Ein Angreifer hat in nur elf Minuten mehr als 9 Mio. Dollar aus Liquiditätspools von XPR Network (XPR) abgezogen, indem er eine Schwachstelle in einem Swap-Vertrag ausnutzte, der negative Abhebungsbeträge akzeptierte.
Wichtigste Fakten:
- Ein Angreifer zog in rund elf Minuten über 9 Mio. Dollar aus den Liquiditätspools von XPR Network.
- Die Schwachstelle lag in einer Withdraw-Funktion, die negative Werte akzeptierte und dem Angreifer erlaubte, interne Salden aufzublähen und anschließend reale Token abzuziehen.
- Blockproduzenten patchten den Vertrag und beschlagnahmten rund 1,80 Mrd. XPR, sodass der Großteil der erbeuteten Token im Netzwerk verblieb.
Der Swap-Exploit auf XPR Network
Ziel des Angriffs war proton.swaps, der On-Chain-Swap-Vertrag des Netzwerks, über den der Angreifer laut Berichten rund 1,56 Mrd. XPR im Gegenwert von etwa 4,03 Mio. Dollar abgezogen hat. Dessen Withdraw-Funktion akzeptierte negative Werte. So konnte der Angreifer einen internen Kontostand künstlich erhöhen und sich anschließend reale Token gutschreiben lassen – ein Manöver, das er über Stablecoin-, Bridge-Asset- und Lending-Pools hinweg wiederholte, bis die Summe der Beute die Marke von 9 Mio. Dollar überschritt.
Rund 563 Mio. XPR im Wert von etwa 1,46 Mio. Dollar flossen anschließend durch das Lending-Protokoll, nachdem der Angreifer gegen die gestohlenen Stablecoins Kredite aufgenommen hatte. Damit stieg die Zahl der betroffenen Token auf etwa 2,12 Mrd. XPR oder rund 6,5 % des zirkulierenden Angebots. Weitere 764 Mio. XPR, knapp 2 Mio. Dollar wert, wurden später auf ein zweites Konto verschoben.
Lesen Sie auch: XRP-ETFs erreichen Rekordzuflüsse von 1,7 Mrd. Dollar trotz schwacher Kursentwicklung
XPR-Kurs fällt unter wichtige Unterstützung
Die Abflüsse wirkten sich innerhalb weniger Stunden auf den Markt aus. XPR rutschte am Sonntag auf etwa 0,0026 Dollar ab – ein Minus von rund 5,6 % binnen 24 Stunden nach einem Tagestief nahe 0,00245 Dollar – und blieb damit unter der Marke von 0,00271 Dollar, die zuvor als Unterstützung fungiert hatte. Zuvor war der Token in derselben Sitzung noch bis auf 0,00277 Dollar gehandelt worden; die Marktkapitalisierung sank auf rund 74 Mio. Dollar.
Der RSI fiel auf 27,47 und damit tief in überverkauftes Terrain. Dieser Wert signalisiert eher panikgetriebene Verkäufe als eine geordnete Neubewertung. Das Tagesvolumen von rund 2,9 Mio. Dollar unterstreicht, wie dünn die Kaufseite derzeit besetzt ist.
Im Vergleich zu den größten DeFi-Verlusten dieses Jahres ist die Summe überschaubar. Entscheidend ist jedoch die Art des Fehlers: Eine fehlende Plausibilitätsprüfung der Eingabewerte reichte aus, damit sich der Schaden aus einem einzelnen Swap-Vertrag auf verbundene Lending- und Bridge-Asset-Pools ausweiten konnte, die dieselbe Liquidität nutzten. Der Angreifer benötigte weder Flash Loans noch Oracle-Manipulation – nur ein Minuszeichen, das der Vertrag nicht zurückwies.
Metallicus friert gestohlene XPR ein
Die Blockproduzenten patchten den Vertrag um 21:32 Uhr UTC und beschlagnahmten rund zwei Stunden später etwa 1,80 Mrd. XPR, die nun unter Kontrolle der Community stehen. Von den insgesamt 2,12 Mrd. betroffenen XPR gelangten lediglich 319,5 Mio. Token überhaupt aus dem Netzwerk heraus.
Damit bleibt der Großteil des angegriffenen Angebots grundsätzlich rückholbar – möglich ist dies, weil XPR Network auf Delegated Proof-of-Stake basiert. In diesem Modell kann eine relativ kleine Gruppe gewählter Blockproduzenten direkt in den Zustand der Blockchain eingreifen. Das Netzwerk hat diesen Hebel bereits früher genutzt.
Metallicus, der Kernentwickler hinter XPR Network, hatte im September 2024 einen Re-Entrancy-Exploit im Lending-Vertrag gemeldet, Einzahlungen, Kreditaufnahmen und Liquidationen gestoppt, die betroffenen Vermögenswerte eingefroren und das Kreditgeschäft im darauffolgenden Monat stufenweise wieder geöffnet.
Als Nächstes lesen: Sam Altman schließt OpenAI-Börsengang 2026 aus und verweist auf KI-Sicherheitsarbeit
