Drei Krypto-Projekte haben am 24. September zusammengerechnet Schäden von über 11 Millionen US‑Dollar erlitten. Payy Network, Duelbits und Meter Network wurden jeweils über unterschiedliche Angriffsvektoren kompromittiert.
Wichtigste Punkte:
- Payy Network verlor rund 1,8 Mio. US‑Dollar, nachdem seine Ethereum‑Bridge leergeräumt wurde; Duelbits meldete Verluste von etwa 7 Mio. US‑Dollar.
- Die Angreifer auf Meter prägten unbesicherte Token im Wert von rund 2,3 Mio. US‑Dollar und verkauften einen Teil davon über PancakeSwap.
- Die Vorfälle offenbarten Risiken bei Bridges, Hot Wallets und Token‑Verifikationsmechanismen.
Angriffe auf Payy und Duelbits
Payy Network, eine On‑Chain‑Plattform für Gehaltszahlungen und Treasury‑Management, hat sein Netzwerk nach dem Angriff auf die Ethereum‑(ETH)-Bridge angehalten. On‑Chain‑Analyst Specter verfolgte auffällige Bridge‑Transfers und stellte fest, dass der Angreifer Railgun zur Finanzierung nutzte, bevor er rund 1,8 Mio. US‑Dollar in USD Coin (USDC) in Ethereum tauschte. Payy erklärte, dass die abgezogenen Vermögenswerte nicht‑verwahrte Einlagen von Payy‑Network‑ und Payy‑Wallet‑Nutzer:innen gewesen seien.
Kurz darauf traf es Duelbits. PeckShield schätzte die Verluste zunächst auf 4,3 Mio. US‑Dollar, bevor Specter weitere kompromittierte Adressen auf Bitcoin (BTC) und Solana (SOL) identifizierte. Ein Duelbits‑Mitgründer bezifferte den Gesamtschaden später auf knapp 7 Mio. US‑Dollar und erklärte: „Kundengelder sind sicher.“
Bei Meter kam ein anderer Angriffsmechanismus zum Einsatz. Laut Blockaid nutzte ein Angreifer Schwachstellen im Bridge‑Protokoll Meter Passport, um unbesicherte Token im Wert von rund 2,3 Mio. US‑Dollar zu prägen und einen Teil davon über PancakeSwap zu veräußern. Der Kurs von MTR (MTR) brach daraufhin um fast 80 % ein, MTRG (MTRG) verlor rund 75 %.
Auch interessant: Ethereum-Ausbruch hängt an 2.800 US‑Dollar nach Rückeroberung des 200‑Tage‑Durchschnitts
Blockaid ordnet die Sicherheitslage ein
Sicherheitsexpert:innen sehen in den drei Fällen unterschiedliche technische Versagenspunkte statt eines gemeinsamen Exploits. Payy teilte im Zuge einer ersten Ursachenanalyse mit, der Vorfall sei „KEIN Ergebnis eines kompromittierten Schlüssels, von Social Engineering oder eines Angriffs auf unsere Off‑Chain‑Infrastruktur“ gewesen. Bei Duelbits deuten Berichte hingegen auf eine wahrscheinliche Kompromittierung privater Schlüssel hin. Blockaids Analyse zu Meter konzentriert sich vor allem auf unautorisierte Token‑Prägungen über die Bridge.
Die Häufung der Angriffe fällt in eine Phase erhöhter Sicherheitsnervosität: Bitget untersucht derzeit unautorisierte Asset‑Transfers, die zunächst auf rund 351,6 Mio. US‑Dollar beziffert wurden, und setzte Auszahlungen vorübergehend für Sicherheitsprüfungen aus. Der Handel sowie Einzahlungen laufen weiter; die Börse betont, dass die angezeigten Kundensalden korrekt seien. Parallel dazu verklagt KelpDAO LayerZero und Mitgründer Brian Pellegrino wegen eines Hacks über 292 Mio. US‑Dollar. KelpDAO wirft dem Unternehmen vor, Risiken nicht offengelegt und technische Schwächen in Kauf genommen zu haben, die letztlich zum Verlust geführt hätten.
Die Vorfälle vom 24. September lassen auch frühere Sicherheitsprobleme bei zwei der betroffenen Projekte wieder aufleben. Duelbits verlor bereits 2024 rund 4,6 Mio. US‑Dollar bei einem Angriff, den CertiK mit einem möglichen Leak privater Schlüssel in Verbindung brachte. Meter wiederum war 2022 Ziel eines Bridge‑Exploits mit einem Schaden von rund 4,4 Mio. US‑Dollar.
Als Nächstes lesen: Michael Saylor will, dass Banken Bitcoin als alltägliche Sicherheit nutzen
