Swell heeft de stortingen en opnames van swETH en rswETH opgeschort nadat onderzoekers waarschuwden dat administratieve en operationele hot keys gecompromitteerd leken en dat de wisselkoersen van de tokens werden opgehoogd zonder bijbehorende Ether-dekking.

Het liquid staking-protocol kondigde de pauze aan op 23 oktober en verklaarde dat het samenwerkt met beveiligingspartners, waaronder Seal911, om zijn infrastructuur te beveiligen en de net asset value (NAV) naar het juiste niveau terug te brengen, volgens de officiële update van het protocol.

De bevriezing volgde op een dag van on-chain waarschuwingen van onderzoekers dat ongedekte koersophoogingen het on-chain maximum hadden bereikt en dat upgrade-contracten die ongeveer 2.500 ETH konden aftappen waren voorbereid, zij het niet in de wachtrij geplaatst.

Onderzoekers Wijzen Op Hot Keys en Voorbereide Upgrades

Op 22 oktober meldde beveiligingsonderzoeker Spreek in een rapport dat de admin-keys voor de swETH en rswETH van Swell DAO gecompromitteerd leken en dat aanvallers de NAV met maximaal 1% per uur zonder dekking verhoogden. Volgens Spreek waren vier kwaadaardige upgrade-contracten uitgerold, maar nog niet via de multisig in de wachtrij geplaatst, en konden die contracten ongeveer 2.500 ETH stelen. Spreek publiceerde een incidentverslag over de hot-key-compromittering en waarschuwde dat Claude delen ervan had opgesteld, waardoor sommige details onverifieerd bleven — al leken de belangrijkste on-chain claims solide.

De tijdlijn van het rapport plaatst de eerste afwijkende activiteit rond 14:25 UTC op 21 oktober, toen de gecompromitteerde oracle-bot een deployer-portemonnee financierde. Later die dag werden gasgeld van tientallen Swell-hot keys — internetverbonden operationele keys, in tegenstelling tot offline cold storage — afgetapt over Ethereum, Arbitrum, HyperEVM en Base naar een centrale portemonnee van de aanvaller.

Vanaf 23:02 UTC begonnen de wisselkoersen van swETH en rswETH met stappen van 1% per uur te stijgen — het contractmaximum — zonder dat er bijbehorende ETH binnenkwam. Voorbeeldtransacties van de ophoging zijn swETH om 23:02 en rswETH om 23:35. Het verslag vermeldde ook dat de bot de rewards-claimers van EigenLayer voor tientallen rswETH StakerProxies naar dezelfde portemonnee leidde.

Vier upgrade-payloads gericht op swEXIT, rswEXIT en de deposit-managers zouden een aftappad hebben toegevoegd indien ze ooit waren geïnstalleerd. Dergelijke payloads worden pas van kracht nadat ze via de multisig in de wachtrij zijn geplaatst en een timelock-vertraging is verstreken; daarom was de voorbereide maar niet ingediende status van belang: de contracten bestonden on-chain, maar konden nog niet handelen. Een link naar het Railway-platform werd in het rapport slechts als speculatie geopperd; Spreek zei dat er geen hard bewijs was en dat het een timingstoeval leek.

Swells Eerste Reactie, Daarna de Bevriezing

Uren na de berichten van de onderzoekers verklaarde Swell in een bericht dat het op de hoogte was van verdachte activiteit op de swETH- en rswETH-contracten en dat het onderzoek uitvoerde met beveiligingspartners. Het team benadrukte dat er geen ETH de swETH- of rswETH-opname- of stortingcontracten had verlaten en dat houders op dat moment niets hoefden te doen.

De opvolging van 23 oktober verstrakte de omtrek. Stortingen en opnames van beide tokens werden gepauzeerd, en Swell noemde Seal911 als partner en verklaarde dat alle fondsen veilig waren. Het protocol zei dat het herstellen van de NAV naar de juiste waarde de volgende stap was voordat de stortings- en opnamesystemen worden heropend. Swell waarschuwde gebruikers bovendien om het phishing-risico als verhoogd te beschouwen en uitsluitend officiële kanalen te vertrouwen. De concrete mijlpalen vanaf nu zijn de reeds bekende: de NAV-herstelling, de heropening van stortingen en opnames en — afleesbaar on-chain — of de vier voorbereide upgrade-payloads worden verwijderd en de getroffen keys worden vervangen.

Waarom de Pauze Belangrijk Is

Het incident laat zien dat het risico van liquid staking tokens (LST's) niet beperkt blijft tot slimme contractexploits — het draait ook om wie de keys beheert die de koers bewegen.

swETH en rswETH zijn liquid staking- en restaking-ontvangsten. Wanneer een oracle-bot de wisselkoers kan verhogen zonder nieuwe ETH als dekking, erven secundaire markten en leningsplatformen die getRate() raadplegen een vertekende prijs. En wanneer upgrade-payloads gereed liggen voor een timelock, is de volgende faalwijze een geprivilegieerde installatie, geen phishing-lokaas voor particulieren.

Swells bevriezing stopt nieuwe stortingen en exits terwijl partners werken aan het ongedaan maken van de ongedekte ophoging en het vervangen van gecompromitteerde keys. Het vervangen van keys is de standaardmaatregel bij een gecompromitteerde hot key, omdat het protocol daarmee de schrijftoegang tot deers intrekt. Dat is taal van insluiting, en het is niet hetzelfde als zeggen dat het aanvalsoppervlak nooit open is geweest.

De volgorde — eerst een onderzoeksthread, dan een "fondsen zijn veilig"-verklaring, dan de pauze — is een bekende bij protocolbeveiligingsincidenten. Liquid staking-technologie blijft veranderen, maar gecompromitteerde hot keys kunnen nog steeds het volgende hoofdstuk schrijven.

Bron: Live Bitcoin News