Swell, das Ethereum-Liquid-Staking-Protokoll, hat Ein- und Auszahlungen für seine Token swETH und rswETH ausgesetzt, nachdem die Verträge deutlich überhöhte Wechselkurse meldeten. Der Stopp wurde am frühen Freitag, den 23. Oktober, angekündigt; beide Funktionen bleiben geschlossen, während das Team an der Korrektur der Kurse arbeitet.

Liquid Staking ermöglicht es Nutzern, ETH zu staken und dafür einen handelbaren Token zu erhalten; swETH und rswETH sind Swells Liquid-Staking- bzw. Liquid-Restaking-Token. Jeder dieser Token führt einen Wechselkurs, der mit den anfallenden Staking-Belohnungen steigt und bestimmt, wie viel ETH bei Ein- und Auszahlungen in die Verträge hinein- oder aus ihnen herausbewegt wird.

Der gemeldete Kurs des swETH-Vertrags stieg auf rund 6 % über seinen letzten unversehrten Wert, während rswETH etwa 5 % über dem Normalwert lag. Swell erklärte, dass kein ETH die betroffenen Verträge verlassen habe, hat aber weder eine Ursache bestätigt noch gesagt, wann Ein- und Auszahlungen wieder aufgenommen werden.

Wechselkurse steigen über das Normalniveau

Swell kündigte die Aussetzung am Freitag um 2:39 Uhr ET an und erklärte, der nächste Schritt sei die Rückführung des Nettowertes (NAV) beider Token auf das korrekte Niveau. Bis dahin bleiben Ein- und Auszahlungen geschlossen. Kurse solcher Token steigen normalerweise nur langsam mit den anfallenden Staking-Belohnungen – deshalb fielen Werte auf, die mehrere Prozentpunkte über ihren letzten unversehrten Werten lagen.

Um 16:48 Uhr ET zeigte eine Auslesung der Verträge durch Unchained swETH bei etwa 1,203 ETH und rswETH nahe 1,138 ETH. Der On-Chain-Analyst Spreek hatte die letzten unversehrten Kurse mit 1,133 ETH bzw. 1,082 ETH beziffert.

Auf dezentralen Börsen wurde swETH nahe 1,089 WETH in einem Uniswap-Pool mit etwa 143.000 Dollar Liquidität gehandelt, während rswETH auf Curve nahe 1,029 WETH den Besitzer wechselte. Beide Marktpreise liegen unter den von den Verträgen gemeldeten Kursen.

Laut DefiLlama verwalten swETH rund 29 Millionen Dollar an Gesamtwert, und der rswETH-Token hält etwa den gleichen Betrag. Da beide Token auch auf externenkten gehandelt und zirkuliert werden, reicht das Engagement über die eigenen Verträge des Protokolls hinaus. Swell hat bislang keine Hinweise zu Handel oder Bereitstellung von Liquidität für die beiden Assets gegeben.

Verdacht auf kompromittierte Admin-Keys, Ursache unbestätigt

Spreek schrieb am Mittwoch, den 21. Oktober, dass die Admin-Keys beider Token offenbar kompromittiert worden seien. Admin-Keys regeln, wer die Smart Contracts eines Protokolls upgraden darf, während eine Multisig die Zustimmung mehrerer autorisierter Unterzeichner erfordert, bevor eine Transaktion ausgeführt wird. Er schrieb, der NAV stiege zu diesem Zeitpunkt um „maximal 1 % (ungedeckt) pro Stunde“. Außerdem identifizierte er vier bösartige Upgrade-Verträge, die in der Lage wären, etwa 2.500 ETH zu entwerten, wobei keiner über Swells Multisig eingereicht worden war.

Odysseus, Gründer von Phylax Systems, bezeichnete den Vorfall als „BOT-key abuse“ (Missbrauch eines Bot-Keys) und fügte hinzu, dass die gehaltenen 2.513 ETH „NICHT als bestätigter Verlust“ zu werten seien. Seine Kommentare folgten kurz auf Spreeks erste Warnung.

Swell reagierte um 23:03 Uhr ET mit der Mitteilung, dass es mit Sicherheitspartnern zusammenarbeite. Das Team erklärte, dass „kein ETH“ die Auszahlungs- oder Einzahlungsverträge von swETH oder rswETH verlassen habe, und schrieb später: „Alle Gelder sind sicher.“ Es warnte zudem, dass Ereignisse dieser Art häufig weitere Phishing-Versuche nach sich ziehen.

Beide Forscher brachten einen möglichen Zusammenhang mit Railway ins Spiel, einer Cloud-Deployment-Plattform, die Entwickler zum Erstellen und Hosten von Anwendungen nutzen. Railway erklärte in einer Offenlegung vom 21. Oktober, dass ein „unbefugter Dritter“ möglicherweise einige seiner verschlüsselten Umgebungsvariablen gelesen habe – ein üblicher Ort, an dem Plattformen sensible Zugangsdaten wie API-Keys speichern. Die Offenlegung erwähnt Swell nicht, und Swell hat keine Verbindung zwischen den beiden Ereignissen bestätigt.

Spreeks Bericht, wie er selbst angab KI-geschrieben und nicht vollständig geprüft, ergab, dass Aave, Spark und Fluid keinen der beiden Token akzeptierten. Auf einem Morpho-Markt waren etwa 34 ETH zur Ausleihe verfügbar.

Zum Zeitpunkt der letzten Updates bleiben sowohl die Einzahlungs- als auch die Auszahlungsfunktion ausgesetzt, und Swell hat keinen Zeitplan für die Wiederherstellung des normalen Betriebs genannt. Die offenen Fragen sind jene, die seit Spreeks erster Warnung bestehen: ob der vermutete Kompromiss der Admin-Keys bestätigt wird, ob die vier markierten Upgrade-Verträge jemals Swells Multisig erreichen und ob die gemeldeten Kurse auf ihre letzten unversehrten Werte – 1,133 ETH für swETH und 1,082 ETH für rswETH – korrigiert werden können, bevor Ein- und Auszahlungen wieder geöffnet werden.