Der auf Solana basierende Automated Market Maker Aquifer hat bei einem Exploit, an dem Wallets auf Solana und Ethereum beteiligt waren, etwa 2,5 Millionen US-Dollar verloren. Das Protokoll bietet dem Angreifer eine Belohnung von 20 % für die Rückgabe des Großteils der Gelder.
Zusammenfassung
- Der auf Solana basierende AMM Aquifer verlor bei einem Exploit, an dem Angreiferadressen auf Solana und Ethereum beteiligt waren, etwa 2,5 Millionen US-Dollar.
- Aquifer bot dem Angreifer eine Whitehat-Belohnung von 20 % an, wenn bis zum 3. September mindestens 80 % der Vermögenswerte zurückgegeben werden.
- Der genaue Kompromittierungspunkt bleibt unklar, und es gibt noch keine technische Nachbesprechung, die feststellt, wie der Zugriff auf die betroffenen Wallets erlangt wurde.
- Die verfügbaren Informationen haben nicht festgestellt, dass die Smart Contracts von Aquifer ausgenutzt wurden, sodass der kompromittierte Wallet-Zugriff bisher der Hauptfokus des Vorfalls ist.
Der Blockchain-Sicherheitsüberwachungsdienst Defimon meldete den Angriff am 31. August und identifizierte separate Solana- und Ethereum-Adressen, die vom mutmaßlichen Ausbeuter kontrolliert werden. Aquifer sandte später ein On-Chain-Whitehat-Angebot, das die Rückgabe von mindestens 80 % der mit dem Vorfall verbundenen Vermögenswerte forderte.
Das Angebot gibt dem Angreifer bis zum 3. September um 14:00 UTC Zeit, die Vermögenswerte oder ihren Gegenwert an die von Aquifer bereitgestellten Wiederherstellungsadressen zu übertragen. Die Person, die die Wallets kontrolliert, kann bis zu 20 % der Gelder als Whitehat-Belohnung behalten, wenn die Bedingungen erfüllt sind.
Aquifer erklärte, dass es keine zivilrechtlichen Ansprüche aus dem Exploit geltend machen werde, wenn der Angreifer die Bedingungen einhält, vorbehaltlich des geltenden Rechts. Die Vereinbarung würde Strafverfolgungsbehörden, Regulierungsbehörden, Sanktionsbehörden oder andere Regierungsstellen nicht binden.
Aquifer-Exploit betrifft Wallets auf zwei Ketten
Aquifer fungiert als proprietärer Automated Market Maker auf Solana, wo seine Liquidität zur Erleichterung von Token-Swaps verwendet wird. DefiLlama beschreibt das Protokoll als prop AMM und listet derzeit seinen Total Value Locked bei etwa 2,8 Millionen US-Dollar.
Die nach dem Exploit identifizierten Adressen zeigen Aktivitäten, die sich über Solana und Ethereum erstrecken. Defimon verband die Solana-Adresse 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J und die Ethereum-Adresse 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 mit dem Angreifer.
Die Whitehat-Nachricht von Aquifer wurde über die Solana-Upgrade-Autorität des Protokolls autorisiert und on-chain veröffentlicht. Das Projekt stellte separate Wiederherstellungsadressen für Solana und Ethereum bereit, sodass mit dem Angriff verbundene Vermögenswerte in beiden Netzwerken zurückgegeben werden können.
Öffentliche Informationen haben noch nicht festgestellt, wie genau die Wallets kompromittiert wurden. Es wurde keine technische Nachbesprechung veröffentlicht, die erklärt, ob private Schlüssel, Administrator-Anmeldeinformationen oder ein anderer Teil der operativen Infrastruktur von Aquifer offengelegt wurden.
Die verfügbaren Informationen stellen ebenfalls nicht fest, dass der Smart-Contract-Code von Aquifer ausgenutzt wurde. Die Verwendung von Adressen über Ethereum und Solana bietet Ermittlern eine Spur, um die Vermögenswerte zu verfolgen, identifiziert jedoch nicht von selbst, wie der Zugriff auf die betroffenen Gelder erlangt wurde.
Der Vorfall folgt auf mehrere Solana-bezogene Angriffe in diesem Jahr, bei denen der Kompromittierungspunkt außerhalb der zugrunde liegenden Blockchain lag.
Solana-Protokolle waren mit verschiedenen Angriffsmethoden konfrontiert
Im Juni berichtete crypto.news zuvor, dass fünf Legacy-Liquiditätspools von Raydium etwa 1,3 Millionen US-Dollar verloren, nachdem ein Angreifer die ausgemusterte AMM-Infrastruktur ins Visier genommen hatte.
Der On-Chain-Ermittler Specter sagte, der Raydium-Angreifer habe eine gefälschte Mint-Adresse verwendet, um Validierungsprüfungen in einem älteren AMM-Programm zu umgehen. Die gestohlenen Vermögenswerte umfassten etwa 150.177 RAY, 5.603 SOL und 893.700 USDC.
Raydium erklärte, dass seine aktiven Pools und aktuellen Nutzer nicht betroffen seien, da die anfällige Infrastruktur bereits ausgemustert worden sei. Das Protokoll verpflichtete sich, die betroffenen Vermögenswerte aus seiner Treasury zu erstatten.
Ein separater Vorfall im Juli mit dem Across Protocol verursachte Verluste von weniger als 4 Millionen US-Dollar, nachdem ein Angreifer gefälschte Solana-Einzahlungsereignisse erstellt hatte. Der Angreifer erstellte 1.627 gefälschte Einzahlungen mit einem kombinierten angegebenen Wert von 41,7 Millionen US-Dollar und forderte Auszahlungen über 18 Zielketten.
Der Relayer von Risk Labs verarbeitete 581 der betrügerischen Anfragen, bevor die Solana-Operationen ausgesetzt wurden, und schoss dabei etwa 4,5 Millionen US-Dollar eigenes Kapital vor. Etwa 500.000 US-Dollar, die dem Angreifer gehörten, blieben stecken, wodurch sich der Nettoverlust auf unter 4 Millionen US-Dollar belief.
Across sagte später, dass der Solana-Angriff auf einen Fehler in der Off-Chain-Ereignislesesoftware von Risk Labs zurückzuführen sei und nicht auf eine Schwachstelle in seinen Smart Contracts oder im Solana-Netzwerk. Legitime Nutzerüberweisungen wurden abgeschlossen oder erstattet.
Betriebliche Sicherheitsfehler haben auch anderswo zu Verlusten geführt, ohne dass Angreifer die Smart-Contract-Logik ausnutzen mussten.
Wallet-Zugriff ist zu einer wichtigen Angriffsroute geworden
Das Stablecoin-Zahlungsunternehmen Triple-A bestätigte im Juli, dass unbefugter Zugriff auf seine Treasury-Wallets zum Diebstahl von firmeneigenen digitalen Vermögenswerten führte. On-Chain-Forscher verfolgten zunächst verdächtige Abhebungen über Ethereum, Solana, TRON und TON, wobei einige Berichte Aktivitäten auf Polygon und Arbitrum identifizierten.
Triple-A sagte später, dass Kundengelder nicht betroffen seien, da Kundengelder von der kompromittierten Treasury-Infrastruktur getrennt waren. Forscher hatten den Verlust auf etwa 11,8 Millionen US-Dollar geschätzt, bevor das Unternehmen den Vorfall bestätigte.
Das Unternehmen gab nicht bekannt, ob der Angreifer private Schlüssel, Anmeldeinformationen oder eine andere Form des Zugriffs erhalten hatte. Triple-A sagte, dass Cybersicherheitsspezialisten und die Singapurer Polizei an der Untersuchung und der Vermögensverfolgung arbeiteten.
Private Schlüssel und Wallet-Kompromittierungen haben 2026 einen erheblichen Teil der Krypto-Diebstähle ausgemacht. CertiK berichtete im Juli, dass die Verluste an digitalen Vermögenswerten in der ersten Jahreshälfte 1,32 Milliarden US-Dollar erreichten, was einem Rückgang von 46,8 % gegenüber dem gleichen Zeitraum im Jahr 2025 entspricht.
Trotz der geringeren Gesamtsumme sagte das Sicherheitsunternehmen, dass Wallet-Kompromittierungen im zweiten Quartal zur größten Angriffsmethode wurden und Phishing als Hauptquelle für Verluste ablösten.
Ein weiteres Solana-Projekt, Step Finance, stellte seinen Betrieb schließlich ein, nachdem Anfang dieses Jahres ein Angriff auf Geräte von Mitgliedern des Führungsteams abzielte. Angreifer erlangten Zugriff auf Treasury- und Gebühren-Wallets und transferierten etwa 261.854 SOL, während spätere Schätzungen die Gesamtverluste bei betroffenen Vermögenswerten auf nahezu 40 Millionen US-Dollar bezifferten.
Ermittler stellten fest, dass die Smart Contracts von Step Finance nicht der Einstiegspunkt waren. Kompromittierte Endpunkte ermöglichten es den Angreifern, auf Wallets zuzugreifen, die vom Projekt verwendet wurden, und der finanzielle Schaden trug später zur Entscheidung bei, die Plattform einzustellen.
Eine ähnliche Unterscheidung wird davon abhängen, dass Aquifer weitere Details zu seinem eigenen Vorfall veröffentlicht. Das Protokoll hat noch keinen Post-Mortem-Bericht veröffentlicht, der den anfänglichen Zugriffspunkt, die beteiligten spezifischen Anmeldeinformationen oder ob ein kompromittiertes Konto die Kontrolle über mehrere Wallets ermöglichte, identifiziert.
Derzeit konzentriert sich der Wiederherstellungsprozess von Aquifer auf seinen Whitehat-Vorschlag. Dem Angreifer wurde das Recht angeboten, bis zu 20 % der mit dem Exploit verbundenen Vermögenswerte zu behalten, wenn mindestens 80 % bis zum 3. September um 14:00 UTC an die festgelegten Wiederherstellungsadressen zurückgegeben werden.
