Kurzfassung
- Die Cross-Chain-Brücke Allbridge hat ihr Core-Protokoll pausiert, nachdem ein Angreifer etwa 1,65 Millionen Dollar aus ihren Solana-Stablecoin-Liquiditätspools gestohlen hat.
- Der Angreifer nutzte einen Blitzkredit von 1,12 Millionen Dollar vom Kreditprotokoll Kamino, um die interne Preisgestaltung der Pools zu verzerren, entnahm dann günstig Vermögenswerte und überbrückte sie zu Ethereum.
- Allbridge forderte Liquiditätsanbieter auf, ihre Gelder abzuziehen, und bat Händler, die aus dem resultierenden Ungleichgewicht profitierten, die Gelder zurückzugeben.
Die Cross-Chain-Brücke Allbridge hat ihr Protokoll pausiert, nachdem ein Angreifer laut Blockchain-Sicherheitsfirmen und dem Projekt selbst etwa 1,65 Millionen Dollar aus ihren Solana-Liquiditätspools in einem Blitzkreditangriff abgezogen hat.
Allbridge ermöglicht es Benutzern, Vermögenswerte zwischen Blockchains zu verschieben, die nicht nativ kommunizieren, und sein Core-Produkt verwendet Pools nativer Stablecoins wie USDC und USDT, anstatt gepackte Token zu prägen. Am Sonntag teilte das Team mit, es habe "das Protokoll vorsorglich pausiert", während es ermittelt, und forderte Liquiditätsanbieter auf, Gelder aus betroffenen Pools abzuziehen.
In einem Folge-Tweet stellte Allbridge fest, dass sein Team "eine detaillierte Aufschlüsselung" und einen Post-Mortem-Bericht vorbereitet, und fügte hinzu, dass "es derzeit keine Bedrohung für die Liquidität der Benutzer gibt", während es daran arbeitet, Core ohne Liquiditätspools neu zu starten.
Wie es passierte
Allbridge bestätigte einen früheren Tweet der Sicherheitsfirma PeckShield, der den Verlust auf etwa 1,65 Millionen Dollar bezifferte und feststellte, dass der Angreifer die Gelder von Solana zu Ethereum überbrückt hatte.
Die Mitbewerberfirma CertiK beschrieb die Methode, bei der der Angreifer 1,12 Millionen Dollar durch einen Flash Loan vom Solana-Leihprotokoll Kamino lieh, bevor er eine schnelle Serie von Stablecoin-Swaps durchführte, um die interne Buchhaltung zu verzerren, die die Preise in Allbridges Pools festlegt.
Nachdem die Pools falsch bewertet waren, tauschte der Angreifer ein paar tausend Dollar USDT gegen etwa 2,24 Millionen Dollar USDC, bevor er die Erlöse an eine Ethereum-Adresse brückte und auf andere verteilte. Es ist unklar, wie viel noch in Reichweite ist.
Die Manipulation ließ Allbridges Pools unausgeglichen zurück, sodass andere Händler kurzzeitig die falsch bewerteten Vermögenswerte aufkaufen konnten – ein „vorübergehendes positives Arbitrage-Fenster“, wie das Team es formulierte. Die DeFi-Plattform bat alle, die von diesem Fenster profitierten, das Geld an eine bestimmte Adresse zu senden, mit der Aussage, es werde „direkt zur Entschädigung betroffener LPs verwendet“. Ihr „Ziel ist es, alle betroffenen Gelder zurückzugeben“, fügte das Team hinzu.
Nicht das erste Mal
Es ist das zweite Mal, dass Allbridge auf diese Weise erwischt wurde. Im April 2023 entzog ein ähnlicher Flash-Loan-Exploit etwa 573.000 Dollar aus seinen BNB-Chain-Pools; das Projekt gab später an, es habe den Großteil der Gelder zurückerhalten und die Berechnung von Liquidität und Abhebungen überarbeitet. Allbridge sammelte 2022 2 Millionen Dollar, um die Brücke zu erweitern und Sicherheitsaudits zu finanzieren.
Brücken und die sie versorgenden Liquiditätspools gehören seit langem zu den am stärksten ins Visier genommenen Infrastrukturen von DeFi. Mehr als 840 Millionen Dollar gingen allein in den ersten fünf Monaten des Jahres 2026 durch DeFi-Hacks verloren, wobei Cross-Chain-Systeme immer wieder einige der größten Einzelverluste verursachten. Erst letzten Monat wurde eine Brücke zwischen Axelar und Secret Network um 4,67 Millionen Dollar geleert, nachdem Angreifer einen „Infinite-Mint“-Bug in einem benutzerdefinierten Token-Vertrag ausgenutzt hatten.
Allbridges Protokoll bleibt pausiert, und wie viel von den 1,65 Millionen Dollar zurückgeholt werden kann, hängt davon ab, die überbrückten Gelder zu verfolgen – und davon, ob die Arbitrage-Händler, an die es appellierte, das Geld tatsächlich zurückschicken.
