Der teuerster Hack aller Zeiten? Poly-Netzwerk-Hacker erbeutet 611 Millionen Dollar

Das Cross-Chain-Protokoll Poly Netzwerk wurde gehackt. Der Hacker konnte Assets auf den Blockchains Ethereum, Binance Smart Chain und Polygon Netzwerk im Wert von mehr als 600 Millionen Dollar absaugen. Der Grund liegt in einer wahnwitzigen Sorglosigkeit in Sachen Sicherheit.

Poly Network ist ein sogenanntes „Cross Chain Protokoll“. Dieses soll die Skalierungsschwierigkeiten von Blockchains wie Ethereum lösen, indem es Token zwischen verschiedenen Blockchains hin- und herbewegt. Poly unterstützt zahlreiche Blockchains, darunter Bitcoin, Ethereum, die Binance Smart Chain und andere, weniger bekannte, etwa Neo, Ontology oder Ziliqua.

Wenn Poly nun Assets im Wert von 600 Millionen Dollar verloren hat, könnte man dies auch als Folgekosten davon verstehen, dass Ethereum und Bitcoin nicht skalieren können oder wollen. Man könnte es aber auch als typische Folge einer allzu spekulationsfreudigen, allzu anwendungsgierigen, allzu unkritischen Szene betrachten, die alles, was geht, mit Kapital flutet – und selbst wenn es eigentlich nicht geht. Denn die Fehler bei Poly sind schon geradezu haarsträubend.

Poly Network hacked for over $600 million across Ethereum, Polygon, and BSC. https://t.co/e1mJW0gijehttps://t.co/84gmgphqAHhttps://t.co/3ICgaeJgUs

Poly network hasn't even verified their contracts on Ethereum so it's tedious to analyze. Here are my current thoughts 🧵👇 pic.twitter.com/WDvMbpGVwN

— Mudit Gupta (@Mudit__Gupta) August 10, 2021

Es handelte sich, erklärt Mudi Gupta, Blokchain-Analyst und Smart-Contract-Code bei SushiSwap, nicht um einen klassischen DeFi- oder Smart-Contract-Bug, wie es sie in letzter Zeit nicht selten und mit hohen Verlusten gab. Vielmehr war es „ein traditioneller, kompromittierter Schlüssel sowie unverantwortliche Design-Entscheidungen durch Poly.“

Um Guthaben einzufrieren, verwendet Poly einen Smart Contract auf Ethereum. Dieser Smart Contract ist, wie man es bei einem so wichtigen Element erwarten darf, ein Multisig-Contract, weshalb eine bestimmte Anzahl von Schlüsseln signieren müssen, damit eine Transaktion durchgeht. Man könne erwarten, setzt Gupta fort, „dass ein Multisig-Contract mehr als einen Unterzeichner haben sollte. Nun ratet mal, wie viele Hüter das Poly-Netzwerk hatte?“

Es war offenbar einer. Und dieser eine Hüter hatte die Kontrolle über alle Guthaben im Poly-Netzwerk.

Nun geschah es offenbar, dass ein Hacker eben diesen einen Schlüssel in seine Hände bekam. Wie es genau geschah, ist nicht ganz klar. Gupta vermutet einen traditionellen, üblichen Hack, ein Sicherheitsforscher für theBlock dagegen ein kryptographisches Problem, durch das der private Schlüssel „reversed“, also umgekehrt, aus dem öffentlichen Schlüssel, errechnet werden konnte.

Wie auch immer: Da es nur einen Single-Point-of-Failure gab, da nur eine Signatur notwendig war, gab der Smart Contract die Transaktion frei. Der Hacker konnte massenhaft Guthaben an sich selbst überweisen: 273 Millionen Dollar in Token auf Ethereum, 253 Millionen Dollar auf der Binance Smart Chain, und 85 Millionen USDC-Dollar im Polygon-Netzwerk. Mit schätzungsweise 611 Millionen Dollar ist der Hack der größte, den DeFi bislang sah, der größte, den es überhaupt in Krypto bisher gab, und vielleicht sogar der teuerste, den es jemals gab.

Sobald der Hack offenbar wurde, warnte Poly Network öffentlich und gab per Twitter die Adressen bekannt. Der Account von Poly forderte die Miner und Börsen auf, alle Token, die von diesen Adressen kommen, auf eine Blacklist zu setzen, und Tether und Circle, die Herausgeberinnen der Stablecoins, die Guthaben einzufrieren. Tether kam dieser Aufforderung auch kurz darauf nach, und Binance kündigte Hilfe an.

Die Sicherheitsfirma SlowMist gab kurz darauf bekannt, viel über den Hacker zu wissen, etwa seine E-Mail-Adresse, seine IP-Adresse und den Fingerabdruck seines Gerätes. Dies habe man dank Partnerfirmen und der Kooperation mit Börsen herausgefunden. Der Hacker halte seine Coins eigentlich in Monero, habe diese aber in verschiedene Kryptowährungen gewechselt, um den Angriff zu finanzieren. Der ganze Ablauf des Angriffs lege nache, dass er von langer Hand geplant worden sei.

Offenbar scheint die Geschichte nun dem Hacker selbst zu heiß zu werden. Er hat begonnen, die erbeuteten Coins zurück zu überweisen. Bisher hat er laut Poly Network knapp fünf Millionen Dollar zurückgezahlt, den größten Teil auf der Ethereum-Blockchain.

So far, we have received a total value of $4,772,297.675 assets returned by the hacker.

ETH address: $2,654,946.051
BSC address: $1,107,870.815
Polygon address: $1,009,480.809 pic.twitter.com/bPFAQk4mvS

— Poly Network (@PolyNetwork2) August 11, 2021

Dem war eine Aufforderung von Poly auf Twitter vorhergegangen. Man darf annehmen, dass der Hacker diese gelesen hat. Kurz zuvor hatte er ein Token geschaffen, das den Namen hatte „Der Hacker ist bereit, zu verhandeln“ und dieses an eine Adresse im Polygon-Netzwerk gesendet. Bisher allerdings sind die knapp 5 Millionen Dollar in zurückgegebenen Assets nur ein Bruchteil der Summen, die der Hacker erbeutet hat.

Ganz nebenbei hat der Hacker noch ein Stückchen Kunstgeschichte geschrieben: Er hat mit der Ethereum-Adresse 0xc8a65fadf0e0ddaf421f28feab69bf6e2e589963 – diese hat Poly als die des Hackers angegeben – einen CryptoPunk für 42.000 Ether, als gut 130 Millionen Dollar, gekauft.

https://twitter.com/0xCiniz/status/1425130610889306114

Damit wird CryptoPunk 3100 zu einem der teuersten Kunstwerke aller Zeiten. Oder zählt das nicht, weil es ein Hacker war? Und überhaupt – ist all das nicht doch etwas irre? Oder ist das eine Ente, weil der Verkauf auf der Webseite von Larva Labs, den Schöpfern der CryptoPunks, nicht aufgeführt wird? Hat der CryptoPunk-Bot nur gescherzt? Vielleicht – aber man kann sich vorstellen, dass es passiert wäre, und dass es auch unvermeidbar gewesen wäre.