b14g-Exploit: Rund 97 Mio. CORE abgeflossen, Börsen frieren 9 Mio. ein, Quellen uneinig über Umfang
Die Bitcoin-Staking-Plattform b14g verlor bei einem Exploit am 31. Okt. rund 97 Mio. CORE, nachdem der Angreifer 91 Staking-Positionen durch Auszahlungen über null Token geleert hatte. Die Plattform hat die betroffenen Verträge pausiert, und Börsenpartner haben Berichten zufolge rund 9 Mio. CORE eingefroren, die mit dem Angreifer in Verbindung stehen.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was passiert ist
Das Bitcoin-Staking-Protokoll b14g verlor am 31. Okt. bei einem Exploit rund 97 Mio. CORE-Token, ein Verlust, den die Plattform mit 1,47 Mio. $ bewertete. Laut einer Untersuchung des Blockchain-Analyseunternehmens Bitquery leerte der Angreifer um 09:29 UTC in einer einzigen Transaktion 91 Staking-Positionen, indem er Auszahlungsanfragen über null CORE einreichte.
Bitquery zufolge reichte der Angreifer 99 Auszahlungsanfragen mit einem Wert von null für Staking-Positionen ein, die er nicht finanziert hatte. Der Staking-Vertrag von Core interpretiert eine Auszahlung von null Token Berichten zufolge als Anweisung, das gesamte gestakte Guthaben auszuzahlen, und der Vertrag von b14g leitete diese Anweisungen weiter, ohne sie abzulehnen. Bitquery erklärte, es habe den Quellcode von b14g nicht geprüft und könne den genauen Programmierfehler nicht benennen; außerdem wies das Unternehmen darauf hin, dass die zugrunde liegende Logik Berichten zufolge seit rund 17 Monaten im Einsatz gewesen sei.
Umfang und umstrittene Zahlen
Beide Quellen stimmen in den Kernfakten überein, unterscheiden sich jedoch darin, wie viel CORE letztlich eingefroren wurde. The Defiant berichtet, Börsen hätten rund 9 Mio. CORE eingefroren, während b14g in der Berichterstattung wiedergegebenen eigenen Darstellung zufolge beschreibt, dass Börsenpartner rund 9 Mio. CORE eingefroren haben, die mit dem Angreifer in Verbindung stehen. Keine der Quellen nennt eine abgestimmte Zahl dafür, wie viel der 97 Mio. CORE noch wiederbringlich ist; der eingefrorene Betrag ist daher als teilweise und nicht verifizierte Rückholquote zu verstehen.
Zum Umfang des Vorfalls berichten beide Quellen, dass b14g erklärt habe, das gestakte Bitcoin sei nicht betroffen. Die BTC bleiben auf der Bitcoin-Blockchain zeitlich gesperrt, und der Exploit beschränkte sich auf CORE-Einlagen. Core DAO erklärte gesondert, die zugrunde liegende Blockchain sei nicht kompromittiert worden und ihr Konsensmechanismus, ihre Validatoren und ihre Staking-Verträge arbeiteten weiterhin normal. Ebenso sei CORE, das direkt bei Validatoren oder über andere Protokolle gestakt wurde, nicht betroffen.
Geldbewegungen und Zeitablauf der Reaktion
Blockchain-Daten zeigen, dass b14g die betroffenen Verträge erst um 10:35 UTC pausierte, rund 66 Minuten nach dem ersten Angriff. In diesem Zeitfenster verschob der Angreifer 23 Mio. CORE aus der ursprünglichen Wallet über mehrere neu erstellte Adressen. Der Zeitablauf lässt nicht erkennen, wann b14g den Vorfall erstmals bemerkte, auch wenn die Plattform erklärte, die Verträge unmittelbar nach Identifizierung des Vorfalls pausiert zu haben.
Bitquery verfolgte einen Teil der gestohlenen Mittel zu Zwischenadressen, die mit der Infrastruktur der Börsen Bybit, Gate.io und MEXC in Verbindung stehen. Es identifizierte einen Dienst, der die anfänglichen Transaktionsgebühren des Angreifers bereitgestellt und später rund 11 Mio. CORE erhalten hatte, bevor dieser an eine Einzahlungsadresse bei MEXC weitergeleitet wurde. Bitquery warnte, dass einige Zwischen-Wallets auch Vermögenswerte anderer Kunden verwalteten, sodass nicht jede Weiterleitung direkt dem Angreifer zugeordnet werden kann. Am Abend des 31. Okt. befanden sich noch rund 68 Mio. CORE, etwa 70 % der gestohlenen Token, in drei Wallets.
Offene Fragen
Zu den zentralen ungeklärten Punkten gehören der genaue Codefehler, das Datum, an dem b14g das Problem erstmals bemerkte, und wie viel des gestohlenen Guthabens die Börsen letztlich einfrieren oder zurückgeben werden. Sowohl die Plattform als auch Bitquery erklären, die Rückholungsbemühungen mit dem Core-Team, Sicherheitspartnern und Börsen seien im Gange; eine endgültige Abrechnung wurde noch nicht veröffentlicht.
Warum das wichtig ist
Für Trader
Inhaber von CORE sollten damit rechnen, dass der Kursdruck davon abhängt, wie viel der noch vom Angreifer gehaltenen 68 Mio. CORE eingefroren oder bewegt wird, da dieses Angebot auf den Markt gelangen könnte.
Für Investoren
Der Vorfall legt ein protokollübergreifendes Abhängigkeitsrisiko offen: Ein Fehler in einem Staking-Vertrag eines Drittanbieters ermöglichte es, dass die Logik einer externen Plattform Vermögenswerte abzog, was die Bewertung des Sektorrisikos beeinflussen dürfte.
Für Entwickler
Jedes Protokoll, das Auszahlungsaufrufe an einen anderen Vertrag weiterleitet, sollte Eingaben mit Wert null und nicht gedeckten Positionen ausdrücklich validieren, anstatt davon auszugehen, dass das nachgelagerte System sie ablehnt.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
