Ein Angreifer hat durch einen Fehler im Superfluid-Protokoll mehr als 100.000 US-Dollar aus den Reserven von GoodDollar abgezogen und damit die Mittel des Projekts auf der Celo-Blockchain beeinträchtigt. GoodDollar betreibt ein Programm für ein universelles Grundeinkommen, das fast einer Million Menschen täglich einen kleinen Betrag seines G$-Tokens auszahlt. Die angegriffene Reserve dient der Absicherung dieses Tokens.

Laut dem Bericht von CryptoSlate, der sich auf ein GoodDollar-Update vom 9. September berief, verteilte sich der gemeldete Abfluss aus den Reserven auf Celo und das XDC-Netzwerk. Die Zahlen wurden nicht unabhängig on-chain bestätigt, und GoodDollar erklärte, dass keine der beiden Reserven vollständig geleert worden sei.

Gemeldete Abflüsse aus den Reserven

Laut dem Bericht tauschte ein Angreifer 86.588 cUSD aus der GoodDollar-Reserve auf Celo. Ein zweiter Abfluss in Höhe von 20.857 US-Dollar stammte aus der Reserve des Projekts im XDC-Netzwerk. Die verfügbaren Informationen erklären nicht, wie der Abfluss auf XDC mit der Celo-bezogenen Schwachstelle zusammenhing.

Zusammen übersteigen die gemeldeten Beträge 100.000 US-Dollar. Sie stellen gemeldete Abflüsse dar und keinen bestätigten endgültigen Nettoverlust.

GoodDollar-Mitglieder beanspruchen täglich einen kleinen Betrag an G$. Das Projekt hält Reserven zur Unterstützung des Tokens; diese Reserven waren die Quelle der von dem Vorfall betroffenen Mittel.

Superfluid-Fehler beeinträchtigte Celo-Implementierung

Der Vorfall wurde mit Superfluid in Verbindung gebracht, einem Protokoll, das „Money Streams“ ermöglicht, also Zahlungen, die kontinuierlich über einen bestimmten Zeitraum fließen. GoodDollar nutzt Superfluid zur Verteilung seines täglichen Einkommens.

In einer am 8. September veröffentlichten vorläufigen Offenlegung erklärte der Security Council von Superfluid, dass eine bösartige „Super App“ – ein mit Superfluid verbundenes automatisiertes Programm – den normalen Prozess zur Liquidierung von Streams auf Celo umgangen habe.

Infolgedessen blieben G$-Guthaben verfügbar, die eigentlich liquidiert werden sollten. Der Angreifer tauschte diese Guthaben anschließend gegen GoodDollar-Reservewerte und andere Liquiditätspools auf Celo, so der Council.

Der Security Council erklärte, dass die Schwachstelle von der spezifischen Celo-Konfiguration von Superfluid abhängig gewesen sei. Andere Netzwerke, auf denen Superfluid läuft, waren von diesem speziellen Fehler nicht betroffen. Auch GoodDollar führte den Celo-Vorfall auf den Superfluid-Fehler zurück.

GoodDollar schrieb auf X:

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

Der Beitrag ist über den X-Account von GoodDollar verfügbar.

Zeitlicher Ablauf der Reaktion

Nach Angaben des Security Council identifizierte eine Infrastrukturwarnung am 3. September um 19:11 Uhr UTC erstmals zahlungsunfähige Celo-Konten.

Superfluid spielte am 4. September um 14:00 Uhr UTC einen Celo-Hotfix ein und setzte die Whitelist für Super Apps wieder in Kraft. Alle zahlungsunfähigen Konten wurden eine Stunde später, um 15:00 Uhr UTC, geschlossen.

Der Council überprüfte außerdem die Registrierungsprozesse für Super Apps in allen Netzwerken, um inaktive oder nicht verwendete Deployers auf der Whitelist zu sperren, so das Council-Mitglied hellwolf. Die umfassendere Überprüfung bedeutet nicht, dass andere Netzwerke der Celo-spezifischen Schwachstelle ausgesetzt waren.

Der Council erklärte, dass sich der Exploit-Pfad nach dem Fix nicht mehr reproduzieren ließ.

Wiederherstellung und verbleibende Unsicherheiten

Die gemeldeten Abflüsse belegen nicht die endgültigen finanziellen Auswirkungen des Vorfalls. GoodDollar hat nicht offengelegt, wie viel nach der Behebung des Problems gegebenenfalls wiedererlangt werden könnte. Auch externe G$-Liquiditätspools waren betroffen, doch die Verluste aus diesen Pools wurden nicht bekannt gegeben.

GoodDollar erklärte laut CryptoSlate, dass das Beanspruchen auf Celo, G$-Transfers und die Identitätsprüfung wieder aufgenommen worden seien. Reserveoperationen auf Celo und XDC sowie das Bridging blieben jedoch am 10. September weiterhin pausiert.

Das Projekt riet den Nutzern außerdem, vorerst keine G$ zu tauschen. Nach seinen Angaben könnte eine begrenzte Liquidität zu erheblichem Slippage und ungewöhnlichen Preisen führen, sodass Trades zu unerwartet ungünstigen Kursen ausgeführt werden.

Mehrere Aspekte des Vorfalls sind weiterhin ungeklärt. Der Zusammenhang zwischen dem Celo-spezifischen Superfluid-Fehler und dem Abfluss auf XDC wurde nicht erklärt. Die Offenlegung von Superfluid vom 8. September war vorläufig, und der Council kündigte einen vollständigen technischen Bericht an. Das Ausmaß der Reserveexposition, die Auswirkungen auf Nutzer und der endgültige Wiedererlangungsbetrag bleiben daher unverifiziert.

Die gemeldeten Fakten beschreiben den aktuellen Stand des Vorfalls, belegen jedoch weder einen endgültigen Nettoverlust noch den Ausgang des Wiederherstellungsprozesses. Die Warnung von GoodDollar bleibt für Nutzer mit G$ relevant, solange Reserveoperationen und Liquiditätsbedingungen beeinträchtigt sind.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Märkte für digitale Vermögenswerte sind mit erheblichen Risiken verbunden.