Vorfall bei Swan Treasury
Das Blockchain-Asset-Management-Protokoll Swan Treasury hat einen geschätzten Verlust von 625.000 $ erlitten, nachdem Angreifer einen geleakten Off-Chain-Signaturschlüssel ausgenutzt haben, um STY-Token zu einem stark ermäßigten Preis zu kaufen und diese anschließend mit Gewinn zu verkaufen. Laut der Blockchain-Sicherheitsfirma Defimon Alerts fand der Angriff auf der BNB Chain statt, nachdem der Off-Chain-Signaturschlüssel des Protokolls, der als signer-Adresse im ZhaiquanBuy-Vertrag hardcodiert war, kompromittiert wurde.
- Verlust: ~625.000 $ (30.07.2026)
- Token: $STY @ 2,87 $
- Netzwerk: BNB Chain
- Typ: Kompromittierung des privaten Schlüssels (Leck des Signaturschlüssels)
Details des Angriffs
Der Off-Chain-Signaturschlüssel des Protokolls (0xdEb4…8284, hardcodiert als signer in ZhaiquanBuy) wurde kompromittiert. Der Angreifer nutzte den geleakten Schlüssel, um gültige Signaturen für seine eigene Wallet zu generieren, was ihm ermöglichte, die vorgesehenen Kaufbeschränkungen des Protokolls zu umgehen. Defimon Alerts berichtete, dass der Angreifer die Kauf-Funktion manipulierte, die die Menge an STY berechnet, die ein Benutzer basierend auf einem unterzeichneten Rabattwert erhält. Durch die Generierung einer gültigen Signatur mit dem Rabattparameter auf eins gesetzt, kaufte der Angreifer STY zu etwa einem Hundertstel des vorgesehenen Preises.
Mit einem PancakeSwap-Flash-Darlehen im Wert von etwa 19.700 USDT erwarb der Angreifer fast 687.000 STY-Token durch den ermäßigten Kaufmechanismus.
Folgen des Angriffs
Die Sicherheitsfirma erklärte, dass der Angriff damit nicht endete. Gültige Signaturen wurden auch für die Anspruchs- und Übertragungsfunktionen des Protokolls in verwandten Verträgen gefälscht, was dem Angreifer zusätzlichen Zugang zu STY verschaffte, bevor er die Token in den STY/USDT-Liquiditätspool verkaufte. Nach der Auflösung der Position realisierte der Angreifer laut Defimon Alerts einen Gewinn von etwa 625.000 USDT. STY wurde zum Zeitpunkt des Vorfalls zu etwa 2,87 $ gehandelt, wie die Warnung der Firma feststellte.
„Die generierten Signaturen stimmten genau mit dem erwarteten Signer überein, was die Transaktionen für die betroffenen Smart Contracts als gültig erscheinen ließ.“
Schlussfolgerungen und weitere Vorfälle
Zum Zeitpunkt der Veröffentlichung hatte Swan Treasury nicht öffentlich erklärt, wie der Signaturschlüssel offengelegt wurde oder ob zusätzliche Maßnahmen zur Minderung ergriffen wurden. Der Vorfall fügt sich in eine Reihe von Krypto-Angriffen ein, bei denen kompromittierte privilegierte Schlüssel, anstatt Fehler in Smart Contracts, es Angreifern ermöglichten, auf Protokollmittel zuzugreifen.
Im Juni 2025 gab das Blockchain-Sicherheitsunternehmen Hacken bekannt, dass ein kompromittierter privater Schlüssel, der mit einem Vertrag mit Minting-Rechten verbunden war, es einem Angreifer ermöglichte, 900 Millionen HAI-Token über Ethereum und BNB Chain zu erstellen. Hacken erklärte, der Schlüssel sei offengelegt worden, während das Unternehmen architektonische Änderungen an seiner Blockchain-Brückeninfrastruktur vornahm, was es dem Angreifer ermöglichte, etwa 250.000 $ zu realisieren, bevor das betroffene Minting-Konto widerrufen und die Brückenoperationen pausiert wurden.
Separat durchgeführte Forschungen haben ebenfalls weiterhin die Offenlegung privater Schlüssel als eines der hartnäckigsten Sicherheitsrisiken der Branche identifiziert. Ein von crypto.news zuvor zitierter Hacken-Bericht stellte fest, dass Fehler bei der Zugriffskontrolle, einschließlich Lecks privater Schlüssel, 78 % der während 2024 aufgezeichneten Krypto-Hack-Verluste ausmachten.
Kürzlich gab Zilliqa einen Fehler in seiner nativen Ledger-Anwendung bekannt, der es Angreifern ermöglichen könnte, private Schlüssel aus öffentlichen Transaktionssignaturen wiederherzustellen. Das Netzwerk stellte native ZIL-Transaktionen ein, nachdem festgestellt wurde, dass eine Schwäche bei der Nonce-Generierung es ermöglichte, betroffene Schlüssel zu rekonstruieren, sobald genügend Signaturen gesammelt worden waren.
Akademische Forscher und Akteure der Krypto-Industrie haben ebenfalls gewarnt, dass die Sicherheit privater Schlüssel außerhalb traditioneller Smart Contract-Angriffe weiterhin anfällig bleibt. Forscher der University of California berichteten Anfang dieses Jahres, dass einige Drittanbieter-AI-Routing-Dienste in der Lage waren, auf sensible Anmeldeinformationen, einschließlich privater Krypto-Schlüssel und Seed-Phrasen, zuzugreifen, da sie Benutzeranfragen im Klartext verarbeiten. Während kontrollierter Tests beobachteten die Forscher böswilliges Verhalten von mehreren Routing-Diensten und demonstrierten, dass ein Vermittler erfolgreich Ether aus einer Test-Wallet abziehen konnte, nachdem er ihren privaten Schlüssel erhalten hatte.
Obwohl die Universitätsstudie nicht mit dem Vorfall bei Swan Treasury in Verbindung stand, kamen die Forscher zu dem Schluss, dass Entwickler vermeiden sollten, private Schlüssel oder Seed-Phrasen an Vermittlungssysteme offenzulegen und stattdessen auf stärkere kryptografische Schutzmaßnahmen zurückgreifen sollten, um das Risiko des Diebstahls von Anmeldeinformationen zu verringern.
