Drei Krypto-Projekte haben am 24. September zusammen Schäden von mehr als 11 Millionen US-Dollar erlitten. Payy Network, Duelbits und Meter Network wurden dabei jeweils über unterschiedliche Angriffspfade kompromittiert.
Wichtigste Fakten:
- Payy Network verlor rund 1,8 Mio. US‑Dollar, nachdem seine Ethereum-Bridge leergeräumt wurde; bei Duelbits summierten sich die Verluste auf etwa 7 Mio. US‑Dollar.
- Die Angreifer bei Meter prägten unbesicherte Token im Wert von etwa 2,3 Mio. US‑Dollar und veräußerten einen Teil davon über PancakeSwap.
- Die Vorfälle legen systemische Risiken bei Bridges, Hot Wallets und Token-Verifizierungssystemen offen.
Angriffe auf Payy und Duelbits
Payy Network, eine On-Chain-Plattform für Gehaltsabwicklung und Treasury-Management, stellte den Betrieb ein, nachdem seine Ethereum-(ETH)‑Bridge angegriffen worden war. Der On-Chain-Analyst Specter verfolgte verdächtige Bridge-Transfers und erklärte, der Angreifer habe Railgun zur Finanzierung genutzt, bevor er rund 1,8 Mio. US‑Dollar in USD Coin (USDC) in Ethereum tauschte. Payy betonte, dass es sich bei den abgezogenen Mitteln um nicht verwahrte Einlagen von Payy-Network- und Payy-Wallet-Nutzern gehandelt habe.
Kurz darauf traf es Duelbits. PeckShield schätzte den Schaden zunächst auf 4,3 Mio. US‑Dollar, bevor Specter weitere betroffene Adressen auf Bitcoin (BTC) und Solana (SOL) identifizierte. Ein Mitgründer von Duelbits bezifferte den Gesamtschaden später auf nahezu 7 Mio. US‑Dollar und erklärte zugleich: „Kundengelder sind sicher.“
Beim Vorfall bei Meter wurde ein anderes Angriffsszenario genutzt. Laut Blockaid nutzte ein Angreifer Meter Passport aus, um unbesicherte Token im Wert von rund 2,3 Mio. US‑Dollar zu prägen und einen Teil davon über PancakeSwap zu verkaufen. Der Kurs von MTR (MTR) brach daraufhin um fast 80 % ein, MTRG (MTRG) verlor etwa 75 %.
Mehr dazu: Ethereum-Ausbruch hängt an Marke von 2.800 US‑Dollar nach Rückeroberung des 200‑Tage‑Durchschnitts
Blockaid ordnet die Sicherheitslage ein
Sicherheitsexperten verweisen auf unterschiedliche Schwachstellen in den drei Fällen, statt auf einen gemeinsamen Exploit. Payy erklärte nach einer ersten Ursachenanalyse, der Vorfall sei „KEIN Ergebnis eines kompromittierten Schlüssels, von Social Engineering oder eines Angriffs auf unsere Off-Chain-Infrastruktur“ gewesen. Im Umfeld von Duelbits deuten Berichte hingegen auf eine wahrscheinliche Kompromittierung eines Private Keys hin. Blockaid machte bei Meter vor allem die unautorisierte Token-Prägung über die Bridge als Kernproblem aus.
Die Angriffswelle fiel zudem in eine Phase, in der Bitget nicht autorisierte Vermögensübertragungen in zunächst auf rund 351,6 Mio. US‑Dollar geschätzter Höhe untersuchte und Auszahlungen vorübergehend für Sicherheitsprüfungen aussetzte. Handel und Einzahlungen liefen weiter; die Börse betonte, angezeigte Kundensalden blieben korrekt. Parallel dazu hat KelpDAO LayerZero und Mitgründer Brian Pellegrino wegen eines Hacks über 292 Mio. US‑Dollar verklagt und wirft ihnen nicht offengelegte Risiken und technische Defizite vor.
Die Vorfälle vom 24. September rufen auch frühere Sicherheitsprobleme bei zwei der betroffenen Projekte in Erinnerung. Duelbits verlor 2024 bereits rund 4,6 Mio. US‑Dollar bei einem Angriff, den CertiK mit einem möglichen Private-Key-Leck in Verbindung gebracht hat. Meter wiederum war 2022 Ziel eines Bridge-Exploits mit einem Schaden von etwa 4,4 Mio. US‑Dollar.
Als Nächstes lesen: Michael Saylor will, dass Banken Bitcoin in alltägliche Sicherheiten verwandeln
