LONDON (IT BOLTWISE) – Ein Angreifer hat über den Polkadot-Bridge-Dienst Hyperbridge in nur einer Ethereum-Transaktion 1 Milliarde bridged DOT-Token geprägt und anschließend verkauft. Die Blockchain-Prüfung zeigt, dass dabei eine gefälschte Nachricht eingesetzt wurde, um Admin-Rechte am Token-Vertrag zu übernehmen. Gleichzeitig wird die Aktion auf einen begrenzten Liquiditätspool zurückgeführt: Der konkrete Erlös wurde auf 108,2 Ethereum beziffert. Parallel stehen noch offene Fragen zur technischen Ursache, während der Betreiber den Betrieb pausiert und eine Aktualisierung vorbereitet.
Der Vorfall um Hyperbridge zeigt, wie schnell sich bei Cross-Chain-Interoperabilität Sicherheitsannahmen in reale Verlustszenarien verwandeln können. In einem berichteten Angriff wurde eine forged Nachricht genutzt, um Admin-Kontrolle über einen Token-Vertrag auf Ethereum zu erlangen, anschließend wurden 1 Milliarde bridged DOT in einer einzigen Transaktion geprägt. Obwohl der Hacker damit einen großen Token-Betrag erzeugen konnte, begrenzte die Liquidität im „bridged DOT pool“ die verwertbare Auszahlung auf insgesamt 108,2 Ethereum. Der damit verbundene Erlös wird auf rund 237.000 US-Dollar geschätzt, was vor allem zeigt: Die entscheidende Schwachstelle liegt nicht nur im Minting selbst, sondern in der Kette aus Autorisierung, Verifikationslogik und Abwicklungsmechanismen.
Technisch wird der Angriff über die Verifikationsschicht beschrieben: Eine Sicherheitsprüfung auf Basis der On-Chain-Daten stellte fest, dass der Angreifer einen gefälschten Message-Block einschleuste, der die Kontrolle über den Polkadot-Token-Kontrakt auf Ethereum verschob. Hyperbridge stellt dabei eine gezielt „proof-based“ Interoperabilitätslogik in den Vordergrund, die laut Vermarktung für Bridges eine Form von Full-Node-Sicherheit bieten soll. Gerade diese Versprechen geraten in Spannung zu dem, was der Exploit praktisch ausnutzte: Wenn ein Merkle- oder Proof-Mechanismus so angreifbar ist, dass er verfälschte Zustandsnachweise akzeptiert, entsteht ein Pfad vom „gültig wirkenden Beweis“ bis zur tatsächlichen Token-Ausgabe. Genau an dieser Stelle setzen die Spekulationen über die technische Ursache an.
Mehrere Diagnosen deuten auf eine Schwachstelle im Proof-Handling hin, insbesondere auf die Merkle-Tree-Verifikation. Ein Beitrag aus der Community beschreibt als Startpunkt eine Art „bösartigen Proof“, der den Merkle-Tree-Verifikator der Protokolllogik ausgetrickst haben soll. Eine weitere Sicherheitsanalyse führt das wahrscheinliche Kernproblem auf eine „Merkle Mountain Range proof replay“-Schwäche zurück: Der Verifikator habe den Proof nicht sauber an die konkrete Request gebunden, sodass ein bereits interpretierter oder wiederverwendbarer Nachweis denselben Effekt auslösen konnte wie ein frischer, korrekt zugeordneten Proof. Entscheidender Punkt: Damit verschiebt sich die Sicherheitsfrage von „Ist der Proof grundsätzlich kryptografisch korrekt?“ zu „Wie eindeutig wird Proof-Treue gegenüber dem konkreten Brückenauftrag hergestellt?“ Solche Bindungsfehler sind in Proof-basierten Architekturen ein wiederkehrendes Muster.
Der Scope des Angriffs bleibt dabei klar umrissen. Laut Projektkommunikation wurde ausschließlich DOT über Hyperbridge auf Ethereum betroffen; native DOT-Token sowie der größere Polkadot-Ökosystemraum gelten als nicht beeinträchtigt. Gleichzeitig pausierte Hyperbridge die Operationen nach dem Ereignis, während das Team an einem Upgrade arbeitet. In der Praxis ist dieser Schritt oft mehr als nur „Feuerwehr“: Sobald ein Proof-Validierungsweg kompromittiert wurde, muss das System nicht nur im UI „abschalten“, sondern auch die on-chain relevanten Pfade so umbauen, dass Proofs nicht mehr in alten oder missbrauchten Kontexten gültig wirken. Das heißt typischerweise, dass Verifikationsparameter, Hash-Domänen, Request-IDs oder Bindungsfelder in die Prüfkette integriert werden.
Die Einordnung in das laufende Angriffsgeschehen macht den Fall zudem strategisch relevant. Für das erste Quartal 2026 wird berichtet, dass Angreifer über 168 Millionen US-Dollar aus 34 DeFi-Protokollen gestohlen haben. Das liegt zwar deutlich unter den 1,58 Milliarden US-Dollar im gleichen Zeitraum des Vorjahres, dennoch bleibt das Muster „viele Ziele, wiederkehrende Fehlerklassen“ bestehen. Neben Hyperbridge wird auch von einem weiteren Vorfall berichtet: Ein Daten-Indexing-Protokoll wurde für etwa 130.000 US-Dollar kompromittiert, wobei ein fehlendes Access-Control-Grundelement als Ursache genannt wurde. In diesem Kontext soll die Schwachstelle es dem Angreifer ermöglicht haben, einen eigenen Vertrag als Ziel für Withdrawals von Staking Rewards zu setzen; der offengelegte Code wird zudem als über zwei Jahre alt beschrieben. Zusammengenommen unterstreicht das: Auch außerhalb klassischer Token-Swaps können Berechtigungs- oder Metadatenpfade in kritischen Rollenketten enden.
Für Unternehmen, die Cross-Chain-Integrationen planen oder bereits betreiben, ist der politische und technische Handlungsdruck damit konkret. Proof-basierte Interoperabilität ist nicht „automatisch sicher“, wenn einzelne Teile der Verifikationskette (Proof-Bindung, Request-Kohärenz, Admin-Übergänge) nicht formal abgesichert sind. Gerade im Enterprise-Umfeld ist das ein Argument für tieferes Threat Modeling bei Bridges: Nicht nur die Kryptografie prüfen, sondern auch die semantische Zuordnung von Beweisen zu Transaktionen, die Wiederverwendbarkeit von Artefakten und die Frage, ob Admin-Funktionen ausreichend eng an nachvollziehbare Zustandsautomaten gekoppelt sind. Hyperbridge wirkt in diesem Licht wie ein Stresstest für ein wichtiges Segment der Interoperabilität: Wer „full node security“ verspricht, muss auch in den Randfällen der Proof-Verarbeitung Beweise liefern, die nicht nur korrekt aussehen, sondern auch eindeutig adressiert und nicht replaybar sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hyperbridge-Exploit: 1 Milliarde bridged DOT auf Ethereum und Merkle-Proof-Lücke" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hyperbridge-Exploit: 1 Milliarde bridged DOT auf Ethereum und Merkle-Proof-Lücke" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hyperbridge-Exploit: 1 Milliarde bridged DOT auf Ethereum und Merkle-Proof-Lücke« bei Google Deutschland suchen, bei Bing oder Google News!