Der mit Abstand größte Diebstahl der noch jungen Kryptogeschichte fand im Sommer 2021 statt, als die auf Blockchain-übergreifende Transaktionen von Kryptowährungen spezialisierte Plattform Poly Network um insgesamt rund 600 Millionen Dollar erleichtert wurde. Der Hacker gab später einen Teil seiner Beute zurück. Auf eine Einsicht der Cyberkriminellen hofft derzeit wohl auch Wormhole. Die Solana-Ethereum-Brücke verlor am Mittwoch rund 320 Millionen Dollar in Wrapped Ether.

Blockworks zufolge handelt es sich damit um den zweitgrößten Defi-Hack aller Zeiten. Am Donnerstagvormittag arbeitet Wormhole noch immer daran, das Portal wieder ans Netz zu bringen. Auf der Website findet sich zudem die Information, dass man die Sicherheitslücke gefixt habe und alle Einlagen von Nutzer:innen sicher seien. Zuvor hatte Wormhole via Twitter versichert, dass man dabei sei, den Wrapped-Ether-Verlust auszugleichen. Laut Wormhole sei nur Wrapped Ether betroffen.

Bei Wrapped Ether handelt es sich um einen ERC-20-Token, der pro Einheit einen Ether repräsentiert. Wormhole wiederum ist eine dezentrale Brücke zwischen verschiedenen Blockchains, derzeit werden Terra, Solana, Ethereum, die Binance Smart Chain, Avalanche und Polygon unterstützt. Will ein:e Nutzer:in Token von einer auf eine andere Blockchain transferieren, dann ist sie oder er auf eine solche Lösung angewiesen. Im Falle von Wormhole wird der zu transferierende Token(-Wert) in einem Smart Contract auf einer Blockchain gesperrt und auf der anderen Blockchain als Wrapped-Version wieder erstellt (Minting).

Dieser Prozess dürfte dem oder der Hacker:in auch als Einfallstor gedient haben. Twitter-Nutzer @samczsun hat sich gemeinsam mit anderen Expert:innen per Reverse-Engineering an eine Erklärung gewagt. Demnach gelang es den Kriminellen dank einer Sicherheitslücke, an Signaturen zu gelangen, mit denen sie Wrapped Ether anderer Nutzer:innen in ihr eigenes Konto auf der Solana-Blockchain minten konnten. Glaubt man Wormhole, dann dürfte diese Lücke jetzt geschlossen sein. Die Plattform hat dem oder der unbekannten Hacker:in zehn Millionen Dollar als Bug-Bounty geboten, wenn er oder sie das Geld wieder zurückgibt.