Newsticker

Der teuerster Hack aller Zeiten? Poly-Netzwerk-Hacker erbeutet 611 Millionen Dollar

Veröffentlicht am 11. August 2021 von Christoph Bergmann // 3 Kommentare

A burglar opening a safe that is a computer screen. Bild von: elhombredenegro via flickr.com. . Lizenz: Creative Commons

Das Cross-Chain-Protokoll Poly Netzwerk wurde gehackt. Der Hacker konnte Assets auf den Blockchains Ethereum, Binance Smart Chain und Polygon Netzwerk im Wert von mehr als 600 Millionen Dollar absaugen. Der Grund liegt in einer wahnwitzigen Sorglosigkeit in Sachen Sicherheit.

Poly Network ist ein sogenanntes “Cross Chain Protokoll”. Dieses soll die Skalierungsschwierigkeiten von Blockchains wie Ethereum lösen, indem es Token zwischen verschiedenen Blockchains hin- und herbewegt. Poly unterstützt zahlreiche Blockchains, darunter Bitcoin, Ethereum, die Binance Smart Chain und andere, weniger bekannte, etwa Neo, Ontology oder Ziliqua.

Wenn Poly nun Assets im Wert von 600 Millionen Dollar verloren hat, könnte man dies auch als Folgekosten davon verstehen, dass Ethereum und Bitcoin nicht skalieren können oder wollen. Man könnte es aber auch als typische Folge einer allzu spekulationsfreudigen, allzu anwendungsgierigen, allzu unkritischen Szene betrachten, die alles, was geht, mit Kapital flutet – und selbst wenn es eigentlich nicht geht. Denn die Fehler bei Poly sind schon geradezu haarsträubend.

Es handelte sich, erklärt Mudi Gupta, Blokchain-Analyst und Smart-Contract-Code bei SushiSwap, nicht um einen klassischen DeFi- oder Smart-Contract-Bug, wie es sie in letzter Zeit nicht selten und mit hohen Verlusten gab. Vielmehr war es “ein traditioneller, kompromittierter Schlüssel sowie unverantwortliche Design-Entscheidungen durch Poly.”

Um Guthaben einzufrieren, verwendet Poly einen Smart Contract auf Ethereum. Dieser Smart Contract ist, wie man es bei einem so wichtigen Element erwarten darf, ein Multisig-Contract, weshalb eine bestimmte Anzahl von Schlüsseln signieren müssen, damit eine Transaktion durchgeht. Man könne erwarten, setzt Gupta fort, “dass ein Multisig-Contract mehr als einen Unterzeichner haben sollte. Nun ratet mal, wie viele Hüter das Poly-Netzwerk hatte?”

Es war offenbar einer. Und dieser eine Hüter hatte die Kontrolle über alle Guthaben im Poly-Netzwerk.

Nun geschah es offenbar, dass ein Hacker eben diesen einen Schlüssel in seine Hände bekam. Wie es genau geschah, ist nicht ganz klar. Gupta vermutet einen traditionellen, üblichen Hack, ein Sicherheitsforscher für theBlock dagegen ein kryptographisches Problem, durch das der private Schlüssel “reversed”, also umgekehrt, aus dem öffentlichen Schlüssel, errechnet werden konnte.

Wie auch immer: Da es nur einen Single-Point-of-Failure gab, da nur eine Signatur notwendig war, gab der Smart Contract die Transaktion frei. Der Hacker konnte massenhaft Guthaben an sich selbst überweisen: 273 Millionen Dollar in Token auf Ethereum, 253 Millionen Dollar auf der Binance Smart Chain, und 85 Millionen USDC-Dollar im Polygon-Netzwerk. Mit schätzungsweise 611 Millionen Dollar ist der Hack der größte, den DeFi bislang sah, der größte, den es überhaupt in Krypto bisher gab, und vielleicht sogar der teuerste, den es jemals gab.

Sobald der Hack offenbar wurde, warnte Poly Network öffentlich und gab per Twitter die Adressen bekannt. Der Account von Poly forderte die Miner und Börsen auf, alle Token, die von diesen Adressen kommen, auf eine Blacklist zu setzen, und Tether und Circle, die Herausgeberinnen der Stablecoins, die Guthaben einzufrieren. Tether kam dieser Aufforderung auch kurz darauf nach, und Binance kündigte Hilfe an.

Die Sicherheitsfirma SlowMist gab kurz darauf bekannt, viel über den Hacker zu wissen, etwa seine E-Mail-Adresse, seine IP-Adresse und den Fingerabdruck seines Gerätes. Dies habe man dank Partnerfirmen und der Kooperation mit Börsen herausgefunden. Der Hacker halte seine Coins eigentlich in Monero, habe diese aber in verschiedene Kryptowährungen gewechselt, um den Angriff zu finanzieren. Der ganze Ablauf des Angriffs lege nache, dass er von langer Hand geplant worden sei.

Offenbar scheint die Geschichte nun dem Hacker selbst zu heiß zu werden. Er hat begonnen, die erbeuteten Coins zurück zu überweisen. Bisher hat er laut Poly Network knapp fünf Millionen Dollar zurückgezahlt, den größten Teil auf der Ethereum-Blockchain.

Dem war eine Aufforderung von Poly auf Twitter vorhergegangen. Man darf annehmen, dass der Hacker diese gelesen hat. Kurz zuvor hatte er ein Token geschaffen, das den Namen hatte “Der Hacker ist bereit, zu verhandeln” und dieses an eine Adresse im Polygon-Netzwerk gesendet. Bisher allerdings sind die knapp 5 Millionen Dollar in zurückgegebenen Assets nur ein Bruchteil der Summen, die der Hacker erbeutet hat.

Ganz nebenbei hat der Hacker noch ein Stückchen Kunstgeschichte geschrieben: Er hat mit der Ethereum-Adresse 0xc8a65fadf0e0ddaf421f28feab69bf6e2e589963 – diese hat Poly als die des Hackers angegeben – einen CryptoPunk für 42.000 Ether, als gut 130 Millionen Dollar, gekauft.

Damit wird CryptoPunk 3100 zu einem der teuersten Kunstwerke aller Zeiten. Oder zählt das nicht, weil es ein Hacker war? Und überhaupt – ist all das nicht doch etwas irre? Oder ist das eine Ente, weil der Verkauf auf der Webseite von Larva Labs, den Schöpfern der CryptoPunks, nicht aufgeführt wird? Hat der CryptoPunk-Bot nur gescherzt? Vielleicht – aber man kann sich vorstellen, dass es passiert wäre, und dass es auch unvermeidbar gewesen wäre.

Über Christoph Bergmann (2638 Artikel)
Das Bitcoinblog wird von Bitcoin.de gesponsort, ist inhaltlich aber unabhängig und gibt die Meinung des Redakteurs Christoph Bergmann wieder ---

3 Kommentare zu Der teuerster Hack aller Zeiten? Poly-Netzwerk-Hacker erbeutet 611 Millionen Dollar

  1. Paul Janowitz // 11. August 2021 um 16:14 // Antworten

    Dass der Hacker seien Funds generell in Monero gehalten hat, verwundert mich nicht, dass seine OpSec dann so inkonsequent war, als er Shittoken gekauft hat, die für den Angriff notwendig waren, ist dann schon sehr fahrlässig. Wahrscheinlich glaubte er nicht wirklich, dass es überhaupt funktioniert…

    Viel schlimmer wiegen die Reaktionen von Tether und Circle, denn Berichten zufolge hat auch letzteres die USDC eingefroren. Was war nochmal der Vorteil von diesen ominösen Stablecoins? Die Nachteile dürften ja allseits bekannt sein, hinzu kommt wohl ein weiterer: Willkürliche Zensur. In diesem Fall dürfte das den meisten egal sein, denn es trifft einen “bösen” Hacker, die ganzen 3-Buchstaben Institutionen dürften das aber ganz sicher zu ihren Gunsten deuten und bei jeder Gelegenheit anklopfen. Biste Kubaner? Pech gehabt, Dein Geld wurde dem amerikanischen Staatshaushalt gutgeschrieben.

    Auch wenn das gestohlene Funds waren, bin ich bei den Grundsätzen Bitcoins und strikt gegen Zensur. Eine technisch gültige Transaktion ist eine gültige Transaktion. Wenn man seine Funds unfähigen Idioten anvertraut, ohne zu prüfen, dann muss man damit rechnen, dass diese auch verlustig sein können.

  2. Frank Müller // 13. August 2021 um 0:35 // Antworten

    Laut https://www.tagesschau.de/wirtschaft/krypto-raub-101.html
    hat der Hacker alles zurückgezahlt.

    Wahrscheinlich hat er gemerkt, dass man mit einem von geraubten Geld gekauften Cryptopunk, doch nicht so gut angeben kann.

Kommentar verfassen

Copyright © 2023 Powered by WordPress.com.

%d Bloggern gefällt das: