Ankr-Ethereum-Bridge ausgenutzt: Über 303.000 US-Dollar durch wiederverwendete Optimism-Einzahlung abgezogen
Die Ethereum-Cross-Chain-Bridge von Ankr hat am 9. November bei fünf unautorisierten Abhebungen mehr als 303.000 US-Dollar verloren, laut Blockaid und dem On-Chain-Monitor Onchain Lens. Der Angreifer verwendete eine kleine Optimism-Einzahlung erneut, die bereits eingelöst worden war, und das Pausen-Flag der Bridge blieb im Berichtszeitraum ungesetzt.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was passiert ist
Ein Angreifer hat am 9. November über fünf Abhebungen mehr als 303.000 US-Dollar an Kryptowerten von Ankrs Ethereum-Cross-Chain-Bridge abgezogen, laut Crypto.news. Blockaid hat die Aktivität am Montag erstmals gemeldet, mit einer anfänglichen Verlustschätzung von rund 292.000 US-Dollar über die fünf Transaktionen; Onchain Lens meldete eine ähnliche frühe Zahl. Die Quellen weichen bei der endgültigen Summe voneinander ab: Blockaids erste Schätzung lag bei etwa 292.000 US-Dollar, spätere Analysen der abgehobenen Token bezifferten den Gesamtwert jedoch auf über 303.000 US-Dollar.
Die Abhebungen erfolgten zwischen 3:09 Uhr und 3:12 Uhr Eastern Time und sendeten verschiedene Token an eine einzige Zielwallet. Der größte Anteil entfiel auf rund 82,91 ankrETH im Wert von 216.370 US-Dollar. Weitere 515.206 ankrPOL-Token waren 56.372 US-Dollar wert, und etwa 7,98 Millionen ANKR-Token 30.857 US-Dollar.
Die wiederverwendete Einzahlung
Der Exploit drehte sich um eine Einzahlung über Optimism am 3. November, bei der 0,0044024803 ankrETH bewegt wurden. Laut einer Transaktionsanalyse, über die The Defiant und Crypto.news berichteten, war diese Einzahlung am selben Tag bereits auf Ethereum eingelöst worden. Der Angreifer verwies dennoch am 9. November in fünf neuen Abhebungsanfragen darauf, mit jeweils modifizierten Quittungsdaten, die einen anderen Empfänger, größere Beträge und andere Token nannten.
Nach dem Design der Bridge sollte eine abgeschlossene Einzahlung keine weiteren Abhebungen autorisieren, schon gar nicht für andere Vermögenswerte. Die fünf Transaktionen haben die Prüfungen der Bridge dennoch passiert. Die verfügbare Berichterstattung klärt nicht, wie der Angreifer eine gültige Autorisierung erlangt hat oder ob das Versagen im Signierprozess, bei der Quittungsvalidierung oder in einer anderen Komponente lag.
Bewertungsvorbehalte und offene Fragen
Die Summe von 303.000 US-Dollar umfasst nur drei bepreiste Vermögenswerte. Zwei weitere Token, 5.372,25 aMATICb und 0,8196 aETHb, wurden ebenfalls transferiert, doch Etherscan zeigte zum Zeitpunkt der Bewertung keine Preise für sie an, weshalb sie nicht in die Summe einfließen. Die Zahl ist daher eine Untergrenze des entzogenen Werts und keine vollständige Bilanz. Sie spiegelt zudem den geschätzten Marktwert wider und nicht, was der Angreifer bereits in andere Vermögenswerte umgewandelt hat.
Um 3:49 Uhr Eastern Time zeigte die Transaktionshistorie der Bridge nach den Abhebungen keine weitere Aktivität, das öffentliche Pausen-Flag stand jedoch weiterhin auf false. Die Berichterstattung bestätigt nicht, ob Ankr weitere Eindämmungsmaßnahmen ergriffen hat, und das Ausmaß des Vorfalls bleibt ungeklärt. Blockaid bezeichnete den Exploit zum Zeitpunkt seines Berichts als andauernd, ein Status, den die Quellen nicht aktualisieren.
Warum es wichtig ist
Für Trader
Inhaber von ANKR und den liquiden Staking-Token von Ankr sollten auf eine Stellungnahme Ankrs zur Eindämmung achten, da das Pausen-Flag im Berichtszeitraum noch ungesetzt war.
Für Investoren
Ein Exploit durch wiederverwendete Einzahlungen auf einer aktiven Bridge wirft grundsätzliche Fragen zu den Verifizierungskontrollen von Ankr auf, unabhängig davon, wie der Verlust letztlich wiederhergestellt oder entschädigt wird.
Für Entwickler
Jede Bridge, die Einzahlungsquittungen als Einmalnachweise behandelt, muss Nonce- oder Tracking-Mechanismen für bereits verbrauchte Quittungen auf der Zielchain durchsetzen und darf sich nicht allein auf Attestierungen aus dem Backend verlassen.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
