10 bekannte DeFi- und Bridge-Sicherheitsvorfälle aus 2021–2022

Diese zehn historischen Sicherheitsvorfälle zeigen unterschiedliche Risiken bei DeFi, Blockchain-Brücken und Kryptodienstleistern. DeFi steht für dezentrale Finanzdienste wie Handel, Kredite und Liquiditätsbereitstellung. Dezentralisierung garantiert weder Datenschutz noch Sicherheit oder Rendite. Nicht jedes genannte Unternehmen ist selbst ein dezentrales Protokoll.

Das Wachstum brachte Schwächen bei Verträgen, Schlüsselverwaltung, Governance und Weboberflächen ans Licht. Die Auswahl behandelt bekannte Vorfälle aus 2021–2022, keine aktuelle Rangliste der größten Angriffe. Dollarwerte sind historische Schätzungen; gestohlene Vermögenswerte, gefährdete Mittel und endgültige Verluste unterscheiden sich.

1. Ronin Network — rund 625 Millionen US-Dollar

Die Ronin-Brücke wurde am 23. März 2022 angegriffen; die Entdeckung wurde am 29. März bekannt. Der historische Schätzwert lag bei rund 625 Millionen US-Dollar. Die Brücke verband Ronin mit Ethereum und diente unter anderem den Vermögenswerten von Axie-Infinity-Spielern.

In Axie Infinity sammeln und züchten Spieler digitale Kreaturen und lassen sie gegeneinander kämpfen. Eigenschaften können die Seltenheit beeinflussen; Belohnungen und Marktwert sind nicht garantiert.

Der Angreifer kontrollierte die Befugnisse von fünf der neun Validatoren und signierte unbefugte Abhebungen von 173.600 ETH und 25,5 Millionen USDC. Sky Mavis ersetzte später Nutzermittel; das unterscheidet sich von der Rückholung der Beute. Im September 2022 meldete Chainalysis, dass mehr als 30 Millionen US-Dollar der gestohlenen Werte beschlagnahmt worden waren. Die Behauptung, nichts sei wiedergefunden worden, war somit falsch.

2. Poly Network — rund 610 Millionen US-Dollar

Am 10. August 2021 wurden Poly Network auf Ethereum, BNB Smart Chain und Polygon rund 610 Millionen US-Dollar entzogen. SlowMists technische Analyse zeigte missbrauchte Vertragsaufrufe zwischen Ketten, mit denen der vertrauenswürdige Keeper ersetzt wurde. Anders als bei Ronin wurden dabei nicht die privaten Validatorenschlüssel gestohlen.

Während der Wiederherstellung lag ein großer Restbetrag zeitweise in einer Multisignatur-Wallet, die Mitwirkung von Projekt und Angreifer erforderte. Poly Network bot 500.000 US-Dollar und sprach davon, den Angreifer nicht zu verfolgen, konnte aber keine Immunität gegenüber Behörden garantieren. Die Aussage über weiterhin gesperrte 268 Millionen beschrieb nicht den abgeschlossenen Verlauf.

Am 23. August meldete Poly Network, dass die Kontrolle über die übrigen Werte wiederhergestellt worden war. Tether übertrug am 25. August auch rund 33,43 Millionen eingefrorene USDT an die Wiederherstellungs-Wallet. Am 26. August erklärte das Projekt alle betroffenen Werte für zurückerlangt. Die 33 Millionen waren daher nicht einfach ungeklärt verschwunden. Die Angabe des Angreifers, er habe aus Spaß gehandelt, war seine eigene Darstellung.

3. Wormhole Bridge — rund 325 Millionen US-Dollar

Wormhole übermittelt Nachrichten und Token zwischen Blockchains. Wrapped Token repräsentieren Werte auf einer anderen Kette und benötigen korrekte Prüfung und ausreichende Deckung.

Bei diesem Vorfall am 2. Februar 2022 wurde die Prüfung auf Solana umgangen. Der Angreifer erzeugte 120.000 ungedeckte wETH, nicht lediglich 93.750. Davon wurden 93.750 über die Brücke in ETH auf Ethereum eingelöst. Jump Crypto stellte 120.000 ETH zur Wiederherstellung der Deckung bereit; das war keine Rückgabe des Angreifers.

4. Nomad Bridge — rund 186–190 Millionen US-Dollar

Am 1. August 2022 akzeptierte Nomad nach einer Vertragsänderung wegen eines Authentifizierungsfehlers ungültige Nachrichten. Abhebungen benötigten keine entsprechende Einzahlung. Es handelte sich nicht um eine neue Kreditmöglichkeit, die Angreifer geschaffen hatten.

Die Methode ließ sich leicht kopieren. Nomad meldete mehr als 300 beteiligte Adressen und veröffentlichte Adress- und Transaktionsdaten für die Untersuchung. Adressen sind nicht zwingend verschiedene Personen. Das Team bat um Rückgaben und richtete eine Wiederherstellungs-Wallet sowie ein Prämienprogramm ein.

Am 17. August 2022 meldete Nomad mehr als 37 Millionen US-Dollar beziehungsweise rund 20 Prozent zurückerhaltene Mittel. Diese datierte Angabe ist genauer als eine unbestimmte Aussage über mehr als 30 Millionen zurück und den Rest weiterhin verschwunden. Freiwillige Rückgaben begleiteten weitere Ermittlungen.

5. Beanstalk Farms — rund 182 Millionen Dollar Auswirkung, 77 Millionen Nicht-Bean-Werte gestohlen

Beanstalk ist ein kreditbasiertes Stablecoin-Protokoll. Der Bean-Zielkurs sollte durch Anreize für Kreditgeber gestützt werden, nicht durch eine gewöhnliche Dollarreserve pro Token. Algorithmische Stablecoins haben unterschiedliche Modelle und verwenden nicht alle dieselben digitalen Reserven.

Am 17. April 2022 nutzte der Angreifer einen Flash-Kredit für ausreichende Stimmrechte und führte einen schädlichen Governance-Vorschlag aus, der Protokollwerte abführte. Die oft genannten rund 182 Millionen US-Dollar Gesamtauswirkung waren nicht der Nettoerlös. Beanstalk meldete rund 77 Millionen US-Dollar gestohlene Werte außerhalb von Bean.

Eine kleinere Übertragung von rund 250.000 US-Dollar ging an eine ukrainische Spendenadresse. Falsch war die Aussage, der Angreifer habe rund 70 Millionen behalten und den gesamten Rest der 182 Millionen Flüchtlingen gespendet. Flash-Kredit-Rückzahlungen und Unterschiede zwischen Bruttoauswirkung und Nettoerlös sind keine riesige Wohltätigkeitsspende.

6. Wintermute — rund 160 Millionen US-Dollar

Wintermute ist ein Krypto-Market-Maker. Am 20. September 2022 wurden seinen DeFi-Aktivitäten rund 160 Millionen US-Dollar entzogen. Der Vorfall wurde mit einer durch Profanity erzeugten erkennbaren Adresse und schwacher Schlüsselerzeugung in Verbindung gebracht. Vanity Wallet war kein Produktname einer Verwahrung für sämtliche Kunden.

Offline aufbewahrte Schlüssel können die Angriffsfläche im Netz begrenzen, etwa durch physische Trennung vom Netzwerk. Cold Storage behebt aber nicht alle Vertragsfehler oder schädlichen Tokenfreigaben. Sichere Schlüsselerzeugung, begrenzte Rechte und sorgfältiger Umgang mit operativen Wallets bleiben nötig.

7. Compound — fehlerhafte COMP-Verteilung, kein belegter Nettoverlust von 150 Millionen

Compound ist ein Kreditprotokoll, das nach dem Vorfall weiterlief. Am 29. September 2021 führte Vorschlag 62 einen Fehler in die COMP-Belohnungsberechnung ein. Der teilweise als undichter Wasserhahn beschriebene Fehler verteilte zu viel vorhandenes COMP; er erzeugte nicht unbegrenzt neue Token.

Die zunächst genannten 280.000 COMP waren verfügbare Belohnungen im Comptroller-Vertrag, kein von Hackern angelegter Liquiditätspool. Später konnte weiteres COMP aus dem Reservoir hinzukommen. Änderungen brauchten Governance-Vorschläge und Wartezeiten und waren nicht sofort umsetzbar.

Compound meldete am 14. Oktober, dass 163.000 fälschlich beanspruchte COMP zurückgegeben wurden, 130.000 im Comptroller verblieben und rund 200.000 falsch verteilte COMP noch ausstanden. Vorschlag 64 behob den Fehler am 8. Oktober; weitere Buchhaltungskorrekturen erforderten einen Folgevorschlag. Es ging um Belohnungen, nicht um einen dokumentierten Diebstahl von 150 Millionen aus Nutzereinlagen. Auch eine pauschale Rückholung von mehr als der Hälfte eines festen Gesamtbetrags belegen die Zahlen nicht.

8. Vulcan Forged — rund 140 Millionen US-Dollar

Der Angriff auf Vulcan Forged traf im Dezember 2021 Spieler-Wallets. Die Plattform bietet Blockchain-Spiele und einen NFT-Marktplatz. Token in anderen Anwendungen zu verwenden garantiert keine höhere Rendite.

Laut Venly wurden Vulcan-Forged-Server kompromittiert und PINs sowie Firmenzugangsdaten zum Export von mindestens 96 Wallets missbraucht. Venly erklärte, die eigenen Server seien nicht gehackt worden. Der PYR-Diebstahl wurde damals auf rund 140 Millionen US-Dollar geschätzt. Am 13. Dezember meldete Venly, dass Vulcan Forged den Großteil aus eigenen Beständen ersetzt hatte, nicht dass alle Schäden sofort beglichen worden seien.

9. BadgerDAO — rund 120 Millionen US-Dollar

Der Angriff vom 2. Dezember 2021 führte nach damaligen Schätzungen zu Verlusten von rund 120 Millionen US-Dollar, unter anderem in bitcoinbezogenen Token und ETH. Die Originalübersicht nannte rund 2.100 BTC und 151 ETH. Der Bitcoinbetrag bezeichnete repräsentierte Token oder Bitcoinwert, nicht native BTC in einem Ethereum-Vertrag. BadgerDAO bot bitcoinorientierte DeFi-Produkte; angegriffen wurde die Weboberfläche.

Schädlicher Code brachte Nutzer dazu, unerwünschte Tokenberechtigungen zu unterschreiben. Der technische Bericht beschrieb den Missbrauch eines Cloudflare-API-Schlüssels für Badgers Umgebung, keinen belegten Einbruch in ganz Cloudflare. Später beschrieb die Projektwebsite die Einstellung bestehender Vault-Produkte. Das war eine getrennte Produktentwicklung, kein Beleg dafür, dass alle Protokollverträge beim Angriff endeten.

10. Horizon Bridge — rund 100 Millionen US-Dollar

Der Horizon-Bridge-Angriff erfolgte am 23. Juni 2022 und wurde am 24. Juni bekanntgegeben. Rund 100 Millionen US-Dollar wurden auf der Ethereum-Seite gestohlen. Harmony beschränkte den Betrieb und ermittelte mit Sicherheitsfirmen und Behörden.

Kompromittierte private Schlüssel ermöglichten unbefugte Signaturen. Anfangs waren zwei von fünf Unterzeichnern erforderlich, nicht zwei von vier. Harmony meldete anschließend eine Erhöhung auf vier von fünf. Bedenken zur niedrigen Schwelle waren schon vor dem Angriff öffentlich geäußert worden. Multisignatur-Sicherheit hängt von der Schwelle und unabhängiger, sicherer Schlüsselverwaltung ab.

Lehren aus den Vorfällen

Neue Technik beseitigt Betrug und Angriffe nicht. Diese Fälle zeigen verschiedene Schwächen bei geliehener Stimmgewalt, Vertragslogik, Schlüsseln und Weboberflächen. Ermittlungen und Wiederherstellung können helfen, aber ein früherer Angriff garantiert weder Vorbeugung auf anderen Plattformen noch Entschädigung für Betroffene.