WEMIX hat einen Token-Minting-Angriff gemeldet, der Verluste von ungefähr $6.25 Millionen verursachte. Nach Angaben des Projekts ging der Vorfall auf eine Kompromittierung von Smart-Contract-Privilegien zurück und nicht auf einen herkömmlichen Wallet-Verstoß.

Die über den offiziellen Nachrichtenkanal des Projekts veröffentlichte Mitteilung beschrieb das Ereignis als unautorisiertes Minting von WEMIX-Token im Zusammenhang mit kompromittierten Contract-Berechtigungen. WEMIX erklärte, das Sicherheitsproblem werde weiterhin untersucht, und verwies Nutzer für weitere Informationen auf seine offiziellen Updates.

WEMIX sagt, der Angriff umfasste unautorisiertes Minting

WEMIX erklärte, der Vorfall habe unautorisiertes Token-Minting umfasst, und bezifferte den gemeldeten Verlust auf $6.25 Millionen, wie aus der Erklärung des Projekts zum WEMIX-Sicherheitsproblem und der laufenden Untersuchung hervorgeht.

Der gemeldete Verlust steht im Zusammenhang mit WEMIX-Token, und als Ursache wurde eine Kompromittierung von Smart-Contract-Privilegien genannt. WEMIX hat den Vorfall nicht als gewöhnliche Kontoübernahme oder Wallet-Hack beschrieben.

Diese Unterscheidung ist technisch bedeutsam. Bei einem Wallet-Hack zieht ein Angreifer typischerweise Vermögenswerte von einem Konto ab, auf das er Zugriff erlangt hat. Bei einem Vorfall mit unautorisiertem Minting werden neue Token direkt über Contract-Funktionen erzeugt, wodurch die Umlaufmenge beeinflusst wird, statt lediglich ein bestehendes Guthaben von einem Inhaber auf einen anderen zu übertragen.

Auf den Vorfall folgten auch börsenbezogene Konsequenzen. Koreanische Börsen trafen Delisting-Entscheidungen zu WEMIX, was den Druck auf den Token nach der Sicherheitsmitteilung weiter erhöhte.

Kompromittierte Privilegien auf Smart-Contract-Ebene

Eine Kompromittierung von Smart-Contract-Privilegien bedeutet, dass ein Angreifer erhöhte Berechtigungen erlangte, die ein Contract zur Ausführung eingeschränkter Funktionen wie Minting verwendet. WEMIX stellte den Vorfall in seinem Update zum WEMIX-Sicherheitsproblem und zu Gegenmaßnahmen in den Kontext kompromittierter privilegierter Zugriffe.

Privilegierter Contract-Zugriff kann weiterreichende Folgen haben als ein normaler Verstoß gegen ein Nutzerkonto, da er den Token-Mechanismus selbst betreffen kann und nicht nur die Vermögenswerte eines einzelnen Inhabers. Die Minting-Berechtigung ist besonders sensibel, weil sie direkt mit der Token-Umlaufmenge zusammenhängt.

Bei Token-Projekten sind administrative Berechtigungen häufig Teil der Wartung, Aktualisierung oder Kontrolle von Contracts. Dieselben Berechtigungen können jedoch zu einem zentralen Risiko werden, wenn sie missbraucht oder kompromittiert werden. Deshalb konzentrieren sich Überprüfungen nach einem Vorfall in der Regel nicht nur auf die Höhe des Verlusts, sondern auch darauf, wie privilegierte Funktionen geschützt waren und ob betroffene Contract-Kontrollen abgesichert wurden.

Nur von WEMIX bestätigte Details sollten als gesichert gelten. Die Veröffentlichungen des Projekts bleiben der Bezugspunkt dafür, welche Berechtigungen kompromittiert wurden und wie sie genutzt wurden. Weitere technische Einzelheiten wurden hier nicht unabhängig verifiziert.

Ähnliche Vorfälle mit privilegiertem Zugriff und kompromittierten Zugangsdaten gab es auch andernorts im Kryptobereich, darunter der ZIL-Diebstahl aus der Cold Wallet eines Börsenpartners und die Übernahme des X-Kontos von Robinhood-CEO Vlad Tenev zur Bewerbung eines gefälschten Tokens.

Untersuchung und breitere Auswirkungen

WEMIX hat erklärt, den Vorfall zu untersuchen und über seine offiziellen Nachrichten-Updates Gegenmaßnahmen vorzubereiten. Das Projekt verwies Inhaber für Stellungnahmen zu Eindämmung, Behebung und damit verbundenen Entwicklungen auf seinen Nachrichtenkanal.

Vorfälle, die die Integrität eines Tokens betreffen, können andere Bedenken auslösen als isolierte Diebstähle, da unautorisiertes Minting die Aufmerksamkeit auf Kontrollen der Umlaufmenge und die Verlässlichkeit der Regeln eines Tokens lenkt. Ein Minting-Angriff beeinflusst das Vertrauen daher anders als ein einmaliger Wallet-Abfluss.

Die Auswirkungen haben auch institutionelle Inhaber erreicht. Alpha Asset Management meldete einen Verlust von $25 Millionen im Zusammenhang mit dem WEMIX-Delisting, das auf den Vorfall folgte.

Weitere Klarheit würde von einer verifizierten Bilanzierung der geminteten Umlaufmenge, einer Bestätigung der konkret kompromittierten Privilegien und konkreten Behebungsmaßnahmen abhängen. Eine detailliertere technische Darstellung wird in der Bestätigung von WEMIX erwähnt, dass illegal gemintete Token bewegt wurden.