Das auf Solana basierende Kreditprotokoll Loopscale hat seinen Betrieb eingestellt, nachdem eine weeklange Angriffskampagne auf seine Application Programming Interfaces und seine Genesis Vaults abzielte, in denen Nutzereinlagen in SOL und USDC verwahrt werden. Laut dem Protokoll erhielten die APIs während der anhaltenden Kampagne, die das Team einem raffinierten Akteur zuschrieb, mehr als 30.000 bösartige Anfragen pro Tag. Betroffene Vaults wurden seither wiederhergestellt, und Verluste bei Nutzereinlagen wurden nicht gemeldet.

Sicherheitseskalation löst protokollweite Pause aus

Loopscale teilte mit, dass seine Sicherheitssysteme in der vergangenen Woche eine erhebliche Eskalation der Angriffskampagne festgestellt hätten, woraufhin das Team die Protokollaktivität pausierte, um die Bedrohung einzudämmen. Die Angreifer zielten gezielt auf die SOL- und USDC-Genesis Vaults des Protokolls, und die anhaltende Anfrageaktivität war Teil einer breiteren Kampagne, die einem raffinierten Angreifer zugeschrieben wird. Das Team bestätigte die Aussetzung nach Feststellung erhöhter Sicherheitsrisiken. APIs sind die Schnittstellenschicht, über die Anwendungen und Dienste mit einem Protokoll kommunizieren — ein Angriff auf dieser Ebene kann den Plattformbetrieb stören, ohne direkt On-Chain-Guthaben zu betreffen, was mit der Mitteilung des Teams übereinstimmt, dass die Nutzereinlagen durchgehend gesichert blieben.

Das Protokoll gab die Kampagne in einer auf X am 5. November 2026 veröffentlichten Erklärung bekannt:

Over the past week, Loopscale has been targeted in a sustained campaign by a sophisticated actor, with the protocol APIs receiving more than 30,000 malicious requests per day. All deposited user funds are secured. Earlier, our security systems detected a significant escalation…

— Loopscale (@Loopscale) 5. November 2026

kySOL-Pricing-Diskrepanz ermöglichte Kredit über 4.597 SOL

Forscher deckten zudem einen Collateral-Pricing-Exploit auf, der kySOL betraf, ein Liquid-Staking-Token, das in den Vaults als Sicherheit dient. Besichertes Kreditwesen hängt von einer genauen Bewertung der hinterlegten Vermögenswerte ab, da die Kredithöhe an dieser Bewertung bemessen wird — und Tokenbeträge werden numerisch erfasst, sodass eine Dezimalfehlinterpretation den erfassten Wert einer Position stark aufblähen kann. Diese Dynamik lag im Kern des Exploits: Der Angreifer gab ein einzelnes kySOL-Token als zBTC-Sicherheit aus, und eine Diskrepanz bei den Dezimalstellen führte anschliessend dazu, dass der erfasste Wert des Tokens stark anstieg.

Die Pricing-Diskrepanz ermöglichte es dem Kreditnehmer, unter Verwendung der falsch deklarierten Sicherheit 4.597 SOL abzuheben. Der Angreifer brachte die abgehobenen Mittel anschliessend über eine Bridge ausserhalb des Protokolls. Nach Angaben von Loopscale verzerrte der Collateral-Klassifizierungsfehler den Bewertungsprozess des Vaults und ermöglichte es dem Kreditnehmer, auf falsch bewertete Sicherheit zuzugreifen. Das Protokoll hat den normalen Betrieb noch nicht wieder aufgenommen.

Betroffene Vaults wiederhergestellt, während die Untersuchung läuft

Trotz des Exploits bestätigte Loopscale, dass die betroffenen Vaults vollständig ausgeglichen wurden. Das Team erklärte, dass keine Nutzereinlagen Verluste erlitten hätten, und bekräftigte, dass alle hinterlegten Mittel während der Aussetzung gesichert blieben. Tatsächlich war die Auswirkung des Vorfalls operativ: Die Einlagen wurden wiederhergestellt, obwohl die Plattform selbst offline blieb.

Das Protokoll plant, seine Schnittstelle in Kürze wieder zu aktivieren, während die Rückzahlungsfunktion so schnell wie möglich wiederkehren soll. Loopscale erklärte, die Wiederherstellung von Rückzahlungen bleibe eine Priorität, um unvorhergesehene Liquidierungen während der Aussetzung zu verhindern. Der normale Betrieb bleibt jedoch eingestellt, bis die Untersuchung den vollständigen Umfang der Kampagne geklärt hat. Das Team beabsichtigt zudem, vor der Wiedereröffnung des Protokolls zusätzliche Sicherheitshärtungen umzusetzen, als Teil seines Wiederherstellungsprozesses. Die Meilensteine, die die Wiederherstellung nun rahmen, sind die Rückkehr der Schnittstelle, die Wiederherstellung der Rückzahlungen, die vollständige Kartierung des Kampagnenumfangs und die Härtungsarbeiten, die jeder Wiedereröffnung vorausgehen sollen.

Loopscale hat vier mit dem Angriff verbundene Adressen identifiziert und arbeitet mit bundesstaatlichen Strafverfolgungsbehörden und Sicherheitsexperten zusammen. Bei den veröffentlichten Adressen handelt es sich um zwei Adressen im Solana-Format und zwei im Ethereum-Format. Das Team hat noch kein Datum für die vollständige Wiederaufnahme des Betriebs genannt.

Zweiter preisbezogener Vorfall seit April 2025

Der jüngste Vorfall folgt auf ein früheres preisbezogenes Ereignis im April 2025, das dieselben Genesis Vaults betraf, und ist damit der zweite gemeldete preisbezogene Vorfall, der diese Vaults seitdem betroffen hat. Die Wiederkehr richtet die Aufmerksamkeit auf die Pricing-Mechanik der Vaults — das im kySOL-Vorfall ausgenutzte Element — und die API-Schicht, auf die die Kampagne dieser Woche abzielte, während die Härtungsarbeiten des Teams voranschreiten. Loopscale erklärte, es werde weiterhin relevante Informationen und wesentliche Updates veröffentlichen, sobald diese verfügbar sind.