WAX-Cross-Chain-Bridge angegriffen: 5 Transaktionen transferieren rund 75.000 US-Dollar; Schwachstelle zum Zeitpunkt der Offenlegung noch nicht behoben $WAXP
Das Fazit vorweg: ein typischer Cross-Chain-Bridge-Angriff nach dem Muster „Die Quellchain lügt, die Zielchain führt es ungeprüft aus“. Der Schaden ist nicht groß, aber die Struktur der Schwachstelle sollte man sich merken.
1. Zeitlicher Ablauf. Der Angreifer legte um 09:06 Uhr (UTC) auf WAX das Konto fasdfas.al an. Um 09:46 Uhr entwendete er 52.986,50 gemappte USDC. Um 09:47 Uhr entwendete er auf dieselbe Weise gemappte USDT, DAI, WETH und WBTC. Um 10:00 Uhr (UTC) gab die Solana-Seite auf Anweisung 52.986,50 USDC frei; um 10:05 Uhr (UTC) gab die Ethereum-Seite die entsprechenden Vermögenswerte frei.
2. Zusammensetzung der Beträge. Die 5 Transaktionen umfassten insgesamt 52.986 USDC, 21.558 USDT, 840 DAI, 2,55 WETH und 0,11 WBTC. Blockaid schätzte den Schaden zunächst auf rund 75.000 US-Dollar; laut einer Aktualisierung von TokenPost vom 23. Oktober belief er sich auf etwa 90.000 US-Dollar.
3. Ursache. Das Problem lag nicht auf der Empfängerseite. Laut Analyse von Blockaid führten die Verträge auf Solana und Ethereum die erhaltenen Informationen „korrekt“ aus. Der Fehler lag in den Ledger-Angaben auf der WAX-Seite: Der Angreifer zahlte auf WAX nicht für die entsprechenden Vermögenswerte, doch die Bridge stufte die Abhebung als legitim ein. Die Differenz zwischen dem WAX-Ledger und dem tatsächlichen Bestand betrug etwa 1.522 US-Dollar.
4. Aktueller Stand. Zum Zeitpunkt der Offenlegung stufte Blockaid den Vorfall als laufenden Exploit ein. Berichten vom Morgen des 23. Oktober zufolge war die Schwachstelle noch immer nicht behoben, und das Ausmaß des Schadens könnte weiter zunehmen.
Meine Einschätzung: Die Angriffsfläche von Cross-Chain-Bridges liegt oft nicht in der Validierungslogik der Zielchain, sondern in der Vertrauenswürdigkeit der Angaben auf der Quellchain. Nutzer mit Vermögenswerten in der Bridge können bis zur Bekanntgabe eines Patches nur abwarten.
#WAX #Sicherheit von Cross-Chain-Bridges
Nur meine persönliche Einschätzung, keine Anlageberatung
Das Fazit vorweg: ein typischer Cross-Chain-Bridge-Angriff nach dem Muster „Die Quellchain lügt, die Zielchain führt es ungeprüft aus“. Der Schaden ist nicht groß, aber die Struktur der Schwachstelle sollte man sich merken.
1. Zeitlicher Ablauf. Der Angreifer legte um 09:06 Uhr (UTC) auf WAX das Konto fasdfas.al an. Um 09:46 Uhr entwendete er 52.986,50 gemappte USDC. Um 09:47 Uhr entwendete er auf dieselbe Weise gemappte USDT, DAI, WETH und WBTC. Um 10:00 Uhr (UTC) gab die Solana-Seite auf Anweisung 52.986,50 USDC frei; um 10:05 Uhr (UTC) gab die Ethereum-Seite die entsprechenden Vermögenswerte frei.
2. Zusammensetzung der Beträge. Die 5 Transaktionen umfassten insgesamt 52.986 USDC, 21.558 USDT, 840 DAI, 2,55 WETH und 0,11 WBTC. Blockaid schätzte den Schaden zunächst auf rund 75.000 US-Dollar; laut einer Aktualisierung von TokenPost vom 23. Oktober belief er sich auf etwa 90.000 US-Dollar.
3. Ursache. Das Problem lag nicht auf der Empfängerseite. Laut Analyse von Blockaid führten die Verträge auf Solana und Ethereum die erhaltenen Informationen „korrekt“ aus. Der Fehler lag in den Ledger-Angaben auf der WAX-Seite: Der Angreifer zahlte auf WAX nicht für die entsprechenden Vermögenswerte, doch die Bridge stufte die Abhebung als legitim ein. Die Differenz zwischen dem WAX-Ledger und dem tatsächlichen Bestand betrug etwa 1.522 US-Dollar.
4. Aktueller Stand. Zum Zeitpunkt der Offenlegung stufte Blockaid den Vorfall als laufenden Exploit ein. Berichten vom Morgen des 23. Oktober zufolge war die Schwachstelle noch immer nicht behoben, und das Ausmaß des Schadens könnte weiter zunehmen.
Meine Einschätzung: Die Angriffsfläche von Cross-Chain-Bridges liegt oft nicht in der Validierungslogik der Zielchain, sondern in der Vertrauenswürdigkeit der Angaben auf der Quellchain. Nutzer mit Vermögenswerten in der Bridge können bis zur Bekanntgabe eines Patches nur abwarten.
#WAX #Sicherheit von Cross-Chain-Bridges
Nur meine persönliche Einschätzung, keine Anlageberatung