Ein Angreifer nutzte am 28. August einen veralteten Rain-Kartenvertrag aus und erbeutete etwa 1,1 Millionen US-Dollar von mehreren Stablecoin-Kartenprogrammen, die auf Solana laufen, so das Blockchain-Sicherheitsunternehmen Blockaid.
Zusammenfassung
- Ein veralteter Rain-Solana-Vertrag ermöglichte unbefugte Abhebungen von Karten-Collateral-Konten über mehrere Programme hinweg.
- Blockaid schätzte, dass etwa 1,1 Millionen US-Dollar gestohlen wurden, wobei die Erlöse später in Tornado Cash auf Ethereum gelangten.
- Avici meldete 500.859 US-Dollar, die von 1.685 Nutzern abgezogen wurden, während Tria separat 431.945 US-Dollar identifizierte, die 636 Kunden betrafen.
- Rain erklärte, dass jedes Programm, das die anfällige Vertragsversion verwendete, nach dem August-Angriff aktualisiert wurde.
- Selbstverwahrte Wallets blieben unberührt, da der Angreifer separate Verträge angriff, die finanzierte Kartenguthaben hielten.
Avici und Tria gehörten zu den betroffenen Krypto-Neobanken. Die beiden Unternehmen meldeten kombinierte Verluste von mehr als 932.800 US-Dollar über 2.321 Nutzer. Blockaid erklärte, dass auch andere von Rain unterstützte Programme betroffen waren, wodurch sich der geschätzte Verlust auf etwa 1,1 Millionen US-Dollar belief.
Der Angreifer hatte keinen Zugriff auf die Selbstverwahrungs-Wallets oder privaten Schlüssel der Kunden. Stattdessen zielte der Exploit auf Collateral-Verträge ab, die Stablecoins hielten, die Benutzer zur Finanzierung ihrer Kartenguthaben eingezahlt hatten.
Rain erklärte, dass seine Überwachungssysteme eine Schwachstelle entdeckten, die eine "geringe Anzahl von Programmen" betraf, die eine veraltete Version seines Solana-Kartenvertrags verwendeten. Das Unternehmen aktualisierte jedes Programm, das noch die betroffene Version ausführte, so seine öffentliche Erklärung.
Der Vorfall verstärkt breitere Bedenken hinsichtlich Vertrags- und Betriebsschwachstellen. Krypto-Sicherheitsfehler verursachten in der ersten Hälfte des Jahres 2026 Verluste von etwa 1,1 Milliarden US-Dollar, so eine von Blockaid veröffentlichte Studie.
Rain-Vertragsfehler legte gemeinsame Karteninfrastruktur offen
Rain stellt Infrastruktur bereit, die es Krypto-Unternehmen ermöglicht, mit Stablecoins finanzierte Karten auszugeben. Wenn Kunden ihre Karten aufladen, werden die eingezahlten Vermögenswerte auf Collateral-Konten übertragen, die über Onchain-Verträge verwaltet werden.
Diese Guthaben sind getrennt von Vermögenswerten, die in den persönlichen Wallets der Kunden gehalten werden. Sobald Gelder in einen Karten-Collateral-Vertrag gelangen, hängt ihre Sicherheit vom Code und den Autorisierungskontrollen des Infrastrukturanbieters ab.
Blockaid identifizierte vier Bereitstellungen, die Code mit demselben Opcode-Hash wie der anfällige Vertrag enthielten. Das Sicherheitsunternehmen erklärte, der Angreifer habe mindestens zwei Bereitstellungen geleert. Die anderen beiden trugen Berichten zufolge dieselbe Schwachstelle, hatten jedoch keine bestätigten Verluste.
Rain bestätigte, dass ein veralteter Vertrag den Vorfall verursachte. Es hat jedoch keinen vollständigen technischen Bericht veröffentlicht, der jede betroffene Bereitstellung identifiziert oder erklärt, warum einige Programme weiterhin die ältere Version verwendeten.
Die Situation ähnelt anderen Vorfällen, bei denen veraltete oder wiederholt anfällige Infrastruktur aktiv blieb. In verwandter Berichterstattung nutzten Angreifer denselben Verus-Bridge-Vertrag innerhalb von zwei Monaten zweimal aus, was ähnliche Fragen zu Upgrades über gemeinsame Bereitstellungen aufwirft.
Der Rain-Vorfall stellte keinen Kompromiss von Solana selbst dar. Die Blockchain verarbeitete Transaktionen normal weiter, während der Angreifer Anwendungscode ausnutzte, der im Netzwerk bereitgestellt war.
Wiederverwendete Signatur umging Abhebungsbeschränkungen
Der veraltete Rain-Vertrag erforderte zwei unabhängige Autorisierungen, bevor bestimmte Kontoaktionen erlaubt wurden. Er verwendete Solanas Ed25519-Verifikationsanweisungen, um die erforderlichen Signaturen zu bestätigen.
Laut Blockaids Analyse manipulierte der Angreifer die zweite Verifikationsanweisung. Deren Signatur-, Public-Key- und Nachrichten-Offsets verwiesen auf Informationen aus der ersten Anweisung.
Der anfällige Vertrag akzeptierte daher eine vom Angreifer kontrollierte Signatur als zwei unabhängige Genehmigungen. Dies ermöglichte es dem Angreifer, die Autorisierungsanforderung ohne Erlaubnis der Eigentümer der Sicherheitenkonten zu erfüllen.
Nachdem der Angreifer die Signaturprüfung umgangen hatte, nutzte er eine AddCollateralAdmin-Anweisung, um sich selbst administrative Privilegien über einzelne Konten zu verschaffen. Anschließend rief er WithdrawCollateralAsset auf, um USDC und USDT von diesen Konten zu transferieren.
Blockaid verzeichnete 2.945 Administratorhinzufügungen und 5.288 Abhebungsaufrufe. Das Unternehmen identifizierte 8.233 Kern-Exploit-Transaktionen über einen Zeitraum von etwa zwei Stunden und 29 Minuten.
Die Operation lief in automatisiertem Tempo ab. Blockaid sagte, dass die ersten beiden erfolgreichen Abhebungen im Abstand von drei Sekunden erfolgten, was darauf hindeutet, dass der Angreifer ein System zur gezielten Angriff auf mehrere Konten vorbereitet hatte.
Kunden autorisierten die bösartigen Transaktionen nicht. Der Exploit erfolgte auf Vertragsebene, was bedeutet, dass Schutzmaßnahmen gegen Phishing oder bösartige Wallet-Signaturen diese Abhebungen nicht verhindert hätten.
Eine andere Schwachstelle auf Anwendungsebene legte kürzlich ein weiteres Protokoll offen, als fehlerhafte Sicherheitenkontrollen einen DeFi-Exploit in Höhe von 75 Millionen US-Dollar ermöglichten. In beiden Fällen funktionierten die zugrunde liegenden Netzwerke weiter, während die Anwendungslogik unbefugte Aktivitäten erlaubte.
Angreifer verschob Gelder über deBridge
Die abgehobenen USDC und USDT sammelten sich in einer Solana-Wallet, die als FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj identifiziert wurde.
Der Angreifer tauschte die Stablecoins über dezentrale Handelsplattformen in SOL um. Blockaid verfolgte dann die Erlöse von Solana zu Ethereum über das Cross-Chain-Protokoll deBridge.
Ungefähr 455,9 ETH gelangten laut Blockaid zwischen 19:20 und 19:49 UTC in Tornado Cash. Tornado Cash bündelt Einzahlungen und ermöglicht Abhebungen an Adressen, die nicht öffentlich mit den ursprünglichen sendenden Wallets verbunden sind.
Der Mischer erschwerte daher spätere Bewegungen durch öffentliche Blockchain-Aufzeichnungen. Blockaid sagte, dass die gestohlenen Gelder nach dem Eintritt in Tornado Cash nicht wiedererlangt wurden.
Die Nutzung der Cross-Chain-Infrastruktur fügte der Geldwäsche-Route eine weitere Stufe hinzu. Krypto-Brücken sind auch direkte Ziele geworden, wobei ein Exploit mit gefälschten Transfers 11,5 Millionen US-Dollar aus der Verus-Ethereum-Brücke abzog Anfang 2026.
Blockaid verband zwei Ethereum-Adressen mit der anfänglichen Finanzierung der Solana-Aktivitäten des Rain-Angreifers. Weder Rain noch Strafverfolgungsbehörden haben die Personen, die diese Adressen kontrollieren, öffentlich identifiziert.
Die Aussagen des Unternehmens über die Erkennung des Angriffs und die Verfolgung der Gelder stellen seine eigenen Erkenntnisse dar. Blockaid bietet Sicherheits- und Überwachungsdienste für Krypto-Unternehmen an, einschließlich Herausgebern von Stablecoin-Karten.
Avici und Tria legen Kundenschäden offen
Avici berichtete, dass der Angreifer 500.859,22 US-Dollar von Kartenguthaben von 1.685 Benutzern entfernte. Das Unternehmen gab an, alle betroffenen Kunden erstattet und nach dem Vorfall 10 % Cashback gewährt zu haben.
Tria legte Verluste von etwa 431.945 US-Dollar bei 636 Kunden offen. Es sagte in einem offiziellen Update, dass jeder betroffene Kunde entschädigt werde.
Die beiden Offenlegungen machen 932.804,22 US-Dollar der geschätzten Verluste aus. Blockaid nannte auch Solayer Pay als betroffenes Programm, aber es war kein unabhängig verifizierter Betrag für dessen Verluste verfügbar.
Die Differenz zwischen den offengelegten Verlusten von Avici und Tria und Blockaids Schätzung von 1,1 Millionen US-Dollar scheint andere von Rain unterstützte Programme zu betreffen. Eine vollständige Aufschlüsselung wurde nicht veröffentlicht.
Avici’s Token fiel laut Markt-daten um 49 % von seinem Tageshoch, nachdem Berichte über den Exploit auftauchten. Der Token erreichte einen gemeldeten Tiefststand von 0,217 $, bevor er sich teilweise erholte. Trias Token fiel ebenfalls zeitweise um mehr als 10 %.
Diese Kursbewegungen folgten auf öffentliche Berichte über den Angriff, obwohl auch die allgemeinen Marktbedingungen den Handel beeinflusst haben könnten.
Rain-Upgrades betrafen Vertragsbereitstellungen
Rain erklärte, dass alle Kartenprogramme, die den veralteten Vertrag verwendeten, aktualisiert worden seien. Das Unternehmen meldete nach Abschluss der Änderungen keine weiteren unbefugten Aktivitäten.
Es hieß auch, dass betroffene Nutzer entschädigt würden. Rain hat nicht offengelegt, ob es Kartenprogramme direkt entschädigen wird oder ob einzelne Anbieter die Kosten tragen.
Mehrere Fragen bleiben unbeantwortet. Rain hat weder die vollständige Versionshistorie des anfälligen Vertrags noch das Datum, an dem der Fehler eingeführt wurde, oder den Grund, warum ältere Bereitstellungen aktiv blieben, veröffentlicht.
Das Unternehmen hat auch nicht offengelegt, ob ein Audit den Autorisierungsfehler vor dem Angriff identifiziert hat. Über eine Rückgewinnung der bei Tornado Cash eingezahlten Gelder wurde öffentlich nichts berichtet.
Der Vorfall wirft erneut Fragen auf, ob regelmäßige Audits ausreichenden Schutz bieten, nachdem Verträge in Produktion gegangen sind. Jüngste Branchenforschung ergab, dass Institutionen zunehmend kontinuierliches Monitoring neben traditionellen Sicherheitsaudits wünschen, insbesondere für Verträge, die Nutzervermögen halten.
Ein detaillierter technischer Bericht würde es externen Forschern ermöglichen, die Schwachstelle zu bestätigen und festzustellen, ob ähnlicher Code anderswo noch aktiv ist. Kartenanbieter könnten auch überprüfen, wie sie Vertragsversionen verfolgen und administrative Berechtigungen über gemeinsame Infrastruktur hinweg einschränken.
Nutzer können die Kontrolle über ihre persönlichen Wallets behalten, während sie dennoch Risiken ausgesetzt sind, nachdem sie Gelder in ein Kartenprogramm eingezahlt haben. Die Sicherheit dieser Guthaben hängt von den Verträgen ab, die die Sicherheiten halten, vom Anbieter, der sie wartet, und von den Betreibern, die reagieren, wenn Schwachstellen auftreten.
