Das 402bridge-Protokoll ist einem erheblichen Sicherheitsvorfall zum Opfer gefallen, der zum Verlust von über 17.000 USDC führte. Der Einbruch, der am 27. Oktober stattfand, kompromittierte über ein Dutzend Wallets des Teams aufgrund eines Lecks privater Schlüssel. Dieses Ereignis unterstreicht die anhaltenden Sicherheitsprobleme im Ökosystem der Cross-Chain-Bridges.
Wichtige Erkenntnisse
-
Verlustbetrag: Über 17.693 USDC wurden gestohlen.
-
Ursache: Ein Leck privater Schlüssel führte zur Kompromittierung mehrerer Wallets und eines Smart Contracts.
-
Angriffsvektor: Ein Angreifer nutzte eine Schwachstelle der "übermäßigen Autorisierung", änderte den Eigentümer des Smart Contracts und transferierte Benutzergelder.
-
Aktionen des Angreifers: Die gestohlenen USDC wurden in 4,2 ETH umgewandelt und auf das Arbitrum-Netzwerk übertragen.
-
Empfehlungen: Benutzern wird geraten, die Autorisierung für den kompromittierten Smart Contract zu widerrufen.
-
Untersuchung: Die Strafverfolgungsbehörden wurden benachrichtigt und eine interne Untersuchung ist im Gange.
Der Vorfall entfaltet sich
Am 27. Oktober zielte ein unbekannter Hacker auf das Cross-Chain-Protokoll 402bridge ab und stahl erfolgreich etwa 17.693 USDC. Der Einbruch wurde auf ein Leck eines privaten Schlüssels zurückgeführt, das anschließend über ein Dutzend Test- und Haupt-Wallets des Teams kompromittierte. Sicherheitsexperten von GoPlus identifizierten die Grundursache als "übermäßige Autorisierung" vor der Münzausgabe. Der Angreifer schaffte es, den Eigentümer des kompromittierten Smart Contracts zu ändern und nutzte die Methode transferUserToken, um überschüssige USDC an die Wallets von über 200 Benutzern zu verteilen. Danach zog der Angreifer die Stablecoins ab, wandelte sie in 4,2 ETH um und transferierte die Gelder in das Arbitrum-Netzwerk.
Verständnis der Schwachstelle
Der Mechanismus des 402bridge-Protokolls erfordert, dass Benutzer Transaktionen über eine Weboberfläche signieren oder genehmigen, die dann an einen internen Server gesendet werden. Dieser Server extrahiert die Gelder und prägt die Münzen. Das 402bridge-Team erklärte, dass zur Erleichterung dieses Prozesses der private Schlüssel auf dem Server gespeichert werden muss, wodurch er online zugänglich wird. Ein Leck dieses Schlüssels könnte einem Angreifer Administratorrechte gewähren und ihm ermöglichen, Benutzergelder umzuleiten und einen solchen Angriff auszuführen.
Breitere Auswirkungen und Branchendebatte
Dieser Vorfall markiert den ersten öffentlichen Diebstahl von Geldern im Zusammenhang mit dem x402-Protokoll, einem Online-Zahlungswerkzeug für Stablecoin-Transaktionen und autonome Geschäfte für KI-Agenten. Der Angriff ereignet sich auch inmitten einer breiteren Debatte über die Sicherheit von Layer-2 (L2)-Skalierungslösungen. Kurz vor dem 402bridge-Vorfall kam es zu einer Auseinandersetzung zwischen dem Krypto-Forscher Gabriel Shapiro und dem Solana-Mitbegründer Anatoly Yakovenko bezüglich der L2-Sicherheit. Yakovenko argumentierte, dass aktuelle L2s aufgrund von genehmigten Multisigs, die Bridge-Verträge ohne Benutzerbenachrichtigung ändern können, anfällig seien, und kontrastierte dies mit den Validatoren von Solana. Shapiro konterte, dass L2s wie ZKsync rechtliche und Governance-Schutzmaßnahmen hätten, obwohl Yakovenko darauf bestand, dass rechtliche Konstrukte technische Risiken nicht beseitigen. Experten von Global Ledger haben zuvor Cross-Chain-Bridges als primäres Werkzeug für Hacker zur Geldwäsche gestohlener Gelder identifiziert und die Geschwindigkeit des Geldabzugs nach einem Hack als großes Problem der Branche hervorgehoben.
Quellen
-
402bridge-Sicherheitslücke führt zu USDC-Verlusten für über 200 Nutzer, Blockchain News
-
17.000 USD durch Ausnutzung des x402-Trends und Diebstahl privater Schlüssel verloren, Intellectia
-
402bridge wurde inmitten des x402-Trends durch Diebstahl privater Schlüssel um 17.000 USDC gebracht, The Crypto Times
Dieser Artikel wurde mit Unterstützung KI-gestützter Technologie erstellt und basiert auf mehreren renommierten Quellen. Der endgültige Inhalt wurde von der Redaktion von BlockzHub sorgfältig geprüft und bearbeitet, um Genauigkeit, Klarheit und Kohärenz sicherzustellen. Originalquellen werden, sofern erforderlich und angemessen, entsprechend gewürdigt. Die in diesem Artikel geäußerten Meinungen spiegeln nicht notwendigerweise die offiziellen Ansichten oder Positionen von BlockzHub wider. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Fachberatung dar. Investitionen bergen Risiken, und Sie sollten vor Anlageentscheidungen einen qualifizierten Finanzberater konsultieren.