Securityonderzoeker Spreek meldde op 22 oktober dat een actor met de operationele hot keys van Swell DAO de wisselkoersen van de liquid staking-tokens swETH en rswETH tot aan de uurlijkse limiet van 1% had opgedreven, zonder dat de verhogingen door nieuwe ETH werden gedekt.

Wisselkoersen van liquid staking-tokens stijgen normaal gesproken alleen doordat staking-beloningen worden opgebouwd, dus een stijging zonder nieuwe ETH erna duwt het gerapporteerde tarief boven het niveau dat de holdings van het protocol ondersteunen. De bevindingen kwamen enkele uren naar buiten nadat cloudplatform Railway had openbaard dat een indringer mogelijk toegang had gekregen tot geheimen die door klanten waren opgeslagen.

Vijf tariefsverhogingen van ongeveer 1% geregistreerd over beide tokens

Spreek deelde de bevindingen op X om 01:28 UTC en schreef dat de admin-sleutels van beide tokens "appear to be compromised (railway related?)". Volgens het bericht waren aanvallers bezig met "raising NAV by max 1% (unbacked) each hour."

Phylax Systems-oprichter Odysseus omschreef de activiteit als "BOT-key abuse" en telde drie tariefsverhogingen voor swETH en twee voor rswETH van elk ongeveer 1%. Swells gepubliceerde oracle-code beperkt het indienen van herprijsingsmomentopnames tot de BOT-rol alleen. Die bot draait op hot keys, die online blijven en transacties ondertekenen zonder menselijke tussenkomst — een regeling die de nauwkeurigheid van het on-chain tarief in handen legt van één set altijd-online inloggegevens. Dergelijke tariefplafonds beperken hoe ver een oracle de prijs in één update kan verschuiven; hier bepaalden ze het tempo van de onbevoegde verhogingen.

Ethereum-gegevens tonen één adres dat op 21 oktober om 23:02 UTC een swETH-momentopname indiende, gevolgd door verdere inzendingen om 00:04 en 01:08 UTC op 22 oktober. Gerapporteerde cijfers per 22 oktober plaatsen swETH circa 3,0% boven 1.133254 ETH, terwijl rswETH ongeveer 2,0% boven 1.082464 ETH stond.

Railway [meldde op 21 oktober]( dat het afwijkende activiteit had waargenomen in systemen die omgevingsvariabelen van klanten opslaan — een standaard plek voor applicaties om runtime-inloggegevens te bewaren — en dat een externe partij mogelijk toegang had tot de gedecodeerde inhoud van een deel daarvan. De opgeslagen geheimen omvatten API-sleutels en registry-inloggegevens. Het platform bevroor alle implementaties en riep gebruikers op om opgeslagen geheimen te roteren.

Diezelfde dag meldde crypto-onderzoeker Tay dat een aanvaller circa $371.000 had afgetapt uit wallets op ten minste 19 EVM-ketens met sleutels die op Railway waren opgeslagen. Er is geen verband bevestigd tussen het Railway-lek en het Swell-incident.

Vier kwaadaardige upgrade-contracten kunnen ongeveer 2.500 ETH buitmaken

Swell meldde op X om 03:03 UTC op 22 oktober dat het op de hoogte was van meldingen van "verdachte activiteit op de swETH- en rswETH-contracten" en dat het samen met zijn securitypartners onderzoek deed. "Er is geen ETH vertrokken uit de opname- of stortingscontracten van swETH of rswETH", schreef het team, met de toevoeging dat geen actie van gebruikers vereist was.

Op 23 oktober pauzeerde Swell stortingen en opnames voor swETH en rswETH, met de mededeling dat deze functies pas worden hervat zodra de NAV terugkeert naar de juiste waarde. De wisselkoers bepaalt hoeveel ETH elk token bij storting en opname oplevert, en daarom hangt het heropenen van die functies af van de gecorrigeerde cijfer.

Spreek meldde eveneens dat vier kwaadaardige upgrade-contracten waren uitgerold die ongeveer 2.500 ETH konden buitmaken bij uitvoering. Odysseus schatte dat Swell 2.513 ETH aanhield, terwijl hij opmerkte dat dit bedrag "is NOT confirmed loss". Geen van de upgrades was op het moment van de meldingen uitgevoerd, waardoor hun status, de NAV-correctie en een eventueel bevestigd verband met het Railway-incident de belangrijkste aandachtspunten zijn.

Sommige details in het onderzoek zijn naar verluidt met behulp van AI samengesteld en ongeverifieerd.

Opgedreven tarieven brengen besmettingsrisico met zich mee voor leningsmarkten

Naar verluidt wordt slechts een fractie van de verhoogde tarieven weerspiegeld in DEX-prijzen. Swells liquid staking- en liquid restaking-producten hielden elk circa $29 miljoen aan totale waarde vast op 23 oktober, terwijl gegevensbronnen wijzen op een marktkapitalisatie voor rswETH tussen $27 miljoen en $58 miljoen.

In een leningsmarkt die swETH of rswETH prijst op basis van het on-chain tarief, zou het opgedreven cijfer als onderpand meetellen. Cryptopolitan volgde eerder een vergelijkbaar besmettingspad toen KelpDAO's rsETH-exploit zich verspreidde naar Layer 2-leningsmarkten. Gelekte sleutels lagen ook ten grondslag aan het Fearless Wallet-extensie-incident, waarbij de privésleutels van Polkadot-gebruikers naar een server van een aanvaller werden gestuurd.