Gravity Bridge Exploit
Das Cross-Chain-Protokoll Gravity Bridge wurde am 30. Mai um etwa 5,4 Millionen Dollar erleichtert. Berichten zufolge leitete der Angreifer einen Teil der Beute über Binance und Changenow, wie die Blockchain-Sicherheitsfirma Peckshield berichtete.
Wichtige Erkenntnisse
Peckshield meldete am 30. Mai einen Exploit von etwa 5,4 Millionen Dollar bei Gravity Bridge, darunter 4,3 Millionen Dollar in USDC und 274 ETH. Der Diebstahl erhöht die Summe auf über 328 Millionen Dollar, die Peckshield im Mai 2026 über Brücken-Hacks verfolgt hat. Der Angreifer hält weiterhin 2.102 ETH (ca. 4,23 Millionen Dollar), während Onchain-Ermittler die Geldwäsche-Spur verfolgen.
Gravity Bridge, ein Protokoll, das Token zwischen Ethereum und dem Cosmos-Ökosystem bewegt, verlor etwa 5,4 Millionen Dollar in einem neuen Exploit. Die gestohlenen Vermögenswerte umfassten:
- 4,3 Millionen Dollar in USD Coin (USDC)
- 274 Ether (ETH) im Wert von etwa 553.000 Dollar
- 434.000 Dollar in Tether (USDT)
- 14.164 PAYG-Token im Wert von etwa 64.000 Dollar
Der Angreifer ließ sich nicht viel Zeit, um die Erlöse zu bewegen. Laut der Einschätzung von Peckshield wurde ein Teil der Beute bereits über Changenow, einen nicht verwahrenden Swap-Service, und Binance, die größte Kryptowährungsbörse der Welt nach Handelsvolumen, gewaschen.
Risiken und Herausforderungen
Zum Zeitpunkt der Warnung hielt der Angreifer immer noch etwa 2.102 ETH im Wert von rund 4,23 Millionen Dollar, was darauf hindeutet, dass der Großteil des gestohlenen Wertes onchain und potenziell nachverfolgbar blieb. Gelder über eine zentrale Börse wie Binance zu leiten, kann die Spur verwischen, indem gestohlene Coins mit legitimer Liquidität vermischt werden. Dies birgt jedoch auch das Risiko, dass die Gelder eingefroren werden, wenn das Compliance-Team der Plattform schnell handelt. Swap-Dienste wie ChangeNow werden häufig verwendet, um Vermögenswerte in schwer nachverfolgbare Token umzuwandeln, bevor sie eine Börse erreichen.
Architektur von Gravity Bridge
Gravity Bridge ist eine Cross-Chain-Brücke, die Ethereum mit dem Cosmos-Netzwerk interoperabler Chains verbindet. Sie wurde auf dem Cosmos SDK entwickelt und arbeitet nach einem Lock-and-Mint-Modell. Hierbei wird ein Token auf einer Chain gesperrt und eine äquivalente Darstellung auf der anderen geprägt, dann verbrannt und eingelöst, wenn der Benutzer zurückbrückt. Anstatt sich auf eine kleine Multi-Signatur-Wallet oder eine genehmigte Gruppe von Betreibern zu verlassen, verwendet Gravity Bridge sein Validator-Set, um Cross-Chain-Transaktionen zu signieren. Dieses Design zielt darauf ab, die Dezentralisierung zu erhöhen und die Angreifbarkeit zu verringern.
Brücken und Sicherheitsprobleme
Diese Architektur hat Brücken jedoch nicht immun gegen Angriffe gemacht, da sie aufgrund ihres Designs große Pools gesperrter Vermögenswerte halten, was sie zu einigen der lukrativsten Ziele im Bereich der dezentralen Finanzen (DeFi) macht. Ein einzelner Fehler in ihrer Validierungslogik kann alles auf einmal freischalten. Der Vorfall bei Gravity Bridge fällt in eine kritische Phase für die Cross-Chain-Infrastruktur, da Bitcoin.com News kürzlich berichtete, dass Brücken-Exploits bis Mitte Mai 2026 mehr als 328 Millionen Dollar in acht separaten Vorfällen abgezogen haben.
Das Muster war im Laufe des Jahres unermüdlich. Am 18. Mai wurden etwa 11,5 Millionen Dollar von der Verus-Ethereum-Brücke abgezogen, wobei der Täter vor dem Diebstahl über Tornado Cash finanziert wurde. Ein vermuteter Exploit im April zog schätzungsweise über 200 Millionen Dollar aus dem Drift-Protokoll ab, während ein separater Bruch 116.500 rsETH aus dem Layerzero-Adapter von KelpDAO abfließen ließ und die Kreditmärkte potenziellen schlechten Schulden aussetzte. Auch kleinere Angriffe haben sich angesammelt, darunter ein Flash-Loan-Angriff von 2,4 Millionen Dollar auf die Shibarium-Brücke.
Rückgewinnung und Ausblick
In all dem deutet die Wiederholung auf ein strukturelles Problem hin, anstatt auf eine Reihe von Pechsträhnen. Brücken müssen die unterschiedlichen Sicherheitsmodelle zweier Chains in Einklang bringen, und der Code, der Einzahlungen und Abhebungen überprüft, hat sich wiederholt als das schwächste Glied erwiesen, sei es durch fehlende Validierungsprüfungen, kompromittierte Schlüssel oder Governance-Fehler.
Die unmittelbare Frage ist, wie viel von den gestohlenen 5,4 Millionen Dollar zurückgewonnen werden kann. Da der Angreifer weiterhin etwa 4,23 Millionen Dollar in ETH hält, haben Börsen und Analysefirmen die Möglichkeit, die Gelder zu kennzeichnen und einzufrieren. Protokolle nutzen zunehmend öffentlichen Druck und Onchain-Nachrichten, um Rückgaben zu verhandeln. Der Verus-Hacker beispielsweise gab letztendlich 8,5 Millionen Dollar zurück, während er eine Belohnung von 2,8 Millionen Dollar im Rahmen eines Rückgewinnungsdeals behielt.
Für den Moment warten die Benutzer von Gravity Bridge auf einen offiziellen Vorfallbericht, der die Ursachen und einen Plan zur Entschädigung der betroffenen Einleger detailliert. Bis Brücken die Validierungsanfälligkeiten lösen, die immer wieder auftauchen, werden die wichtigsten Verbindungen der Multichain-Wirtschaft wahrscheinlich die am häufigsten ausgeraubten bleiben.
