Der Sicherheitsexperte Spreek berichtete am 22. Oktober, dass ein Akteur im Besitz der operativen Hot Keys von Swell DAO die Wechselkurse der Liquid-Staking-Token swETH und rswETH mit dem maximalen Stundensatz von 1 % nach oben getrieben hatte, ohne dass neues ETH die Erhöhungen deckte.

Die Wechselkurse von Liquid-Staking-Token steigen normalerweise nur durch anfallende Staking-Belohnungen, sodass eine Erhöhung ohne neues ETH den gemeldeten Kurs über den Wert treibt, den die Bestände des Protokolls tatsächlich stützen. Die Erkenntnisse kamen wenige Stunden nachdem die Cloud-Plattform Railway offengelegt hatte, dass ein Eindringling Zugang zu von Kunden hinterlegten Geheimnissen erhalten haben könnte.

Fünf Kurserhöhungen von jeweils rund 1 % bei beiden Token verzeichnet

Spreek teilte die Erkenntnisse am 22. Oktober um 01:28 UTC auf X und schrieb, dass die Admin-Schlüssel beider Token "kompromittiert zu sein scheinen (railway related?)". Dem Beitrag zufolge erhöhten die Angreifer den NAV jeweils "um maximal 1 % (nicht gedeckt) pro Stunde".

Der Phylax-Systems-Gründer Odysseus bezeichnete die Aktivität als "BOT-key abuse" und zählte drei Kurserhöhungen für swETH und zwei für rswETH von jeweils rund 1 %. Swells veröffentlichter Oracle-Code beschränkt die Übermittlung von Neubewertungs-Snapshots allein auf die BOT-Rolle. Dieser Bot läuft auf Hot Keys, die dauerhaft online sind und Transaktionen ohne menschliches Zutun signieren – eine Konstellation, die die Genauigkeit des On-Chain-Kurses in die Hände eines einzigen Satzes stets online verfügbarer Zugangsdaten legt. Solche Kurslimits begrenzen, wie weit ein Oracle den Preis in einem Update bewegen kann; hier bestimmten sie das Tempo der unbefugten Erhöhungen.

Ethereum-Aufzeichnungen zeigen eine einzige Adresse, die am 21. Oktober um 23:02 UTC einen swETH-Snapshot übermittelte, gefolgt von weiteren Übermittlungen am 22. Oktober um 00:04 und 01:08 UTC. Gemeldete Werte zum 22. Oktober weisen swETH etwa 3,0 % über 1,133254 ETH aus, während rswETH rund 2,0 % über 1,082464 ETH lag.

Railway [teilte am . Oktober mit]( dass es ungewöhnliche Aktivitäten in Systemen beobachtet hatte, in denen Kunden-Umgebungsvariablen gespeichert werden – ein üblicher Ort für Anwendungen, um Laufzeit-Zugangsdaten zu hinterlegen – und dass ein externer Akteur möglicherweise auf entschlüsselte Inhalte einiger dieser Daten zugegriffen hatte. Zu den gespeicherten Geheimnissen gehören API-Schlüssel und Registry-Zugangsdaten. Die Plattform froze alle Deployments und forderte die Nutzer auf, hinterlegte Geheimnisse zu rotieren.

Am selben Tag sagte der Crypto-Ermittler Tay, ein Angreifer habe rund 371.000 $ aus Wallets auf mindestens 19 EVM-Chains abgeschöpft, deren Schlüssel auf Railway hinterlegt waren. Eine Verbindung zwischen dem Railway-Vorfall und der Swell-Situation ist nicht bestätigt.

Vier bösartige Upgrade-Verträge könnten rund 2.500 ETH abgreifen

Swell teilte auf X am 22. Oktober um 03:03 UTC mit, man sei über Berichte über "verdächtige Aktivitäten in den swETH- und rswETH-Verträgen" informiert und untersuche diese gemeinsam mit Sicherheitspartnern. "Kein ETH hat die swETH- oder rswETH-Auszahlungs- oder Einzahlungsverträge verlassen", schrieb das Team und fügte hinzu, dass keine Maßnahme der Nutzer erforderlich sei.

Am 23. Oktober setzte Swell Ein- und Auszahlungen für swETH und rswETH aus und erklärte, diese Funktionen würden erst wieder aufgenommen, wenn der NAV auf den korrekten Wert zurückkehre. Der Wechselkurs bestimmt, wie viel ETH jeder Token bei Ein- und Auszahlung wert ist – weshalb die Wiedereröffnung dieser Funktionen von der korrigierten Zahl abhängt.

Spreek berichtete zudem, dass vier bösartige Upgrade-Verträge bereitgestellt wurden, die bei Ausführung rund 2.500 ETH abgreifen könnten. Odysseus schätzte, dass Swell 2.513 ETH hielt, wobei er betonte, der Betrag sei "kein bestätigter Verlust". Zum Zeitpunkt der Berichte war keines der Upgrades ausgeführt worden, sodass deren Status, die NAV-Korrektur und eine mögliche bestätigte Verbindung zum Railway-Vorfall die zentralen Punkte bleiben.

Einige Details der Recherche wurden laut Berichten mit KI-Unterstützung erstellt und sind unbestätigt.

Aufgeblähte Kurse bergen Ansteckungsrisiko für Kreditmärkte

Nur ein Bruchteil der erhöhten Kurse schlägt sich Berichten zufolge in den DEX-Preisen nieder. Swells Liquid-Staking- und Liquid-Restaking-Produkte hielten am 23. Oktober jeweils rund 29 Millionen $ an Total Value Locked, während Datenquellen auf eine Marktkapitalisierung für rswETH zwischen 27 und 58 Millionen $ hinweisen.

In einem Kreditmarkt, der swETH oder rswETH auf Basis des On-Chain-Kurses bewertet, würde die aufgeblähte Zahl als Sicherheit zählen. Cryptopolitan hatte einen ähnlichen Ansteckungspfad bereits verfolgt, als KelpDAOs rsETH-Exploit auf Layer-2-Kreditmärkte übergriff. Auch hinter dem Vorfall mit der Fearless-Wallet-Erweiterung steckten geleakte Schlüssel, bei dem die privaten Schlüssel von Polkadot-Nutzern an den Server eines Angreifers gesendet wurden.