- Jemand mit Zugriff auf Swells Hot Keys trieb die Wechselkurse von swETH und rswETH um 1 % pro Stunde nach oben, ohne dass neues ETH dahinterstand.
- Swell erklärte, dass kein ETH die Einzahlungs- oder Auszahlungsverträge für swETH bzw. rswETH verlassen habe.
- Laut Spreek könnten vier bösartige Upgrade-Verträge etwa 2.500 ETH abgreifen, falls sie ausgeführt würden.
Spreek, ein Sicherheitsforscher, sagte am 22. Oktober, dass jemand mit den operativen Hot Keys der Swell DAO die Wechselkurse ihrer flüssigen Staking-Token swETH und rswETH an der stündlichen Obergrenze von 1 % nach oben getrieben habe, ohne dass neues ETH dahinterstand.
Die Meldungen erschienen Stunden nachdem die Cloud-Plattform Railway bekanntgab, dass ein Eindringling möglicherweise auf gespeicherte Geheimnisse von Kunden zugegriffen haben könnte.
Odysseus zählte fünf Anhebungen von jeweils etwa 1% bei beiden Token
Spreek teilte die Erkenntnisse um 01:28 UTC auf X mit und erklärte, dass die Admin-Schlüssel für beide Token „anscheinend kompromittiert sind (evtl. im Zusammenhang mit Railway?)“. Angreifer hätten den NAV jede Stunde um maximal 1 % (unbesichert) erhöht“, hieß es in dem Beitrag said.
Der Gründer von Phylax Systems, Odysseus, bezeichnete dies als „Missbrauch von BOT-Schlüsseln“ und wies auf drei Preisanpassungen bei swETH sowie zwei bei rswETH hin, die jeweils etwa 1 % betrugen. Der veröffentlichte Oracle-Code von Swell beschränkt die Übermittlung von Neupreisungs-Snapshots ausschließlich auf die BOT-Rolle.
Dieser Bot läuft mit Hot Keys. Hot Keys sind online und signieren ohne menschliches Zutun.
Ethereum-Protokolle zeigen, dass eine Adresse swETH-Snapshots am 21. Oktober um 23:02 UTC und erneut am 22. Oktober um 00:04 und 01:08 UTC einreichte. Die gemeldeten Zahlen vom 22. Oktober zeigen swETH etwa 3,0 % über 1,133254 ETH.
rswETH lag um 2.0% über 1.082464 ETH.
Railway gab am 21. Oktober bekannt, dass anomale Aktivitäten in Systemen beobachtet wurden, die Umgebungsvariablen der Kunden speichern, und dass ein Unbefugter möglicherweise Zugriff auf entschlüsselte Inhalte einiger dieser Variablen hatte. Zu den dort gespeicherten Geheimnissen gehören API-Schlüssel und Registry-Anmeldeinformationen.
Die Plattform frierte alle Bereitstellungen ein und forderte alle Nutzer auf, gespeicherte Geheimnisse zurückzuziehen.
Am selben Tag sagte der Krypto-Ermittler Tay, ein Angreifer habe rund 371.000 US-Dollar aus Wallets auf mindestens 19 EVM-Chains abgezogen, deren Schlüssel auf Railway gespeichert waren. Eine Bestätigung eines Zusammenhangs zwischen dem Railway-Breach und Swell liegt bisher nicht vor.
Vier bösartige Upgrade-Verträge könnten etwa 2,500 ETH beanspruchen
Swell teilte auf X um 03:03 UTC am 22. Oktober mit, dass man sich der Berichte über „verdächtige Aktivitäten bei den swETH- und rswETH-Verträgen“ bewusst sei und dies gemeinsam mit den Sicherheitspartnern untersuche. „Kein ETH ist aus den swETH- oder rswETH-Abhebungs- oder Einzahlungsverträgen abgewandert“, schrieb das Team und fügte hinzu, dass keine Maßnahmen erforderlich seien.
Swell hat am 23. Oktober Ein- und Auszahlungen für swETH und rswETH pausiert und angekündigt, diese wieder aufzunehmen, sobald der NAV wieder den korrekten Wert erreicht.
Spreek meldete ebenfalls vier bösartige Upgrade-Verträge, die rund 2.500 ETH beanspruchen könnten, falls sie ausgeführt würden. Odysseus schätzte, dass Swell 2.513 ETH halte, und fügte hinzu, dass der Betrag „kein bestätigter Verlust“ sei.
Zum Zeitpunkt der Meldungen waren keine der Upgrades durchgeführt worden.
Einige Details in der Forschung wurden Berichten zufolge mit KI-Unterstützung zusammengestellt und sind nicht verifiziert.
Berichten zufolge ist nur ein Bruchteil der höheren Zinssätze in die DEX-Preise eingepreist. Swells Liquid-Staking- und Liquid-Restaking-Produkte wiesen am 23. Oktober jeweils einen Total Value Locked (TVL) von rund 29 Millionen US-Dollar auf, während Datenquellen eine Marktkapitalisierung für rswETH zwischen 27 Millionen und 58 Millionen US-Dollar nahelegen.
In einem Kreditmarkt, der swETH oder rswETH zum On-Chain-Kurs bewertet, würde diese aufgeblähte Zahl als Sicherheiten zählen. Cryptopolitan verfolgte denselben Ansteckungspfad, wobei sich der rsETH-Exploit von KelpDAO auf Layer-2-Kreditmärkte ausbreitete.
Gekaperte Schlüssel waren auch hinter der Fearless Wallet-Erweiterung, die die privaten Schlüssel von Polkadot-Nutzern an den Server eines Angreifers sendete.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist mit den swETH- und rswETH-Token von Swell passiert?
Jemand, der im Besitz der operativen Hotkeys von Swell ist, hat die Kursverhältnisse beider Token innerhalb des stündlichen Obergrenze von 1% angehoben, ohne ETH hinzuzufügen, berichtete Spreek am 22. Oktober.
Wie viel ETH ist gefährdet?
Rund 2.500 ETH sind vier bösartigen Upgrade-Verträgen ausgesetzt, obwohl keine dieser Aktionen ausgeführt wurde und kein Verlust bestätigt ist.
Was hat Swell zum Vorfall gesagt?
Swell hat Ein- und Auszahlungen von swETH und rswETH pausiert und erklärt, dass kein ETH diese Verlässe verlassen hat.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
