$HYPE
Hyperliquid (derzeit führende dezentralisierte Plattform für Termin-/Derivatekontrakte) : Ein Benutzer-Wallet wurde gehackt und gestohlen:
1. Der Angreifer erlangte die Kontrolle über das Konto und transferierte direkt 738.600 USDC (Stablecoin, ca. 738.600 USD);
2. Der Angreifer gab einen Befehl aus, um die 10287 HYPE-Token aus dem eingesetzten (gestakten) Anteil des Nutzers auszubuchen/zu entqualifizieren.
Hyperliquid-Regeln: Die Entqualifizierung (Unstaking) von HYPE hat eine 7-tägige Abkühl-/Wartefrist. Nach Einreichung der Entqualifizierung wird der Betrag nicht sofort gutgeschrieben; erst nach 7 Tagen kann er ausgezahlt werden (Code-Befehl cWithdraw).
Zum Zeitpunkt des Vorfalls befanden sich diese HYPE noch in der Staking-/Einsatz-Warteschlange und waren nicht abgeholt worden; wenn innerhalb von 7 Tagen keine Unterbrechung/Abfangung erfolgt, kann der Angreifer nach Ablauf der Frist alles übertragen.
3. Das gestohlene USDC wurde on-chain nachverfolgt; die Mittel flossen scheinbar zu einer Adresse der Bitget-Börse. Kriminelle gewerblich agierende Akteure transferieren gestohlene Gelder typischerweise zur Börse, um die Assets zu „waschen“.
Diesmal wurde eine schwerwiegende Sicherheitslücke der Plattform offengelegt
. Keine Mechanik für einen Notfall-Stop durch Nutzer
Das 7-Tage-Unstaking-Fenster war eigentlich als Puffer gedacht, damit Nutzer reagieren und Verluste begrenzen können. Allerdings bietet die Plattform keine Funktion, um mit einem Klick Ein- oder Auszahlungen zu stoppen/auszusetzen.
Selbst wenn das Opfer bemerkt, dass es gestohlen wurde, kann es die Entqualifizierungsanweisung des Angreifers nicht selbst stoppen.
Bereits zuvor gab es zwei Fälle mit demselben Muster: Weil es keine Pause/Unterbrechung geben konnte, wurden die eingesetzten Vermögenswerte nach 7 Tagen erneut gestohlen; der kumulierte Schaden lag bei über 1,1 Mio. U.
Hyperliquid (derzeit führende dezentralisierte Plattform für Termin-/Derivatekontrakte) : Ein Benutzer-Wallet wurde gehackt und gestohlen:
1. Der Angreifer erlangte die Kontrolle über das Konto und transferierte direkt 738.600 USDC (Stablecoin, ca. 738.600 USD);
2. Der Angreifer gab einen Befehl aus, um die 10287 HYPE-Token aus dem eingesetzten (gestakten) Anteil des Nutzers auszubuchen/zu entqualifizieren.
Hyperliquid-Regeln: Die Entqualifizierung (Unstaking) von HYPE hat eine 7-tägige Abkühl-/Wartefrist. Nach Einreichung der Entqualifizierung wird der Betrag nicht sofort gutgeschrieben; erst nach 7 Tagen kann er ausgezahlt werden (Code-Befehl cWithdraw).
Zum Zeitpunkt des Vorfalls befanden sich diese HYPE noch in der Staking-/Einsatz-Warteschlange und waren nicht abgeholt worden; wenn innerhalb von 7 Tagen keine Unterbrechung/Abfangung erfolgt, kann der Angreifer nach Ablauf der Frist alles übertragen.
3. Das gestohlene USDC wurde on-chain nachverfolgt; die Mittel flossen scheinbar zu einer Adresse der Bitget-Börse. Kriminelle gewerblich agierende Akteure transferieren gestohlene Gelder typischerweise zur Börse, um die Assets zu „waschen“.
Diesmal wurde eine schwerwiegende Sicherheitslücke der Plattform offengelegt
. Keine Mechanik für einen Notfall-Stop durch Nutzer
Das 7-Tage-Unstaking-Fenster war eigentlich als Puffer gedacht, damit Nutzer reagieren und Verluste begrenzen können. Allerdings bietet die Plattform keine Funktion, um mit einem Klick Ein- oder Auszahlungen zu stoppen/auszusetzen.
Selbst wenn das Opfer bemerkt, dass es gestohlen wurde, kann es die Entqualifizierungsanweisung des Angreifers nicht selbst stoppen.
Bereits zuvor gab es zwei Fälle mit demselben Muster: Weil es keine Pause/Unterbrechung geben konnte, wurden die eingesetzten Vermögenswerte nach 7 Tagen erneut gestohlen; der kumulierte Schaden lag bei über 1,1 Mio. U.