Hyperbridge behebt Ausnutzungsverlust auf 2,5 Mio. Dollar und räumt eine 10-fache Unterschätzung ein
- Hyperbridge hat seine Exploit-Verluste von rund 237.000 US-Dollar auf 2,5 Millionen US-Dollar revidiert.
- Der Angriff vollzog sich in zwei Phasen: Zuerst wurden 245 ETH aus einem TokenGateway-Vertrag abgezogen, bevor ein gefälschter Nachweis das Minten von 1 Milliarde gebridgten DOT-Token ermöglichte.
- Ein großer Teil der gestohlenen Mittel wurde on-chain zurückverfolgt und zu Binance weitergeleitet.
Hyperbridge hat die letzten drei Tage damit verbracht, dem Markt zu versichern, dass der Schaden durch den Verlust am 13. April beherrschbar sei. Doch in seinem heutigen Wiederherstellungsupdate vom 16. April gab das Unternehmen bekannt, dass die ursprüngliche Schadensschätzung von 237.000 Dollar tatsächlich bei rund 2,5 Millionen Dollar lag.
Diese fast 10-fache Neubewertung hat die Schwere der Ausnutzung auf eine höhere Ebene gehoben, verstärkt durch die Tatsache, dass es sich um einen multi-chain-Vorfall handelt, bei dem kein Zeitplan für die Wiederherstellung absehbar ist. Dies geschieht zudem im Anschluss an den April-Scherz von Hyperbridge, bei dem behauptet wurde, das Lazarus Group habe den Dienst gehackt.
Wie wurde aus $237,000 $2.5 Millionen?
Die Zahl von 237.000 Dollar, die in Nachrichtenquellen kursierte, basierte nur auf dem beobachtbaren Verlust von gebridgten Polkadot-(DOT)-Token auf Ethereum. Wie sich herausstellte, war dies nur der sichtbarste Teil eines Angriffs, der bereits fast eine Stunde lief, bevor die 237.000 Dollar verschwanden.
Laut dem vollständigen Bericht von Hyperbridge Wiederherstellungsupdate-Blog Eintrag geschah die Ausnutzung in zwei Phasen. Die erste Phase war eine stille Extraktion, bei der fast 245 ETH von einem verwandten TokenGateway-Vertrag bewegt wurden, bevor die zweite Phase begann.
Eine Stunde später umging eine gefälschte Cross-Chain-Nachricht die Merkle Mountain Range-Beweisverifizierungslogik von Hyperbridge, wodurch der Hacker administrative Kontrolle über den Vertrag für die gebridgten DOT-Token erhielt und etwa 1 Milliarde gebridgte DOT-Token prägen konnte, die anschließend auf andere dezentrale Börsen dumped wurden.
Die bestätigte Hauptursache des Angriffs, wie von BlockSec Phalcon identifiziert, war eine fehlende Bereichsprüfung in der VerifyProof()-Funktion des Handler V1-Vertrags von Hyperbridge, der vor über zwei Jahren geschrieben wurde.
Die ursprüngliche Zahl von 237.000 Dollar berücksichtigte auch nicht die Verluste aus den Anreizpools, die über die vier betroffenen EVM-Chain-Laufzeiten liefen.
Nachdem Hyperbridge die gesamte Aktivität des Angreifers auf Ethereum, Base, BNB Chain und Arbitrum aufgezeichnet hatte, führte die zweistufige Struktur des Angriffs sowie die damit verbundenen Pool-Verluste zu einer Überarbeitung des ursprünglichen Gesamtbetrags auf etwa 2,5 Millionen Dollar, bewertet in ETH und DOT zum Zeitpunkt des Hacks.
Ein Aprilscherz, der im Nachhinein nicht schlechter aussehen konnte
Der Hyperbridge-Exploit erfolgte genau zwölf Tage nachdem Hyperbridge einen Aprilscherz veröffentlicht hatte, in dem behauptet wurde, die nordkoreanische Lazarus Group habe 37 Millionen Dollar aus dem Protokoll gestohlen. Die Ankündigung war mit einem gelöschten Blogbeitrag verknüpft, der „Warum HyperBridge nicht gehackt werden kann“ erklärte.
Historisch gesehen hat sich Hyperbridge als eine beweisbasierte Interoperabilitätsschicht positioniert, die vollständige Node-Sicherheit für Cross-Chain-Bridges bietet – genau der Mechanismus, den der Hack vom 13. April nutzte, um einzudringen.
In seinem heutigen Update ging das Hyperbridge-Team dies direkt an, ohne zu zögern: „Was dieser Exploit teuer deutlich gemacht hat, ist, dass die Verifizierungslogik häufiger Audits und adversarielle Tests in jeder Schicht des Stacks benötigt.“
Wann können Hyperbridge-Nutzer mit Entschädigung rechnen?
Hyperbridge hat nun bestätigt, dass ein großer Teil der gestohlenen Gelder on-Chain bis zu Binance zurückverfolgt werden konnte, sagte jedoch, dass es keine spezifischen Details preisgeben wird, um die laufende Untersuchung nicht zu gefährden.
Das Protokoll hat auch offengelegt, was geschieht, falls die Wiederherstellung fehlschlägt. Wenn betroffene Nutzer nicht über andere Kanäle vollständig entschädigt werden, verpflichtet sich Hyperbridge zu einer strukturierten Zuteilung von BRIDGE-Token, um den verbleibenden Verlust abzudecken.
Der Auszahlungszeitplan und die Bewertungsdetails werden am 13. April 2027, also ein Jahr nach dem Exploit, bekannt gegeben.
Die Token-Gateway-Operationen bleiben bis zur Erfüllung von drei Bedingungen pausiert: Die Sicherheitslücke ist vollständig gepatcht, der Patch wurde unabhängig auditiert und der Bericht wurde veröffentlicht, und zusätzliche Schutzmaßnahmen sind in Betrieb.
Das Intent-Gateway von Hyperbridge und die darauf aufbauenden Produkte sind vom Exploit nicht betroffen und funktionieren weiterhin normal.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
