Ein Kryptowährungsdiebstahl im Wert von 293 Millionen US-Dollar hat das Ökosystem der dezentralisierten Finanzwirtschaft (DeFi) erschüttert. Im Zentrum des Angriffs steht KelpDAO; mittlerweile wird vermutet, dass er mit der nordkoreanischen Lazarus Group in Verbindung steht.
Der Angriff zeigt, wie schnell hochentwickelte Angreifer Schwachstellen in der Cross-Chain-Infrastruktur ausnutzen können.
„Vorläufige Hinweise deuten auf einen hochentwickelten staatlichen Akteur hin, wahrscheinlich die Lazarus Group der DVRK, genauer gesagt TraderTraitor“, erklärte LayerZero in seinem X-Post.
Der KelpDAO-Diebstahl im Wert von 293 Mio. US-Dollar
KelpDAO, ein auf Ethereum basierendes Protokoll für Liquid Restaking, ermöglicht es Nutzern, ETH einzuzahlen und rsETH zu erhalten – einen Derivat-Token, der weiterhin Renditen erzielt und zugleich in dezentralisierten Anwendungen nutzbar bleibt.
Über Interoperabilitätsschichten wie LayerZero kann rsETH zwischen verschiedenen Chains bewegt werden. Das erhöht die Flexibilität, aber auch das Risiko.
Dieses Risiko materialisierte sich bei diesem Vorfall in erheblichem Ausmaß: Rund 116.500 rsETH im Wert von etwa 293 Millionen US-Dollar wurden gestohlen und später durch Tornado Cash geschleust, um die Transaktionsspuren zu verschleiern.
Auswirkungen auf das gesamte DeFi-Ökosystem
Die Auswirkungen gingen schnell über KelpDAO selbst hinaus.
Da rsETH im gesamten DeFi-Ökosystem weit verbreitet integriert ist, waren auch große Lending-Protokolle wie Aave, Compound und Euler betroffen.
Als Reaktion leitete Aave Maßnahmen ein, um Aktivitäten mit rsETH als Sicherheit einzufrieren. Damit sollte das weitere Risiko begrenzt und eine Kaskade von Verlusten verhindert werden.
Das verdeutlicht eine zentrale Herausforderung von DeFi: Die hohe Kombinierbarkeit bedeutet, dass ein einziger Ausfallpunkt in Echtzeit auf mehrere Plattformen übergreifen kann.
Im Zentrum des Fehlers bei der Cross-Chain-Verifizierung
Im Zentrum des Angriffs stand der Cross-Chain-Verifizierungsprozess von KelpDAO, genauer gesagt das Decentralized Verifier Network (DVN), das für die Validierung von Cross-Chain-Nachrichten zuständig ist.
Statt eine Schwachstelle im Code eines Smart Contracts auszunutzen, nahmen die Angreifer die Infrastruktur ins Visier, die diese Vorgänge unterstützt.
Indem sie ausgewählte Remote-Procedure-Call-Knoten (RPC-Knoten) kompromittierten, konnten sie gefälschte Blockchain-Daten in die Verifizierungsschicht einschleusen.
Um den Angriff zu verstärken, starteten die Angreifer gleichzeitig Distributed-Denial-of-Service-Angriffe (DDoS) auf legitime RPC-Knoten.
Dadurch wurde die Verfügbarkeit vertrauenswürdiger Datenquellen beeinträchtigt und das System gezwungen, sich auf die kompromittierten Knoten zu verlassen.
Im Grunde vergifteten die Angreifer den Validierungsprozess und ermöglichten so, dass betrügerische Cross-Chain-Nachrichten als legitim akzeptiert wurden. Dadurch konnten sie Übertragungen von rsETH autorisieren, die tatsächlich nie on-chain stattgefunden hatten.
Wie der Angriff Vertrauensmechanismen umging
Der Erfolg des Exploits unterstreicht eine kritische Schwachstelle in Cross-Chain-Architekturen: ihre Abhängigkeit von externen Dateneingaben und Vertrauensannahmen.
Validatoren und Oracles spielen eine zentrale Rolle bei der Bestätigung von Cross-Chain-Aktivitäten. Werden diese Eingaben jedoch manipuliert oder gestört, kann das gesamte System getäuscht werden.
In diesem Fall erlangten die Angreifer genügend Kontrolle über die Datenpipeline, um Schutzmechanismen zu umgehen und nicht autorisierte Transaktionen auszuführen.
Cross-Chain-Risiken eindämmen
Mit dem Wachstum von Cross-Chain-Ökosystemen nehmen auch deren Komplexität und potenzielle Sicherheitsrisiken zu.
Die folgenden Strategien zeigen Maßnahmen auf, mit denen Sicherheitsteams dazu beitragen können, Risiken bei Cross-Chain-Vorgängen zu bewältigen.
- Die Sicherheit von Knoten und Infrastruktur durch die Härtung von RPC-Endpunkten, strenge Zugriffskontrollen sowie geografisch verteilte und authentifizierte Knoten stärken.
- Belastbare Validierungsmechanismen durch den Einsatz eines Konsenses mehrerer Parteien, vielfältiger Datenquellen und kryptografischer Verifizierungsmethoden wie Light Clients oder Zero-Knowledge-Proofs implementieren.
- Kontinuierlich überwachen auf anomale Cross-Chain-Aktivitäten– mit Echtzeitwarnungen, der Integration von Threat Intelligence und unabhängigen Watcher-Netzwerken.
- Die Verfügbarkeit und Integrität durch den Einsatz robuster DDoSAbwehrmaßnahmen sowie durch Redundanz über kritische Validierungs- und Kommunikationsschichten hinweg schützen.
- Die finanzielle Risikoposition durch Schutzmechanismen wie Beschränkungen für Sicherheiten, Auszahlungslimits, Ratenbegrenzungen und segmentierte Liquiditätspools begrenzen.
- Sicherheitskontrollen wie verzögerte Transaktionsfinalität, Circuit Breaker und automatische Pausenmechanismen einführen, um potenzielle Exploits einzudämmen.
- Pläne zur Reaktion auf Sicherheitsvorfälle, einschließlich plattformübergreifender Koordination und Angriffssimulationen für Szenarien von Kryptodiebstählen, testen.
Zusammengenommen helfen diese Maßnahmen Organisationen dabei, widerstandsfähigere Systeme aufzubauen und zugleich potenzielle Vorfälle einzudämmen, um deren Schadensradius zu minimieren.
Die wachsende Angriffsfläche von DeFi
Dieser Vorfall spiegelt eine Verschiebung wider: Angreifer nehmen zunehmend neue Finanzinfrastrukturen wie DeFi statt traditioneller Institutionen ins Visier.
DeFi-Umgebungen verbinden hohe Liquidität mit sich schnell weiterentwickelnden Architekturen, was bei unzureichender Verwaltung Sicherheitslücken entstehen lassen kann.
Die Cross-Chain-Interoperabilität fügt eine weitere Komplexitätsebene hinzu und erhöht Abhängigkeiten sowie Vertrauensannahmen, wodurch sich die gesamte Angriffsfläche vergrößert.
Diese sich weiterentwickelnden Risiken unterstreichen den Bedarf an Zero-Trust-Lösungen, die von einer Kompromittierung ausgehen und in komplexen Umgebungen eine strenge Verifizierung durchsetzen.