#波卡社区基金会警示Fearless扩展泄露私钥 $ETH $DOT
【Verdacht auf kompromittierten Verwaltungsschlüssel, rund 2.500 ETH in der Schwebe】
Heute Morgen berichtete der Sicherheitsforscher Spreek, dass die Verwaltungsschlüssel von Swells swETH und rswETH möglicherweise kompromittiert wurden. Beim aktuellen Kurs von 2.441 US-Dollar sind 2.500 ETH rund 6,1 Millionen US-Dollar wert.
Was bisher bestätigt werden kann 👇
🔹 Der Angreifer erhöht den Nettoinventarwert (NAV) um bis zu 1 % pro Stunde – ohne dass Vermögenswerte dahinterstehen
🔹 Es wurden 4 bösartige Upgrade-Verträge bereitgestellt
🔹 Diese Upgrades sind noch nicht in die Ausführungswarteschlange des Multisigs gelangt; bislang gibt es keine Hinweise auf gestohlene Vermögenswerte
Spreek wies selbst darauf hin, dass einige Details des Berichts noch nicht überprüft wurden. Wie Swell offiziell damit umgeht, ist noch unklar.
🔑 Warum kann ein einziger Schlüssel so viel Geld bewegen?
swETH und rswETH verwenden upgradefähige Proxy-Verträge. Laut einer Analyse von ADL hat der Verwaltungsschlüssel die Administratorrechte für den Proxy. Wer ihn besitzt, kann den Vertrag auf eine bösartige Implementierung umstellen und ohne entsprechende Deckung Token prägen oder Vermögenswerte abziehen.
Letztlich bestimmt dieser Schlüssel die Regeln für die Token, die du hältst.
🔑 Am selben Tag gab es noch einen weiteren Vorfall
Die Polkadot Community Foundation warnte, dass vier Versionen der Fearless-Wallet-Browsererweiterung – 3.0.1, 3.0.3, 3.0.4 und 3.0.5 – bösartigen Code enthalten. Beim Entsperren der Wallet werden die privaten Schlüssel an Angreifer gesendet. Betroffen ist der Zeitraum von Februar 2025 bis zum 10. Oktober dieses Jahres. 8 Nutzer meldeten verdächtige Überweisungen von insgesamt 17.286 DOT.
Auch Haseeb, Partner bei Dragonfly, schrieb heute, dass die Zahl der Hacks auf der Blockchain stark ansteigt. Der insgesamt im Laufe des Jahres gestohlene Betrag sei jedoch ungefähr so hoch wie 2025, während die Verluste pro Einzelfall zurückgingen. Die meisten kleinen Protokolle seien bereits kompromittiert worden; große Protokolle nutzten KI-Tools, um ihre Schutzmaßnahmen zu verstärken.
Wer entsprechende Vermögenswerte hält, kann zunächst Folgendes tun:
1️⃣ swETH / rswETH: Warte zunächst auf eine offizielle Stellungnahme von Swell. Auch wenn die Token auf dem Sekundärmarkt mit Abschlag gehandelt werden, solltest du nicht vorschnell nachkaufen.
2️⃣ Fearless-Erweiterung nach Februar 2025 genutzt: Die Foundation empfiehlt, alle Konten in der Erweiterung als kompromittiert zu betrachten, in einer anderen Wallet neue private Schlüssel zu erstellen und die Vermögenswerte dorthin zu übertragen. Das Passwort zu ändern oder die Erweiterung neu zu installieren, hilft nicht.
3️⃣ Die Android- und iOS-Versionen für Mobilgeräte enthalten den Prüfungen zufolge keinen bösartigen Code. Private Schlüssel, die aus der Erweiterung importiert wurden, sollten dennoch als kompromittiert gelten.
4️⃣ Gestakte Token in DeFi: Prüfe, ob Upgrades des Protokolls durch ein Multisig mit Timelock oder durch einen einzelnen Schlüssel kontrolliert werden.
Zwei wichtige Unterscheidungen: Ein bereitgestellter bösartiger Vertrag ≠ gestohlene Gelder; mehr Hacks ≠ höhere Gesamtverluste.
Ich persönlich halte in Browser-Wallet-Erweiterungen nur kleine Beträge für den Alltag und stake Token nur in Protokollen, bei denen Upgrades durch einen Timelock abgesichert sind.
Hast du schon geprüft, wer die Upgrade-Berechtigungen für deine gestakten Token kontrolliert?
Dieser Inhalt dient ausschließlich dem Informationsaustausch und stellt keine Anlageberatung dar. DYOR.
#加密安全 #钱包安全 #ETH #DOT
【Verdacht auf kompromittierten Verwaltungsschlüssel, rund 2.500 ETH in der Schwebe】
Heute Morgen berichtete der Sicherheitsforscher Spreek, dass die Verwaltungsschlüssel von Swells swETH und rswETH möglicherweise kompromittiert wurden. Beim aktuellen Kurs von 2.441 US-Dollar sind 2.500 ETH rund 6,1 Millionen US-Dollar wert.
Was bisher bestätigt werden kann 👇
🔹 Der Angreifer erhöht den Nettoinventarwert (NAV) um bis zu 1 % pro Stunde – ohne dass Vermögenswerte dahinterstehen
🔹 Es wurden 4 bösartige Upgrade-Verträge bereitgestellt
🔹 Diese Upgrades sind noch nicht in die Ausführungswarteschlange des Multisigs gelangt; bislang gibt es keine Hinweise auf gestohlene Vermögenswerte
Spreek wies selbst darauf hin, dass einige Details des Berichts noch nicht überprüft wurden. Wie Swell offiziell damit umgeht, ist noch unklar.
🔑 Warum kann ein einziger Schlüssel so viel Geld bewegen?
swETH und rswETH verwenden upgradefähige Proxy-Verträge. Laut einer Analyse von ADL hat der Verwaltungsschlüssel die Administratorrechte für den Proxy. Wer ihn besitzt, kann den Vertrag auf eine bösartige Implementierung umstellen und ohne entsprechende Deckung Token prägen oder Vermögenswerte abziehen.
Letztlich bestimmt dieser Schlüssel die Regeln für die Token, die du hältst.
🔑 Am selben Tag gab es noch einen weiteren Vorfall
Die Polkadot Community Foundation warnte, dass vier Versionen der Fearless-Wallet-Browsererweiterung – 3.0.1, 3.0.3, 3.0.4 und 3.0.5 – bösartigen Code enthalten. Beim Entsperren der Wallet werden die privaten Schlüssel an Angreifer gesendet. Betroffen ist der Zeitraum von Februar 2025 bis zum 10. Oktober dieses Jahres. 8 Nutzer meldeten verdächtige Überweisungen von insgesamt 17.286 DOT.
Auch Haseeb, Partner bei Dragonfly, schrieb heute, dass die Zahl der Hacks auf der Blockchain stark ansteigt. Der insgesamt im Laufe des Jahres gestohlene Betrag sei jedoch ungefähr so hoch wie 2025, während die Verluste pro Einzelfall zurückgingen. Die meisten kleinen Protokolle seien bereits kompromittiert worden; große Protokolle nutzten KI-Tools, um ihre Schutzmaßnahmen zu verstärken.
Wer entsprechende Vermögenswerte hält, kann zunächst Folgendes tun:
1️⃣ swETH / rswETH: Warte zunächst auf eine offizielle Stellungnahme von Swell. Auch wenn die Token auf dem Sekundärmarkt mit Abschlag gehandelt werden, solltest du nicht vorschnell nachkaufen.
2️⃣ Fearless-Erweiterung nach Februar 2025 genutzt: Die Foundation empfiehlt, alle Konten in der Erweiterung als kompromittiert zu betrachten, in einer anderen Wallet neue private Schlüssel zu erstellen und die Vermögenswerte dorthin zu übertragen. Das Passwort zu ändern oder die Erweiterung neu zu installieren, hilft nicht.
3️⃣ Die Android- und iOS-Versionen für Mobilgeräte enthalten den Prüfungen zufolge keinen bösartigen Code. Private Schlüssel, die aus der Erweiterung importiert wurden, sollten dennoch als kompromittiert gelten.
4️⃣ Gestakte Token in DeFi: Prüfe, ob Upgrades des Protokolls durch ein Multisig mit Timelock oder durch einen einzelnen Schlüssel kontrolliert werden.
Zwei wichtige Unterscheidungen: Ein bereitgestellter bösartiger Vertrag ≠ gestohlene Gelder; mehr Hacks ≠ höhere Gesamtverluste.
Ich persönlich halte in Browser-Wallet-Erweiterungen nur kleine Beträge für den Alltag und stake Token nur in Protokollen, bei denen Upgrades durch einen Timelock abgesichert sind.
Hast du schon geprüft, wer die Upgrade-Berechtigungen für deine gestakten Token kontrolliert?
Dieser Inhalt dient ausschließlich dem Informationsaustausch und stellt keine Anlageberatung dar. DYOR.
#加密安全 #钱包安全 #ETH #DOT