Hyperbridge-Hack: 1 Milliarde gefälschte DOT auf Ethereum

Schwachstelle in Hyperbridge führte zu einer Milliarde gefälschter DOT-Tokens auf Ethereum

Ein Angreifer nutzte eine Sicherheitslücke im Smart Contract der Cross-Chain-Brücke Hyperbridge zwischen Polkadot und Ethereum, um eine Milliarde gefälschte DOT-Tokens zu erzeugen und mit einem Gewinn von 237.000 US-Dollar abzukassieren. Das Kernnetzwerk von Polkadot blieb unversehrt, doch große Kryptobörsen reagierten mit vorübergehenden Einschränkungen.

So wurde die Schwachstelle ausgenutzt

Ein Fehler im Gateways-Smart-Contract ermöglichte es dem Angreifer, interne Nachrichten zu fälschen und so administrative Funktionen des DOT-Tokens auf Ethereum zu übernehmen. Nach der Übernahme prägte der Hacker eine Milliarde gefälschte Tokens, die wie von Polkadot übertragene Vermögenswerte erscheinen sollten. Diese wurden sofort an dezentralen Börsen verkauft, wodurch der Preis von 1,22 US-Dollar auf nahezu null einbrach.

Die Analyse von Onchain Lens zeigt die Angriffssequenz: Zuerst wurde der Vertragseigentümer zum Angreifer-Adresse geändert, danach folgte die Massenprägung und Liquidation der Tokens. Ein klassisches DeFi-Szenario, bei dem unzureichende Validierung von Cross-Chain-Nachrichten kritische Sicherheitslücken schafft.

Auswirkungen auf Markt und Nutzer

Obwohl die Haupt-Polkadot-Chain nicht betroffen war, fiel der DOT-Kurs infolge der Marktpanik um 4 Prozent – von 1,22 auf 1,18 US-Dollar. Die südkoreanischen Plattformen Upbit und Bithumb stoppten vorsorglich Ein- und Auszahlungen für DOT. Hyperbridge wurde vollständig deaktiviert, und das Polkadot-Team führt gemeinsam mit externen Sicherheitsexperten eine Untersuchung durch.

Gewinn des Angreifers: ~237.000 US-Dollar
Erzeugte Tokens: 1 Milliarde DOT
DOT-Preisverfall: 4 %
Betroffene Börsen: Upbit, Bithumb

Sicherheitslage bei Cross-Chain-Bridges

Bridges wie Hyperbridge ermöglichen die Interoperabilität zwischen Blockchains, indem sie den Austausch von Vermögenswerten über isolierte Netzwerke hinweg erlauben. Doch aufgrund der Komplexität bei der Verifizierung von Cross-Chain-Transaktionen sind sie häufig Ziel von Angriffen. Laut CertiK resultieren solche Schwachstellen oft aus fehlerhafter Nachrichtenverarbeitung, was zur unbefugten Emission von Token führt.

In den letzten Jahren kam es bereits zu mehreren schwerwiegenden Vorfällen: Bei der Ronin Bridge gingen 2022 insgesamt 625 Millionen US-Dollar verloren, Wormhole erlitt einen Datenleck im Wert von 325 Millionen US-Dollar. Solche Ereignisse untergraben das Vertrauen in DeFi und erhöhen die Nachfrage nach sichereren Protokollen – etwa Multi-Signatur-Systeme oder Zero-Knowledge-Beweise.

Wichtige Erkenntnisse

• Der Exploit beschränkte sich auf den über Hyperbridge verbundenen DOT-Token auf Ethereum; das Kernnetzwerk von Polkadot bleibt sicher.
• Audits durch CertiK identifizierten gefälschte Systemnachrichten als Ursache.
• Der Gewinn des Hackers in Höhe von 237.000 US-Dollar verdeutlicht die Risiken selbst lokal begrenzter Schwachstellen.
• Die Börsen Upbit und Bithumb setzten temporäre Einschränkungen zur Nutzersicherheit um.
• Der Vorfall beschleunigt branchenweite Verbesserungen bei der Brückensicherheit.

Branchenweite Auswirkungen und Zukunftsausblick

Dieses Ereignis unterstreicht die Notwendigkeit strenger Audits für Bridges, die Ökosysteme wie Polkadot und Ethereum verbinden. Entwickler setzen nun verstärkt auf dezentrale Validatoren und feste Obergrenzen bei der Token-Emission. Für Nutzer ist es entscheidend, offiziellen Ankündigungen zu folgen und nicht verifizierte Bridging-Lösungen zu meiden.

Langfristig treiben solche Vorfälle Innovationen voran: Polkadot verbessert sein XCM-Protokoll für sicherere Kommunikation zwischen Chains. Die Gesamtverluste durch Brückenangriffe haben seit 2021 die Marke von zwei Milliarden US-Dollar überschritten, weshalb viele Protokolle heute 1–2 Prozent ihres TVL in Sicherheitsmaßnahmen investieren.

— Editorial Team