LONDON (IT BOLTWISE) – Eine Cross-Chain-Bridge verliert rund 11,5 Millionen US-Dollar, nachdem ein Angreifer kryptografisch gültige, aber ökonomisch falsche Export-Daten nutzte. Laut Analyse bestätigte das System korrekt signierte Zustandswurzeln und Merkle-Beweise – doch es fehlte die Prüfung, ob die Quelle wirklich den auszahlungsseitigen Wert hinterlegt. Der Abfluss landete anschließend in einer einzigen Wallet, nachdem die Beute sofort in ETH getauscht wurde. Für Entwickler zeigt der Vorfall, dass Proof-Korrektheit nicht automatisch Value-Korrektheit bedeutet.
Eine weitere Cross-Chain-Bridge ist in den Schlagzeilen gelandet: Laut Berichten wurden bei der Verus-zu-Ethereum-Bridge etwa 11,58 Millionen US-Dollar abgezogen. Der Zeitraum des Exploits fiel auf den 17. bis 18. Mai 2026, wobei die Aktivitäten zuerst durch eine Echtzeit-Detektionslösung auffielen und anschließend durch eine unabhängige Sicherheitsanalyse bestätigt wurden. Besonders brisant ist nicht der klassische Verdacht auf kompromittierte Schlüssel oder kaputte Kryptografie, sondern die Tatsache, dass der Angriff einen Architekturfehler nutzte, der auch bei korrekt scheinender Verifikation wirksam bleibt.
Aus technischer Sicht lässt sich der Ablauf als Kette aus „gültigen Beweisen, falschen Annahmen über den Wert“ beschreiben. Der Angreifer drainte aus den Reserven 103,6 tBTC, 1.625 ETH und rund 147.000 USDC, bevor die gestohlenen Beträge unmittelbar in insgesamt 5.402,4 ETH getauscht und in einer konsolidierten Wallet zusammengeführt wurden. Dem initialen Finanzierungssignal zufolge tauchte die Finanzierung bereits etwa 14 Stunden vor dem Abfluss auf. Diese zeitliche Nähe legt nahe, dass der Angreifer den gesamten Cross-Chain-Workflow gezielt vorbereitete und nicht nur kurzfristig „blind“ testete.
Die eigentliche Ursache wird besonders alarmierend, weil sie die Grenzen heutiger Bridge-Sicherheitsmodelle sichtbar macht: Eine Analyse stellte klar, dass es sich nicht um eine klassische „Key-Compromise“-Situation handelt, nicht um einen Signature-Bypass und nicht um einen Hash-Kollisionsangriff. Vielmehr überprüfte die Bridge genau das, was sie prüfen sollte: notarisiere Zustandswurzeln, Merkle-Proofs und Hash-Commitments, die aus Sicht der Kryptografie konsistent waren. Der entscheidende Fehler lag jedoch darin, dass die Implementierung nicht zuverlässig prüfte, ob die quellseitigen Export-Daten tatsächlich die Auszahlungen auf der Zielseite mit realem ökonomischem Wert abdeckten.
Damit ordnet sich der Vorfall in eine bekannte Fehlerklasse ein, die bereits bei früheren Angriffen im Bridge-Ökosystem diskutiert wurde: die Lücke zwischen Quelle und Ziel bei der Bindung von wirtschaftlichem Wert. Sicherheitsanalysten verweisen dabei auf eine Parallele zu den Bridge-Hacks rund um Wormhole (2022) und Nomad (2022). In diesen Fällen funktionierten Proofs und Verifikationsschritte zwar auf dem Papier, aber die Entkopplung der „Message-Autorität“ von „Value-Settlement“ machte die Auszahlungen zur Zielscheibe. Für Unternehmen ist das der Kern: Sobald ein System Authentizität sauber belegt, aber Settlement nicht streng genug koppelt, entsteht ein struktureller Angriffsraum.
Der konkrete Mechanismus, wie aus rund 10 US-Dollar Aufwand rund 11,5 Millionen US-Dollar Erlös werden konnten, folgt dabei einem typischen Muster: Der Angreifer konstruierte eine Transaktion, deren Kosten im Bereich von VRSC-Fees lagen, und verpflichtete in einem Payout-Blob Werte, während die quellseitigen Summen effektiv leer bzw. nicht wertbindend waren. Der Bridge-Teil nahm diese Transaktion als legitim an, weil acht von fünfzehn Notaren im Resultat kryptografisch signierten. Anschließend reichte der Angreifer das signierte Proof-Paket in einem Contract-Call wie submitImports() nach, der die Proofs wiederum verifizierte und dann die Auszahlung aus den Reserven auslöste.
Interessant ist, wie klar die Gegenmaßnahme in der Analyse beschrieben wird: Ein vergleichsweise kurzer Fix in einer Prüffunktion hätte verhindert, dass die Bridge Auszahlungen akzeptiert, wenn die quellseitigen Export-Totals nicht zu den angeforderten Payouts passen. Blockaid beschrieb den Patch sinngemäß als Ergänzung von Validierungslogik, die im Kern sicherstellt, dass die ökonomische Konsistenz nicht „implizit“ angenommen wird. Dieser Punkt wirkt trivial, ist aber in der Praxis oft ein blinder Fleck, weil Proof-Verifikation und Value-Accounting in vielen Implementierungen aus unterschiedlichen Codepfaden entstehen und dadurch schwerer automatisch zu prüfen sind.
Für Marktteilnehmer und insbesondere für Investoren verschiebt der Vorfall die Risikoperspektive: Nicht die Frage „Ist die Kryptografie korrekt?“ entscheidet über Brückensicherheit, sondern „Ist das Settlementmodell konsistent und deterministisch gegen Angreifer?“ Eine Brücke kann demnach jedes Signatur- und Zustandskriterium formal erfüllen und dennoch Funds ausgeben, die nie wirklich eingezahlt wurden. Für Entwickler ist das eine klare Handlungsaufforderung: Cross-Chain-Implementierungen müssen Value-Validierung unabhängig von Proof-Richtigkeit durchführen und sollten sich dabei auf invariants stützen, die direkt an exportierte Beträge, Deposits und Auszahlungsbeträge gekoppelt sind.
Auch regulatorisch und im Hinblick auf Datenschutz bleibt die Lehre eindeutig: Cross-Chain-Angriffe erhöhen das Risiko von Fehlverwendung und setzen Betreiber unter Druck, Transaktions- und Risikologdaten besser zu erfassen, zu auditieren und zeitnah zu melden. Zwar sind die beteiligten Wallet-Entitäten öffentlich nachverfolgbar, doch die eigentliche Verantwortung liegt bei den technischen Kontrollmechanismen. In der Zukunft wird die Branche deshalb stärker darauf achten, ob Brücken Architekturprinzipien umsetzen, bei denen „Authentität“ und „Ökonomie“ eng gekoppelt sind – nicht nur in einzelnen Funktionen, sondern als durchgängiges Sicherheitsversprechen über alle Pfade. Für das Entwickler-Ökosystem bedeutet das mehr Anforderungen an Audits, formale Prüfungen und testbare Invarianten, bevor ein Bridge-Deployment produktiv geht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Verus-Bridge-Ausfall: 11,5 Mio. Dollar durch fehlende Value-Bindung geleakt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Verus-Bridge-Ausfall: 11,5 Mio. Dollar durch fehlende Value-Bindung geleakt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Verus-Bridge-Ausfall: 11,5 Mio. Dollar durch fehlende Value-Bindung geleakt« bei Google Deutschland suchen, bei Bing oder Google News!