Wie sich herausstellte, braucht man keinen Staatshaushalt, um eine Blockchain mit mehreren Milliarden Dollar zu bedrohen. Man braucht ungefähr 3.000 US-Dollar und ein sehr gutes Wochenende. Das ist die unbequeme Erkenntnis aus einer Offenlegung, die am 4. Juli öffentlich wurde, als das Sicherheitsunternehmen Hexens einen kritischen Fehler bekannt machte, den es bereits im Februar in Aptos entdeckt hatte. Der Bug steckte in der Move-Virtual-Machine, dem Motor, der jeden Smart Contract auf der Kette ausführt, und war ernst genug, dass Hexens das erstklassige systemische Risiko auf rund 70 Milliarden US-Dollar bezifferte. Für ein Netzwerk, das sich mit Tempo und Sicherheit vermarktet, ist das keine Zahl, die sich jemand an den Namen hängen möchte. Die gute Nachricht, auf die wir gleich eingehen werden, ist: Es wurden nie Gelder verloren. Die schlechte Nachricht ist, wie wenig es gebraucht hätte, um das zu ändern.

Die Geschichte ist wichtig, weil Aptos kein verlassenes Testnetz ist. Es ist eine erstklassige Layer-1 mit echten Stablecoins, echten Bridges und echtem Geld, das in ihrem Ökosystem geparkt ist. Wenn ein Forschender Ihnen sagt, der Fehler hätte so viel Wert erreichen können, dann geht es nicht nur um Token, die in Wallets herumliegen. Dann geht es um die Infrastruktur, die Aptos mit dem Rest von Krypto verbindet. Und die Menschen, die das herausgefunden haben, taten das mit einem Budget, das nicht einmal für einen soliden Gaming-PC gereicht hätte.

Was sie tatsächlich gefunden haben

Hexens beschrieb das Problem als einen „Stale-Cache-Bug“, der zu einer Type-Confusion-Sicherheitslücke führte. In einfachen Worten heißt das: Die Software konnte dazu gebracht werden, eine Art On-Chain-Ressource so zu behandeln, als wäre es eine völlig andere. Wenn Sie schon einmal jemandem den falschen Schlüssel gegeben und zugesehen haben, wie er eine Tür öffnet, die er niemals hätte anfassen dürfen, dann haben Sie ungefähr die Vorstellung. Laut dem Unternehmen erlaubte der Fehler einem Angreifer potenziell, On-Chain-Structs und Authority-Ressourcen zu kapern – das sind die Kerndatenstrukturen, die darüber entscheiden, wem was gehört und wer was tun darf. Wenn man damit herumspielt, hören die normalen Regeln zur Eigentümerschaft auf, noch viel zu bedeuten.

Type Confusion ist eine dieser Bug-Klassen, die akademisch klingt, bis sie auf echtes Geld zielt. Sie verfolgt traditionelle Software seit Jahrzehnten, und die Move-Sprache wurde speziell dafür entwickelt, dass so etwas schwer umzusetzen ist. Deshalb sticht diese Offenlegung auch ein wenig. Der ganze Clou von Move ist, dass es digitale Assets als besondere Ressource behandelt, die der Compiler engmaschig absichert – daher ist es ein bisschen wie das Finden eines Lecks im einen Boot, das angeblich unversenkbar ist, wenn in Aptos ein Type-Confusion-Fehler an die Oberfläche kommt.

Der unheimliche Teil: Es brauchte 3.000 US-Dollar, um es möglich zu machen

Viele Blockchain-Exploits erfordern tiefe Taschen, Insiderzugriff oder die Kontrolle über einen großen Teil des Netzwerks. Dieser hier habe angeblich nicht dazu gehört. Hexens sagt, dass es den Angriff unter realen Netzwerkbedingungen simuliert hat – mit einer Erfolgsquote von über 90 Prozent. Dafür wurde ein Server-Setup verwendet, das rund 3.000 US-Dollar kostete, und das etwa ein Drittel des Validator-Sets abbildete. Keine speziellen Berechtigungen, keine Hilfe von Insidern, keine Zusammenarbeit mit irgendwem, der bereits im System drin war. Diese Kombination ist es, die aus einer technischen Neugier eine echte Notlage macht, denn das bedeutet: Die Einstiegshürde war so gut wie nichts. Wenn die Kosten, um etwas zu knacken, in den Hunderten oder niedrigen Tausendern von Dollar gemessen werden und der Preis in Milliarden, dann verlassen Sie sich vollständig darauf, dass niemand anderes als Erster etwas bemerkt.

Woher die Zahl von 70 Milliarden US-Dollar kommt

Eine Zahl von 70 Milliarden US-Dollar klingt fast schon wie eine Comic-Zahl für eine Kette, deren eigene Token-Marktkapitalisierung nur ein Bruchteil davon ist – daher lohnt es sich, das zu erklären. Hexens behauptete nicht, dass direkt 70 Milliarden US-Dollar auf Aptos sitzen. Die Schätzung umfasst alles, worauf der Fehler sich durch die Verbindungen hätte auswirken können, die Krypto in den letzten Jahren still und heimlich aufgebaut hat. Dazu gehören Werte, die über Bridges fließen, Cross-Chain-Messaging-Systeme, Stablecoin-Verwaltungsabläufe sowie Assets, die von zentralisierten Börsen verwahrt werden und mit dem Netzwerk in Berührung kommen. Modernes Krypto ist miteinander verflochten, und ein Leck in einer wichtigen Kette bleibt nicht höflich auf genau diese Kette beschränkt. Das ist die eigentliche Warnung – und sie gilt viel mehr als nur für Aptos.

Die stille Korrektur, von der bis jetzt niemand etwas hörte

Hier ist der Teil, der daraus keine Horrorgeschichte macht. Hexens meldete den Fehler am 25. Februar über das Bug-Bounty-Programm von Aptos Labs, und das Team sagt, dass eine Lösung entwickelt, getestet und innerhalb weniger Stunden nach der Entdeckung auf das Mainnet gebracht wurde. Ein Aptos-Sprecher sagte gegenüber CoinDesk, dass zu keinem Zeitpunkt Nutzer oder Gelder betroffen waren. Die Details wurden erst Monate später veröffentlicht – genau so, wie verantwortungsvolle Offenlegung funktionieren soll. Die Forschenden wurden bezahlt, das Leck wurde geflickt, bevor es jemand mit bösen Absichten fand, und die weite Welt erfuhr davon, sobald es sicher war, darüber zu sprechen.

Trotzdem lohnt es sich, innezuhalten und sich vor Augen zu führen, was beinahe passiert wäre. Ein Fehler, der sich über 70 Milliarden US-Dollar an verbundenem Wert hätte ausbreiten können, wurde durch ein Bug Bounty und eine schnelle technische Reaktion geschlossen – nicht durch Glück im Moment des Angriffs. Wenn White-Hat-Forschende nicht als Erste dort gewesen wären, würde das Ganze heute ganz anders klingen. Die Lehre für alle, die Krypto halten, lautet nicht, sich wegen Aptos im Speziellen in Panik zu versetzen (das ist inzwischen behoben), sondern darauf zu achten, wie stark die Sicherheit in dieser Branche noch von einer kleinen Gruppe ethischer Hacker abhängt, die sich dafür entscheidet, eine E-Mail zu schicken statt ein Wallet zu leeren. Das ist eine schmale Linie – und daran lohnt es sich zu denken, das nächste Mal, wenn eine Kette Ihnen sagt, sie sei unzerbrechlich.

---------------

Autor: Dorian Fenwick Silicon Valley NewsroomBreaking Crypto News

Abonniere GCP in einem Reader