Drie cryptoprojecten leden op 24 september samen voor meer dan $11 miljoen aan schade. Payy Network, Duelbits en Meter Network werden elk via verschillende aanvalsvectoren geraakt.
Belangrijkste punten:
- Payy Network verloor circa $1,8 miljoen nadat zijn Ethereum‑brug werd leeggetrokken, terwijl Duelbits verliezen van ongeveer $7 miljoen meldde.
- Bij Meter werden voor circa $2,3 miljoen aan ongedekte tokens gemint en deels via PancakeSwap verkocht.
- De incidenten leggen risico’s bloot rond bruggen, hot wallets en systemen voor tokenverificatie.
Aanvallen op Payy en Duelbits
Payy Network, een on‑chain payroll‑ en treasury‑platform, legde zijn netwerk stil na een aanval op de Ethereum (ETH)-brug, zo meldde het bedrijf. On-chain onderzoeker Specter volgde verdachte brugtransacties en concludeerde dat de aanvaller Railgun gebruikte om de aanval te financieren, waarna ongeveer $1,8 miljoen aan USD Coin (USDC) werd omgewisseld naar ether. Volgens Payy ging het om niet‑bewaarde tegoeden die toebehoorden aan gebruikers van Payy Network en Payy Wallet.
Kort daarna werd Duelbits getroffen. PeckShield schatte de schade aanvankelijk op $4,3 miljoen, maar Specter identificeerde aanvullende getroffen adressen op Bitcoin (BTC) en Solana (SOL). Een mede‑oprichter van Duelbits raamde de totale schade later op circa $7 miljoen en benadrukte dat “gebruikersfondsen veilig zijn”.
Meter: ongedekte tokens via de brug
Bij Meter lag het aanvalspatroon anders. Volgens Blockaid misbruikte een aanvaller Meter Passport om voor ongeveer $2,3 miljoen aan ongedekte assets te minten en een deel daarvan via PancakeSwap te verkopen. De markt reageerde heftig: MTR (MTR) kelderde bijna 80%, terwijl MTRG (MTRG) circa 75% inleverde.
Lees ook: Ethereum Koersdoorbraak Afhankelijk van $2.800 na Herwinning 200-daags Gemiddelde
Blockaid: verschillende zwakke schakels
Beveiligingsonderzoekers wijzen niet op één gedeelde kwetsbaarheid, maar op verschillende zwakke plekken bij de drie projecten. Payy stelde in een eerste oorzaakonderzoek dat het incident “GEEN gevolg was van een gecompromitteerde sleutel, social engineering of een lek in onze off‑chain infrastructuur”. Bij Duelbits gaan de meeste aanwijzingen juist richting een mogelijke diefstal van een private key. Blockaid legde bij Meter de nadruk op ongeautoriseerde minting via de bruginfrastructuur.
De reeks aanvallen komt op het moment dat ook Bitget ongeautoriseerde vermogensoverdrachten onderzoekt, die aanvankelijk werden geraamd op circa $351,6 miljoen. Het platform schortte uit voorzorg opnames tijdelijk op voor extra veiligheidscontroles, maar liet de handel en stortingen doorgaan en benadrukte dat de weergegeven gebruikerssaldi correct bleven.
Tegelijkertijd heeft KelpDAO een rechtszaak aangespannen tegen LayerZero en mede‑oprichter Brian Pellegrino naar aanleiding van een hack van $292 miljoen. KelpDAO verwijt hen onder meer dat zij risico’s en technische tekortkomingen niet voldoende hebben blootgelegd, wat uiteindelijk tot het verlies zou hebben geleid.
De incidenten van 24 september wakkeren ook eerdere zorgen over de beveiliging van twee van de drie projecten opnieuw aan. Duelbits verloor in 2024 al ongeveer $4,6 miljoen bij een aanval die door CertiK werd gelinkt aan een mogelijk privé‑sleutellek. Meter werd in 2022 getroffen door een brugexploit met een schadepost van ongeveer $4,4 miljoen.
Lees verder: Michael Saylor Wil dat Banken Bitcoin Inzetten als Dagelijkse Zekerheid
