Rocket hat Einzahlungen, Abhebungen und Handel ausgesetzt, nachdem ein Angreifer einen ruhenden Perpetual-Markt manipulierte und etwa 287.000 $ an positivem PnL von der Bridge der Plattform abhob.
Zusammenfassung
- Ein Angreifer manipulierte einen ruhenden Rocket-Perpetual-Markt mit überhöhten Aufträgen und Selbstgeschäften, schuf künstliche Gewinne und hob anschließend etwa 287.000 $ ab.
- Rocket hat Einzahlungen, Abhebungen und Handel pausiert, während Sicherheitsfirmen und Strafverfolgungsbehörden den Vorfall vom 5. September untersuchen.
- Die Plattform arbeitet mit Börsen, Brücken und Stablecoin-Emittenten zusammen, um die gestohlenen Gelder aufzuspüren und einzufrieren.
- Rocket bereitet einen Wiederherstellungsplan vor, der Rückerstattungen für kleinere betroffene Konten priorisieren wird.
Rocket sagte in einem Update vom 7. September auf X, dass der Sicherheitsvorfall am 5. September um ca. 19:00 UTC stattfand, als ein Angreifer mit einem Wegwerfkonto einen inaktiven Perpetual-Markt ins Visier nahm.
Der Angreifer platzierte Aufträge zu künstlich überhöhten Preisen und handelte gegen sich selbst, wodurch er künstliche Gewinne auf einem Konto erzielte und das Wegwerfkonto in den Bankrott trieb. Das profitable Konto hob anschließend etwa 287.000 $ von der Bridge ab, wodurch der resultierende Verlust plattformweit sozialisiert wurde.
Rocket-Angriff nutzte Selbsthandel, um künstliche Gewinne zu erzielen
Statt eine Schwachstelle im Smart Contract zu beschreiben, konzentrierte sich Rockets erster Bericht über den Vorfall auf die Manipulation eines ruhenden Perpetual-Marktes mit begrenzter Aktivität.
Mit einem Wegwerfkonto konnte der Angreifer Aufträge zu überhöhten Preisen platzieren und dann als beide Seiten der Geschäfte auftreten. Rocket sagte, die Transaktionen hätten für ein Konto „fiktive Gewinne“ erzeugt, während das Wegwerfkonto die entsprechenden Verluste ansammelte und zahlungsunfähig wurde.
Das Konto mit positivem PnL hob dann etwa 287.000 $ über die Bridge ab, bevor die Aktivität gestoppt wurde.
Rocket hat seitdem den gesamten Handel, Einzahlungen und Abhebungen pausiert, während sein Team den Vorfall untersucht. Das Projekt gab keinen Zeitplan für die Wiederherstellung der betroffenen Dienste bekannt und legte nicht offen, wie viele Nutzer dem sozialisierten Verlust ausgesetzt waren.
Der Blockchain-Sicherheits-Tracker SlowMist stufte den Vorfall als Preis Manipulationsangriff ein und verzeichnete den Verlust auf 287.000 $.
Die Methode weist Ähnlichkeiten mit früheren Vorfällen in dünnen Perpetual-Märkten auf, bei denen Händler Preise oder Positionen manipulieren und resultierende Verluste auf Liquiditätsanbieter oder andere Teile einer Handelsplattform übertragen konnten.
Im März 2025 zielte ein Händler auf Hyperliquids dünnen JELLY-Markt, indem er eine große Short-Position eröffnete und gleichzeitig den Token an dezentralen Börsen kaufte. Die Aktivität trieb den Preis von JELLY stark nach oben und drückte den Short in Richtung Liquidation, wodurch die Position schließlich auf Hyperliquids Liquiditäts-Vault übertragen wurde.
Wie crypto.news bereits berichtete, schränkte Hyperliquid die Konten des Händlers auf Nur-Reduzieren-Modus ein, bevor Validatoren später dafür stimmten, den JELLY-Perpetual-Markt zu delisten und offene Positionen abzuwickeln.
Ein separater Hyperliquid-Vorfall im März 2025 führte dazu, dass der HLP-Vault etwa 4 Millionen Dollar an Verlusten absorbierte, nachdem ein Händler Sicherheiten aus einer stark gehebelten Ether-Position vor der Liquidation abgezogen hatte. Hyperliquid sagte damals, dass das Ereignis kein Protokoll-Exploit sei und änderte anschließend die Hebelanforderungen für Bitcoin- und Ether-Positionen.
Rocket versucht, die gestohlenen 287.000 $ einzufrieren
Bei ausgesetztem Plattformbetrieb sagte Rocket, dass es mit Sicherheitsfirmen und Strafverfolgungsbehörden zusammenarbeitet, um den Angriff zu untersuchen und die Gelder zurückzufordern.
Das Team koordiniert sich mit Kryptowährungsbörsen, Cross-Chain-Brücken und Stablecoin-Emittenten, um die gestohlenen Vermögenswerte zu verfolgen und zu versuchen, sie einzufrieren. Rocket hat die Identitäten der beteiligten Sicherheitsunternehmen oder Strafverfolgungsbehörden nicht offengelegt.
Ähnliche Maßnahmen wurden auch nach anderen jüngsten DeFi-Vorfällen ergriffen, insbesondere wenn Angreifer versuchen, Gelder über Brücken oder zentralisierte Handelsplattformen zu verschieben.
AFX erlitt im Juli einen Cross-Chain-Brücken-Exploit, der 24,15 Millionen USDC abzog. Das Sicherheitsunternehmen Blockaid arbeitete mit dem Arbitrum-Team zusammen, um den Vorfall zu untersuchen, während der Angreifer die gestohlenen USDC auf Ethereum übertrug und den Erlös in 12.467,5 ETH umwandelte.
Bereits im Juni deaktivierte Axelar Brückenrouten, die mit Secret Network verbunden waren, nachdem ein Exploit zu Verlusten von rund 4,7 Millionen US-Dollar geführt hatte. Axelar erklärte, der Vorfall sei auf gebrückte Vermögenswerte im Secret Network beschränkt gewesen und habe sein Kernprotokoll nicht beeinträchtigt.
Rocket hat nicht offengelegt, ob ein Teil der 287.000 US-Dollar bisher eingefroren oder zurückgeholt wurde.
Kleinere Rocket-Konten stehen bei Rückerstattungen an erster Stelle
Das Team bereitet einen Wiederherstellungsplan für von dem Vorfall betroffene Nutzer vor, wobei kleinere Konten bei Beginn der Rückerstattungen voraussichtlich Priorität erhalten.
Rocket erklärte, man verstehe, dass die Entschädigung das Update sei, auf das betroffene Nutzer warten, werde jedoch erst dann spezifische Details bekannt geben, wenn dies verantwortungsvoll möglich sei. Die Plattform hat weder die Höhe der verfügbaren Wiederherstellungsfonds, die Berechtigungsvoraussetzungen, die Zahlungsmethode noch einen Zeitplan für Rückerstattungen offengelegt.
Wiederherstellungsprogramme haben nach früheren Angriffen auf dezentrale Handelsprotokolle unterschiedliche Formen angenommen.
GMX beispielsweise schloss im August 2025 einen Entschädigungsplan in Höhe von rund 44 Millionen US-Dollar für Liquiditätsanbieter ab, die von einem Exploit seines V1-GLP-Pools betroffen waren. Das Protokoll verwendete GLV-Token für Ausschüttungen, während seine DAO-Treasury ein Defizit von 2 Millionen US-Dollar abdeckte.
Der GMX-Angreifer hatte zuvor etwa 37,5 Millionen US-Dollar der rund 42 Millionen US-Dollar zurückgegeben, die gestohlen worden waren, nachdem das Protokoll eine White-Hat-Prämie von 10 % angeboten hatte. Das betroffene V1-System wurde nach dem Angriff pausiert, während GMX V2 betriebsbereit blieb.
Rocket hat keine ähnliche Prämie angekündigt oder dem Angreifer direkt Bedingungen angeboten. Die derzeitigen Wiederherstellungsbemühungen konzentrieren sich weiterhin darauf, die abgehobenen Gelder zu verfolgen und einen Rückerstattungsplan zu entwickeln.
