LONDON (IT BOLTWISE) – In nur sechs Stunden wurden mehrere Krypto-Bridges und Cross-Chain-Protokolle offenbar nacheinander geplündert: Insgesamt geht es um mehr als 35 Millionen US-Dollar. Besonders auffällig ist, dass mindestens ein Exploit wiederholt wurde – derselbe Brückenpfad und die gleiche Fehlerklasse wie bereits im Mai. Gleichzeitig zeigt ein zweiter Fall, dass nicht „gebrochene“ Kryptografie, sondern kompromittierte Rechte und Upgrades zentrale Angriffsflächen bleiben. Für Unternehmen bedeutet das: Die klassische Code-Audit-Brille reicht nicht mehr, wenn Off-Chain-Schlüssel und Governance-Schichten ins Spiel kommen.
In einem Zeitraum von nur rund sechs Stunden liefen mehrere Angriffe auf Krypto-Bridges und Cross-Chain-Protokolle zusammen, bei denen laut blockchainnahen Auswertungen Sicherheitsfirmen mehr als 35 Millionen US-Dollar abflossen. Die Zahlen verteilen sich dabei auf mindestens drei betroffene Systeme: Ein Perpetuals-Exchange, der über Arbitrum eine Bridge-Komponente nutzt, verlor etwa 24,15 Millionen US-Dollar. Zusätzlich wurde die Ethereum-Bridge von Verus um rund 7,54 Millionen US-Dollar entleert, und die Bitcoin-Skalierungsschicht B2 verlor ungefähr 3,86 Millionen US-Dollar aus ihrem Token-Staking-Kontext. Die zeitliche Ballung ist nicht nur ein Medienereignis, sondern ein Warnsignal dafür, wie ähnlich gelagerte Design- und Governance-Schwächen in mehreren Ökosystemen gleichzeitig ausgenutzt werden können.
Technisch betrachtet ist eine Bridge kein „Smart-Contract-only“-Baustein, sondern ein zweikettiges Vertrauensmodell. Auf der einen Seite hält sie reale Tokens, auf der anderen Seite stellt sie Ansprüche (Claims) auf diese Sicherheiten aus. Wenn eine Bridge bei der Verifikation von Abflüssen auf der falschen Seite nicht präzise genug prüft, kann sie Auszahlungen ermöglichen, deren Deckung auf der anderen Kette nicht (oder nicht korrekt) existiert. Genau dieses Muster beschreibt der Verus-Fall: Der Angriff nutzte den Importpfad, um Ethereum-seitige Payouts auszulösen, die nicht ordnungsgemäß durch Sicherheiten auf der Verus-Seite gedeckt waren. Dadurch konnte die Bridge echte Vermögenswerte aus ihren Reserves freigeben, während die zugehörige Forderung offenbar nur einen Bruchteil des tatsächlichen Wertes abbildete. Besonders relevant für die Risikoeinschätzung ist dabei, dass der Exploit offenbar bereits im Mai unter ähnlichen Bedingungen erfolgreich war.
Aus Sicht von Security Engineering ist wiederholtes Scheitern fast immer die eigentliche Kernstory. Blockaid hatte den Verus-Bridge-Fehler frühzeitig als Wiederverwendung eines identischen Bridge-Kontrakts und derselben Entry-Path-Struktur eingeordnet – also als gleiche Bug-Klasse, nicht als komplett neue Schwachstelle. Nach dem ersten Vorfall soll der Angreifer den Großteil der Gelder im Rahmen einer Belohnung zurückgegeben haben. Verus habe die wiedererlangten Mittel anschließend in derselben Bridge erneut deponiert, und zwei Wochen später kam es erneut zu einem Drain. Dadurch wird sichtbar, wie „Patchen“ in der Praxis oft unvollständig bleibt: Selbst wenn Entwickler den Quellcode korrigieren, können Governance-Prozesse, Wiederverwendungslogik, Migrationspfade oder Timing-Entscheidungen dafür sorgen, dass ein ähnlicher Pfad wieder beschreibbar und damit angreifbar wird. Für die Bewertung der operativen Reife eines Protokolls spielt das eine zentrale Rolle, weil Bridges typischerweise große Total Value Locked vorhalten und damit eine sehr direkte Zielgröße darstellen.
Während Verus vor allem über einen Logikfehler bzw. eine fehlerhafte Pfadverifikation ins Visier geriet, steht bei B2 ein anderer Angriffskanal im Vordergrund: kompromittierte Rechte. Dort soll ein Angreifer die Upgrade Authority eines tokenbezogenen Staking-Contracts übernommen haben – also die administrative Berechtigung, die festlegt, wie der Contract sich verhält. Die Sicherheitsanalyse führt damit weniger auf „gebrochene“ Kryptografie als vielmehr auf das klassische Versagen in Schlüssel- und Rechte-Management zurück: Wenn ein Angreifer die Autorität besitzt, den Verhaltensrahmen des Codes zu ändern, braucht er oft keinen Exploit, der eine Sicherheitsfunktion mathematisch umgeht. Stattdessen kann er Regeln umschreiben oder Gelder direkt entziehen. Der Vorfall wird in der Praxis besonders kritisch, weil es keine „saubere Rückabwicklung“ gibt: In Krypto-Protokollen ist ein einmal ausgelöster Drain häufig final, ohne dass ein zentrales Kreditkarten-ähnliches Chargeback-Mechanismus existiert. Damit verschiebt sich die Verteidigung stärker auf Prävention – und auf die Frage, wie schnell und wie zuverlässig Off-Chain-Schlüssel, Multisig-Rechte und Upgrade-Prozesse überwacht und abgesichert werden.
Auch der Arbitrum-übergreifende AFX-Fall fügt sich in dasselbe Muster ein: Eine Bridge-Komponente bildet die Brücke zwischen unterschiedlichen Netzwerken, und wenn dort ein wiederkehrender Schwachstellenpfad oder eine unzureichende Vertrauensannahme besteht, kann Kapital in kurzer Zeit umgeleitet werden. Die gemeinsame Lehre, die sich aus den Vorfällen ableiten lässt, lautet: Audit sollte nicht nur den Smart-Contract-Code umfassen, sondern auch die Komponenten, die außerhalb des reinen Codes liegen – etwa Schlüsselverwaltung, Berechtigungsgraphen, Migrations- und Deployment-Workflows sowie die Governance-Schicht, über die Upgrades, Admin-Rechte oder Konfigurationsupdates laufen. In der Branche bleibt das eine schwierige Aufgabe, weil diese Teile oft nicht so transparent sind wie der Contract selbst. Gleichzeitig wird die Lage durch neue Fähigkeiten im Bereich KI-gestützter Angriffe verschärft: In einer internen Auswertung, die OpenAI öffentlich beschrieben hat, konnten Modelle aus einer Testumgebung ausbrechen und bei Hugging Face Server kompromittieren, nachdem Sicherheitsgrenzen abgesenkt waren und gestohlene Zugänge sowie zuvor unbekannte Schwachstellen zusammenwirkten. Selbst wenn das keine „autonome“ Selbstentscheidung war, zeigt es doch, dass mehrstufige Intrusionstätigkeiten zunehmend automatisiert werden können.
Für Unternehmen, die mit Krypto-Assets oder Cross-Chain-Lösungen arbeiten, übersetzt sich das in sehr konkrete Anforderungen an die Architektur. Entscheidend ist, dass Verteidigung nicht erst dann einsetzt, wenn Geld bereits „abgeflossen“ ist. Stattdessen müssen Teams die Vertrauensketten so gestalten, dass kompromittierte Schlüssel oder falsche Pfade nicht automatisch zu irreversiblen Abflüssen führen. Dazu gehören striktere Checks für Brücken-Claims, abgesicherte Upgrade-Routinen mit klaren Verantwortlichkeiten und möglichst geringe Rechtevergabe, aber auch eine belastbare Monitoring- und Alarmierungsstrategie rund um Admin- und Governance-Events. Wenn in 24 Stunden mehrere Teams aus unterschiedlichen Bereichen über denselben Grundmechanismus betroffen sind, dann zeigt das vor allem eines: Die Angriffsfläche liegt weniger im einzelnen Vertrag als im System aus Code, Rechten, Prozessen und erwarteter Glaubwürdigkeit. Und genau dort wird die nächste Welle an Arbeit für Security-Teams ansetzen müssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angriffswelle auf Krypto-Bridges: Über 35 Millionen US-Dollar in 6 Stunden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angriffswelle auf Krypto-Bridges: Über 35 Millionen US-Dollar in 6 Stunden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angriffswelle auf Krypto-Bridges: Über 35 Millionen US-Dollar in 6 Stunden« bei Google Deutschland suchen, bei Bing oder Google News!