Allbridge verbrachte 2023 damit, zu erklären, warum dieser ganz konkrete Angriff auf ihre Pools nie wieder funktionieren könne. Am Sonntagabend entwendete ein Angreifer ungefähr 1,65 Millionen US-Dollar in Stablecoins aus den Solana-Liquiditätspools von Allbridge Core, und die Methode war kein neuartiger Zero-Day, auf den niemand vorbereitet gewesen wäre. Es handelte sich um eine Flash-Loan-Pool-Ratio-Manipulation, dieselbe Angriffsklasse, die im Mai 2023 die BNB-Chain-Pools von Allbridge für etwa 570.000 US-Dollar traf. Damals veröffentlichte das Team eine Postmortem-Analyse, schluckte den Verlust und verpflichtete sich zu einer architektonischen Änderung, die dafür sorgen sollte, dass diese Angriffskategorie künftig strukturell unmöglich sei. Drei Jahre später traf dieses Versprechen auf Realität auf einer anderen Kette – und die Realität gewann. Das Protokoll hat Core inzwischen pausiert, während es die Untersuchungen durchführt.

Für alle, die Liquidität für grenzüberschreitende Brücken bereitstellen, lohnt es sich, das hier über die Schlagzeilenzahl hinaus zu lesen. Der Dollar-Betrag ist im Vergleich zu den Standards von 2026 eher klein – deutlich unter dem, was Ostium nur fünf Tage zuvor durch einen kompromittierten Oracle-Schlüssel verloren hat, und weit entfernt von den Brückenkatastrophen im neunstelligen Bereich, die den letzten Zyklus geprägt haben. Aber die Größe des Verlusts ist hier nicht wirklich die eigentliche Geschichte. Die Geschichte ist: Eine dokumentierte Schwachstelle mit dokumentierter Behebung blieb drei Jahre lang auf einer Produktions-Chain offen, und niemand merkte es, bis jemand mit einem Kamino-Konto beschloss, nachzusehen.

Wie der Angreifer es angeblich geschafft hat

Die Sequenz begann mit einem $1,12 Millionen Flash-Loan, der von Kamino aufgenommen wurde, einem Solana-Kreditprotokoll. Flash-Loans ermöglichen es, eine große Summe ohne Sicherheiten zu leihen, solange man sie innerhalb derselben Transaktion zurückzahlt – das macht sie perfekt für alle, die vorübergehend „Größe“ benötigen, um einen Pool aus dem Gleichgewicht zu bringen. Der Angreifer nutzte das geliehene Kapital, um USDC in USDT innerhalb der Solana-Pools von Allbridge schnell umzutauschen und so das Verhältnis zwischen den beiden Vermögenswerten weit weg von dem zu verschieben, wo es eigentlich liegen sollte. Die Preiskalkulation von Allbridge behandelte dieses verzerrte Verhältnis anschließend als real, wodurch der Angreifer mehr Wert abziehen konnte, als er eingezahlt hatte. Wiederhole die Schleife, tilge den Kredit, behalte die Differenz und gehe mit rund $1,65 Millionen davon – ungefähr in der Zeit, die es dauert, diesen Absatz zu lesen.

Davon ist nichts Exotisches dabei. Das Manipulieren von Flash-Loan-Pools steht seit 2020 in jeder DeFi-Sicherheits-Checkliste, und Auditoren melden es als Routinepunkt. Was es ermöglicht, ist eine konkrete strukturelle Voraussetzung: Zwei oder mehr austauschbare Assets liegen in Pools, die innerhalb einer einzelnen atomaren Transaktion miteinander interagieren können. Entfernt man diese Voraussetzung, hat der Angriff nichts, woran er greifen kann. Genau das soll Allbridge nach dem BNB-Chain-Vorfall gesagt haben.

Die 2023er Lösung, die Solana nie erreichte

Nach dem Angriff im Mai 2023 war die erklärte Gegenmaßnahme von Allbridge, pro Blockchain auf einen einzelnen Liquiditätspool umzusteigen. Ein Pool bedeutet: kein „Geschwisterpool“, gegen den man tauschen kann, kein Verhältnis, das man verzerren kann, und kein Pfad, über den ein Flash-Loan irgendetwas Nützliches anrichten könnte. Auf dem Papier ist das eine saubere Lösung – und es ist die Art Antwort, die Einleger beruhigt, weil sie die Form des Systems ändert, statt nur ein Symptom zu flicken. Das Team konnte zudem ungefähr $465.000 der 2023er Verluste über eine White-Hat-Vereinbarung mit dem Angreifer zurückholen; damals wirkte das wie eine einigermaßen kompetente Bewältigung einer schlechten Woche.

Das Solana-Deployment lief jedoch weiterhin mit USDC- und USDT-Pools parallel. Genau diese Konfiguration sollte die Single-Pool-Richtlinie eigentlich ablösen. Ob sie nie migriert wurde, migriert und später zurückgedreht wurde oder die Richtlinie schlicht auf eine Weise vorwegging, die niemand erneut überprüft hat – das praktische Ergebnis ist dasselbe. Eine Sicherheitszusage, die es in einem Blogpost gab, existierte mindestens auf einer Kette nicht im Code, und offenbar gab es keinen Prozess, der die Lücke auffing. On-Chain-Analysten, darunter Forschende, die dem Vorfall nachgingen, machten die Pause und die Geldbewegungen innerhalb von Stunden ausfindig.

Wohin das Geld ging – und was Allbridge fordert

Die gestohlenen Stablecoins wurden von Solana nach Ethereum gebrückt und dann auf mehrere Adressen aufgeteilt; ein Teil der Gelder soll Berichten zufolge in Privacy-Pools geflossen sein, um das Nachverfolgen zu erschweren. Das ist mittlerweile ein vertrautes Muster und bedeutet in der Regel, dass die Chancen auf eine Rückgewinnung stark sinken, sobald das Geld ankommt. Allbridge hat den Betrieb von Core pausiert, Liquiditätsanbieter gebeten, Gelder abzuziehen, und eine zusätzliche Anfrage gestellt, die viel darüber verrät, wie sich solche Ereignisse tatsächlich entfalten: Man bat Trader, die von der temporären Pool-Entkopplung profitiert hatten, das Geld zurückzuschicken. Normale Arbitrage-Bots hätten mit hoher Wahrscheinlichkeit kostenloses Zusatzpotenzial eingesammelt, während die Pools verzerrt waren, und diese Betreiber haben nichts falsch gemacht – außer einem Trade zu nehmen, den der Markt ihnen angeboten hat. Dieses Geld zurückzubekommen ist eine Frage des guten Willens, nicht der Durchsetzung, daher sollte niemand darauf zählen.

Es gibt noch keinen angekündigten Entschädigungsplan und keinen Zeitrahmen dafür, wann Core wieder online geht. Wer weiterhin Kapital in Allbridge-Pools auf irgendeiner Chain geparkt hat, sollte die Rückzugsberatung als die maßgebliche Anweisung betrachten – und nicht abwarten, wie die Untersuchung ausfällt.

Was man daraus gelernt hat?

Brücken gehören aus einem naheliegenden Grund zu den am stärksten angegriffenen Bereichen in Krypto: Sie binden eine Menge ungenutztes Kapital in Verträgen, die gleichzeitig den Bedingungen auf zwei verschiedenen Chains vertrauen müssen. Was hier passiert ist, ist schlimmer als ein cleverer Exploit, denn ein cleverer Exploit bedeutet zumindest, dass die Verteidiger von etwas Neuem geschlagen wurden. Das war ein bekannter Angriff auf eine bekannte Konfiguration eines Protokolls, das bereits einmal von genau diesem Problem „verbrannt“ wurde und die Heilung öffentlich beschrieben hatte.

Wenn du irgendwo Liquidität bereitstellst, ist die wichtigste Erkenntnis: Ein Postmortem ist eine Absichtserklärung – kein Beweis für abgeschlossene Arbeit. Frage, auf welchen Chains eine Behebung tatsächlich ausgeliefert wurde. Multi-Chain-Deployments driften, und die Chain, auf die niemand mehr geachtet hat, wird getroffen. Allbridge wird diesen Vorfall wahrscheinlich überstehen, angesichts der eher überschaubaren Verlusthöhe, aber der Reputationsschaden, wenn man von der eigenen 2023-Hausaufgabe erwischt wird, wird viel länger nachwirken als $1,65 Millionen.

---------------

Autor: Rowan Marrow Seattle Newsroom Breaking Crypto News

Abonniere GCP in einem Reader