehler in der Verifizierung kann einen Buchhaltungsfehler in einen unmittelbaren Verlust von Reserven verwandeln. Die zugrunde liegenden Chains können weiterhin gültige Blöcke produzieren, während die Bridge-Schicht dennoch Vermögenswerte auszahlt, die sie nicht freigeben dürfte.

Die Schwachstelle bei Verus ermöglichte es einem Angreifer, Auszahlungen auf der Ethereum-Seite auszulösen, die auf der Verus-Seite nie ordnungsgemäß gedeckt waren. Die Bridge gab echtes Geld gegen einen nahezu wertlosen Anspruch frei.

Nach dem Angriff im Mai gab der Angreifer den Großteil der Gelder gegen eine Prämie zurück. Verus zahlte die wiedererlangten Mittel anschließend am July 8 wieder in dieselbe Bridge ein, wie aus von Sicherheitsforschern zusammengestellten Onchain-Daten hervorgeht. Zwei Wochen später wurde die Bridge erneut geleert.

Die Kosten dieses fehlgeleiteten Vertrauens zeigen sich in den eigenen Kennzahlen des Protokolls. Laut DefiLlama hielt Verus zu Beginn von 2025 nahezu $100 Millionen an Total Value Locked. Bis Donnerstag war diese Zahl auf rund $9 Millionen gefallen — ein schleichender Abfluss, der durch einen erneuten Rückgang in dieser Woche nach dem jüngsten Hack akzentuiert wurde.

Solche wiederholten Ausfälle kosten nicht nur das in einem einzelnen Angriff gestohlene Geld; sie untergraben auch das Vertrauen, das Vermögenswerte überhaupt auf der Plattform hält.

B² Network: Upgrade-Berechtigung kompromittiert

Ein weiterer bestätigter Angriff zielte auf B² Network, ein Skalierungsnetzwerk, das Bitcoin-Transaktionen günstiger und schneller machen soll.

B² teilte am Donnerstagmorgen asiatischer Zeit mit, dass ein Angreifer unbefugten Zugriff auf die Upgrade-Berechtigung seines Token-Staking-Vertrags erlangt habe — die administrative Befugnis, die steuert, wie sich dieser Vertrag verhält.

Die Sicherheitsfirma Lookonchain verfolgte B2-Token im Wert von rund $3.86 Millionen, die verkauft, in Ether und Stablecoins umgewandelt und weiterbewegt wurden. B² erklärte, der Vorfall sei eingedämmt, das Staking ausgesetzt worden, und betroffene Nutzer würden vollständig entschädigt.

Ein Smart Contract ist nur so sicher wie die Schlüssel und Berechtigungen, die ihn kontrollieren. Wenn ein Angreifer die Befugnis erlangt, die Funktionsweise eines Vertrags zu ändern, braucht der Code keinen Fehler — der Angreifer kann schlicht die Regeln umschreiben oder die Gelder direkt abziehen.

Dieses Fehlermuster steht hinter einigen der größten Diebstähle in der Geschichte der Kryptobranche, von den Bridge-Hacks bei Wormhole und Nomad im Jahr 2022 bis zu KelpDAOs Verlust von rund $290 Millionen Anfang dieses Jahres.

AFX und Balance: Dasselbe zugrunde liegende Muster

Innerhalb eines Zeitfensters von 24 Stunden wurden vier Teams — Verus, B², AFX und Balance — aus demselben grundlegenden Grund geleert. Keines scheiterte an einer gebrochenen Chiffre. Jedes verlor eine vertrauenswürdige Kontrollinstanz.

AFX, eine Perpetuals-Börse mit einer Bridge auf Arbitrum, verlor rund $24.15 Millionen, nachdem ihre Bridge-Schlüssel kompromittiert worden waren. Balance, ein Stablecoin-Protokoll, brach um 99% ein, nachdem ein $1-Million-Exploit seine Bitcoin-Tresore geleert hatte.

Das Muster ist besonders wichtig für Protokolle, die auf Bridges, Tresore, Staking-Verträge oder upgradefähige Systeme angewiesen sind. In solchen Designs vertrauen Nutzer nicht nur der sichtbaren Vertragslogik; sie verlassen sich auch auf die Verwahrung von Signaturschlüsseln, die Grenzen für Administratoren und die Prüfungen, die bestätigen, dass Einzahlungen und Auszahlungen gültig sind.

Die wachsende Bedrohung durch KI-gestützte Eindringversuche

Die Abwehr solcher Angriffe dürfte schwieriger werden. In einer diese Woche veröffentlichten Analyse legte OpenAI offen, dass seine KI-Modelle während einer internen Evaluierung aus ihrer Testumgebung ausbrachen und die Server von Hugging Face kompromittierten, indem sie gestohlene Zugangsdaten und zuvor unbekannte Softwarefehler miteinander verknüpften, um den Einbruch zu erreichen.

Für den Test waren die Sicherheitsgrenzen der Modelle abgesenkt worden, daher handelte es sich nicht um ein System, das eigenständig agierte. Es war jedoch ein konkreter Nachweis, dass KI inzwischen die geduldige, mehrstufige Eindringarbeit leisten kann, die bis vor Kurzem ein qualifiziertes menschliches Team erforderte.

In den meisten Branchen bedeutet ein Sicherheitsverstoß Incident Response und schließlich Wiederherstellung. In der Kryptobranche, wo ein geleerter Vertrag endgültig ist und es keine Rückbuchung gibt, weist dieselbe Fähigkeit auf eine Bedrohung ohne Rückgängig-Taste hin.

Der gemeinsame Nenner aller Angriffe vom Donnerstag ist klar: Die Werkzeuge zum Auffinden vertrauenswürdiger Kontrollpunkte — Schlüssel, Upgrade-Berechtigungen, Validierungsprüfungen — werden immer präziser, und Protokolle, die diese Off-Chain-Komponenten nicht prüfen, bleiben exponiert.

Quelle: CoinDesk