Flow zerlegt den $3.9M-Exploit im vollständigen Post-Incident-Bericht

Flow veröffentlichte am 6. Januar 2026 einen Post-Incident-Bericht, der die Ursache seines 3,9-Millionen-US-Dollar-Exploits diskutiert.

Ein Angreifer ausnutzte eine Cadence-Laufzeit-Typverwechslungsschwachstelle, um Token zu fälschen. Flow sagte, dass keine bestehenden Benutzerkontostände accessed oder kompromittiert wurden.

Flow identifiziert Typverwechslungsschwachstelle als Exploit-Ursache

Eine Typverwechslungsschwachstelle wurde von Flow als Hauptursache identifiziert. Die Schwachstelle ermöglichte es dem Angreifer, Laufzeitsicherheitschecks zu umgehen, indem er ein geschütztes Asset als eine reguläre Datenstruktur tarnte. Der Angreifer koordinierte die Ausführung von etwa 40 bösartigen Smart Contracts.

Der Angriff begann am 26. Dezember 2025 um 23:25 PST in Blockhöhe 137.363.398. Minuten nach der ersten Bereitstellung begann die Produktion gefälschter Token. Der Angreifer nutzte standardisierte Datenstrukturen, die replizierbar sind, um geschützte Assets, die unkopierbar sein sollten, zu tarnten. Durch die Ausnutzung von Cadences move-only-Semantik wurde dies möglich.

Cadence und eine vollständig EVM-äquivalente Umgebung sind die beiden integrierten Programmierumgebungen, die von Flow betrieben werden. In diesem Fall zielte der Exploit auf Cadence ab.

Netzwerk innerhalb von sechs Stunden nach der ersten bösartigen Transaktion offline

Am 27. Dezember, in Blockhöhe 137.390.190, starteten Flow-Validatoren um 05:23 PST eine koordinierte Netzwerkpause. Alle Fluchtwegen wurden abgeschnitten, und der Halt erfolgte weniger als sechs Stunden nach der ersten bösartigen Transaktion.

Gefälschte FLOW-Tokens wurden bis zum 26. Dezember um 23:42 PST auf Einzahlungskonten zentraler Börsen bewegt. Aufgrund ihrer Größe und Unregelmäßigkeit wurden die meisten großen FLOW-Überweisungen, die an Börsen gesendet wurden, beim Empfang eingefroren. Beginnend um 00:06 PST am 27. Dezember wurden einige Vermögenswerte über Celer, deBridge und Stargate aus dem Netzwerk herausgebrückt.

Um 01:30 PST wurden die ersten Detektionssignale ausgelöst. Zu diesem Zeitpunkt wurden Börseneinzahlungen mit anomalen Cross-VM-FLOW-Bewegungen korreliert. Als gefälschte FLOW-Token beginnend um 1:00 PST liquidiert wurden, sahen sich zentrale Börsen einem erheblichen Verkaufsdruck ausgesetzt.

Börsen geben 484 Millionen gefälschte FLOW-Token zurück

Laut Flow hinterlegte der Angreifer 1,094 Milliarden gefälschte FLOW-Token auf mehreren zentralen Börsen. Die Börsenpartner Gate.io, MEXC und OKX gaben 484.434.923 FLOW zurück, die vernichtet wurden. 98,7 % der verbleibenden Menge an gefälschten Waren wurden on-chain isoliert und befinden sich im Prozess der Vernichtung. Eine vollständige Lösung wird innerhalb von 30 Tagen erwartet, und die Koordination mit anderen Börsenpartnern läuft noch.

Nachdem die Community mehrere Wiederherstellungsoptionen, einschließlich Checkpoint-Wiederherstellung, bewertet hatte, wurde die Wiederherstellungsstrategie gewählt. Flow führte ökossystemweite Konsultationen mit Infrastrukturpartnern, Bridge-Betreibern und Börsen durch.

Flow’s 3,9-Millionen-US-Dollar-Exploit geschah innerhalb eines ähnlichen Musters von Sicherheitsvorfällen, die Krypto-Protokolle Ende Dezember 2025 und Anfang Januar 2026 betrafen. BtcTurk erlitt am 1. Januar 2026 einen Hot-Wallet-Breach von 48 Millionen US-Dollar. Hacker kompromittierten die Hot-Wallet-Infrastruktur der zentralen Börse und saugten Mittel über Ethereum, Arbitrum, Polygon und andere Chains ab.

Binance erlebte am 1. Januar einen Vorfall der Markt-Maker-Kontomanipulation, der den BROCCOLI-Token betraf.