Krypto-Hack von 4,7 Millionen US-Dollar betrifft Secret Network

Das auf Privatsphäre ausgerichtete Blockchain-Projekt Secret Network wurde durch einen großen Exploit getroffen, bei dem Krypto-Werte im Wert von etwa 4,67 Millionen Dollar erbeutet wurden. Die Attacke war möglich aufgrund einer Schwachstelle in einem Smart Contract, das mit dem Interoperabilitätsprotokoll Axelar verbunden war. Dadurch konnte ein Angreifer unbegrenzt neue Tokens erzeugen und gegen echte Krypto-Assets eintauschen.

Der Exploit wurde bereits am 10. Juni durchgeführt, blieb jedoch tagelang unentdeckt. Erst als eine Cross-Chain-Transaktion wegen eines Reservemangels fehlschlug, kam der Angriff ans Licht.

Angreifer konnte unbegrenzt Tokens erzeugen

Untersuchungen des Blockchain-Sicherheitsunternehmens Common Prefix zeigen, dass der Hacker eine sogenannte Infinite Mint-Bug ausnutzte. Diese Art von Schwachstelle ermöglicht es, unbegrenzt neue Tokens zu erstellen, ohne dass sie durch tatsächliche Werte gedeckt sind.

Der Fehler lag in einem Smart Contract, das für die Ausgabe von Wrapped Assets über Axelar verwendet wurde. Üblicherweise werden solche Tokens nur ausgegeben, wenn echte Krypto-Assets als Sicherheit hinterlegt sind.

In diesem Fall prüfte das Vertragswerk jedoch nicht, ob eine Einzahlung aus einer gültigen Quelle stammte. Dadurch konnte der Angreifer gefälschte Einzahlungen simulieren und dennoch gültige Tokens erhalten.

Diese Tokens wurden anschließend gegen echte Reserven-Assets eingetauscht. Auf diese Weise gelang es dem Hacker, Millionen von Dollar an Sicherheiten aus dem Protokoll abzuziehen.

Mehrere Tokens und Blockchains betroffen

Der Exploit betraf verschiedene auf Axelar basierende Assets, darunter saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH.

Laut Common Prefix wurden die erbeuteten Gelder anschließend auf das Ethereum-Netzwerk transferiert. Dort wurden die Tokens in Ether (ETH) umgewandelt und die Erlöse auf etwa dreißig verschiedene Wallets verteilt.

Schließlich landeten die Mittel auf verschiedenen Krypto-Börsen, darunter KuCoin, ChangeNow und HitBTC.

Secret Network warnt Nutzer

Secret Network hat die Nutzer inzwischen gewarnt, dass die Deckung hinter den betroffenen Tokens nicht mehr vollständig vorhanden ist. Das bedeutet, dass Inhaber dieser Assets möglicherweise Verluste erleiden könnten.

Laut dem Netzwerk müssen Besitzer von über Axelar ausgegebenen saXXX-Tokens davon ausgehen, dass ein Teil der zugrunde liegenden Reserven verschwunden ist.

Das native Token des Netzwerks, SCRT, wurde von dem Angriff nicht direkt getroffen. Dennoch kommt der Vorfall zu einem ungünstigen Zeitpunkt. Der SCRT-Kurs liegt immer noch etwa 99 Prozent unter dem Rekordniveau, das während des Bullenmarktes 2021 erreicht wurde.

Axelar verweist auf anfälliges Smart Contract

Nach Bekanntwerden des Exploits entstand Verwirrung über die Rolle von Axelar. Das Interoperabilitätsprotokoll betonte daraufhin, dass seine eigene Infrastruktur nicht gehackt wurde.

Axelar erklärte, die Ursache liege vollständig bei dem anfälligen Smart Contract, das nicht vom Unternehmen entwickelt, implementiert oder gewartet wurde. Das Protokoll betont zudem, dass die eigene Sicherheitsarchitektur verhindert hat, dass sich der Schaden auf andere Blockchains ausbreitete.

Der Vorfall zeigt erneut, wie anfällig Smart Contracts sein können. Ein einziger Programmierfehler kann ausreichen, um Millionen an Reserven zu gefährden.

Der Angriff auf Secret Network zählt mittlerweile zu den größten Kryptohacks dieses Monats. Laut Daten von DeFiLlama gab es im Juni bereits über zwanzig Hacks und Exploits in der Kryptobranche. Zuvor wurden auch Humanity Protocol und Syscoin Bridge angegriffen, wobei etwa 32 Millionen Dollar bzw. 8 Millionen Dollar verloren gingen.