Blockchainbeveiligingsbedrijf Blockaid heeft een lopende exploit gedetecteerd die is gericht op Ankr's Ethereum cross-chain bridge. In een waarschuwing gepubliceerd op 9 november 2026 meldde het bedrijf dat een aanvaller ongeveer $292.000 van de bridge had weggehaald via vijf ongeautoriseerde opnames — en waarschuwde dat de aanval nog gaande was toen de waarschuwing werd uitgegeven.

🚨Blockaid detected an ongoing exploit on @ankr on Ethereum. An attacker submitted five withdraw calls on Ankr's Ethereum cross-chain bridge, using a tiny Optimism deposit to unlock the bridge's full locked inventory to a new wallet. ~$292k drained from the bridge so far across ~5 txs. Attack still ongoing. 🧵

— Blockaid (@blockaid_) November 9, 2026

Het incident roept vragen op over hoe de bridge cross-chain-transacties verifieert en activavrijgaven verleent. Cross-chain bridges behoren al lang tot de meest gerichte infrastructuur in de sector: ze beheren grote pools van vergrendelde activa namens twee netwerken tegelijk, en verschillende van de grootste exploits in de geschiedenis van crypto betreffen ze. Die staat van dienst verklaart waarom beveiligingsbedrijven bridge-contracten continu monitoren, en waarom zelfs een verlies van zes cijfers onmiddellijk tot een openbare waarschuwing leidt.

Eén Optimism-storting gekoppeld aan vijf opnames

Volgens Blockaid deed de aanvaller vijf opname-aanroepen op Ankr's Ethereum bridge. Die transacties omvatten volgens berichten het storten van een klein bedrag vanaf Optimism, dat vervolgens werd gebruikt om activa van het Ethereum bridge-contract te ontgrendelen. Het beveiligingsbedrijf schatte het totale verlies op ongeveer $292.000 verdeeld over ongeveer vijf transacties, waarbij de opbrengst naar een nieuw aangemaakte opname-wallet werd gestuurd.

De gestolen fondsen waren niet beperkt tot één enkel activum. In plaats daarvan omvatten ze meerdere tokens, waaronder Ankr-gerelateerde liquid staking-tokens en ANKR, de oorspronkelijke cryptocurrency van Ankr.

Bij normale werking ontgrendelt een cross-chain bridge activa op één keten nadat er op de oorspronkelijke keten een storting is gedaan. Als dezelfde transactie kan worden gepresenteerd als bewijs van autorisatie voor een andere opname, kan een enkele storting mogelijk meer dan één keer worden hergebruikt. Blockaid's eerste waarschuwing ging niet in op de exacte technische fout en legde niet uit hoe de aanvaller de autorisatiecontroles van de bridge passeerde, maar het patroon wijst op een falen in de verificatiestap die voorafgaat aan de vrijgave van activa.

Ankr operator-wallets leeggemaakt vóór de aanval

On-chain activiteit voorafgaand aan de opnames vormde ook een onderdeel van het incident. Blockaid meldde dat tussen 02:08 en 04:06 UTC verschillende Ankr operator-wallets op Ethereum, Arbitrum en Linea werden leeggemaakt, waarbij de fondsen op één consolidatiewallet werden gestort.

De aanvaller transacteerde vervolgens met die wallet om de fee te betalen voor de relayer die de transacties naar de bridge heeft ingediend. De volgorde suggereert dat de operatie pas werd uitgevoerd nadat de aanvaller de benodigde transactie-infrastructuur had voorbereid. De walletbewegingen alleen tonen echter niet hoe toegang tot de operator-wallets werd verkregen of of hun private keys zijn gecompromitteerd.

Vijf transacties gericht op de Ethereum bridge

Blockaid identificeerde twee exploitadressen en deelde een voorbeeldtransactie met het gecompromitteerde bridge-contract. Alle opnames waren gericht op dezelfde Ethereum bridge en het weggehaalde kapitaal werd gestuurd naar de opname-wallet van de aanvaller.

Het gerapporteerde verlies vertegenwoordigt het bedrag dat was weggehaald op het moment dat Blockaid zijn waarschuwing uitgaf, en geen definitieve balans van het incident. Dat onderscheid is belangrijk, omdat de aanval nog actief was toen het beveiligingsbedrijf de alarmbel luide sloeg. Uiteindelijke verliezen kunnen veranderen door aanvullende transacties, evenals prijsaanpassingen van de getroffen tokens.

Met de exploit nog open ten tijde van de waarschuwing zijn de directe ontwikkelingen om in de gaten te houden: een herzien verliestotaal, technische toelichting over hoe één kleine storting de voorraad van de bridge kon ontgrendelen, en eventuele operationele respons van Ankr zelf. Blockaid markeerde zijn waarschuwing als het begin van een thread, wat aangeeft dat er meer details over het incident kunnen volgen.

Het incident zet cross-chain-verificatie onder de loep. Bridges zijn afhankelijk van betrouwbare communicatie tussen netwerken, en hun veiligheid rust op het correct valideren van stortingen, berichten en opname-autorisaties. Een fout in elk onderdeel van dat proces kan activa blootstellen die in bridge-contracten worden bewaard, zelfs wanneer de oorspronkelijke storting zelf legitiem is.