Solana-Hacks, Bugs und Exploits: Eine vollständige Chronik

Wichtigste Erkenntnisse und Trends

• Häufigkeit der Vorfälle: 38 bestätigte Sicherheitsvorfälle über fünf Jahre (2020–Q1 2025), mit einem Höchststand von 15 Vorfällen im Jahr 2022. Treiber war das wachsende Solana-Ökosystem, insbesondere in den Bereichen DeFi und NFT. Anwendungs-Exploits dominierten mit 26 Vorfällen und spiegelten die rasante Verbreitung von dApps wider. Supply-Chain-Angriffe kamen 2024 als neue Bedrohung hinzu.
• Finanzielle Auswirkungen: Die Bruttoverluste beliefen sich auf rund ~600 Mio. $. Davon wurden ~469 Mio. $ durch Erstattungen, Rückgewinnungen und Eingriffe der Protokolle ausgeglichen. Damit blieben Nettoverluste von ~131 Mio. $. Bei Vorfällen wie dem Slope-Wallet-Hack (8 Mio. $) und dem DEXX-Exploit (30 Mio. $) trugen Nutzer den Großteil der Verluste. Protokolle konnten jedoch auch erhebliche Schäden ausgleichen, etwa durch die Erstattung von 326 Mio. $ bei Wormhole und die Rückgewinnung von 5,8 Mio. $ bei Loopscale.
• Betroffene Parteien: Nutzer waren die Hauptopfer von Anwendungs-Exploits (z. B. Slope Wallet, Solareum) und Supply-Chain-Angriffen (z. B. Web3.js, Parcl-Frontend). Sie verloren Guthaben aus Wallets und Liquiditätspools. Angriffe auf Netzwerkebene (z. B. der 17-stündige Ausfall durch Grape Protocol) und Schwachstellen im Kernprotokoll (z. B. der fünfstündige Ausfall durch den JIT-Cache-Bug) beeinträchtigten das gesamte Ökosystem. Nutzer, dApps und Validatoren erlitten indirekte Verluste durch Schwankungen des SOL-Kurses.
• Entwicklung der Reaktion: Die Reaktionszeiten verbesserten sich drastisch: von Stunden oder Tagen in den Jahren 2020–2022 (z. B. wurde Wormhole innerhalb von Stunden gepatcht und Cashio noch am selben Tag abgeschaltet) auf Minuten oder Stunden in den Jahren 2024–2025 (z. B. stoppte Thunder Terminal den Angriff nach neun Minuten und Banana Gun schaltete Bots innerhalb weniger Minuten ab). Die Wachsamkeit der Community, darunter Warnungen von CertiK (SVT Token) und ZachXBT (NoOnes), beschleunigte die Erkennung. Die Abhilfemaßnahmen verlagerten sich von reaktiven Schritten wie Protokollabschaltungen hin zu proaktiven Strategien wie Audits, 2FA und Echtzeitüberwachung.
• Sicherheitslücken: Zu den anhaltenden Schwachstellen gehören Programmfehler (z. B. Cashios Fehler zum unbegrenzten Minting), Oracle-Manipulation (z. B. der 116-Mio.-$-Exploit bei Mango Markets), die Verwaltung privater Schlüssel (z. B. das 30-Mio.-$-Leck bei DEXX) und Abhängigkeiten von Drittanbietern (z. B. die MongoDB-Schwachstelle bei Thunder Terminal). Vorfälle im Kernprotokoll wie der Turbine-Ausfall (2023) verdeutlichen die Komplexität der auf hohen Durchsatz ausgelegten Solana-Architektur. Sie erfordert robuste Validierung und Fehlererkennung. Insider-Bedrohungen (z. B. der Exploit durch einen Mitarbeiter von Pump.fun und der Diebstahl von 317.000 $ bei Cypher) wurden zu einem wachsenden Problem.
• Erfolgreiche Schadensbegrenzung: Protokolle wie Wormhole (326 Mio. $ erstattet), Pump.fun (1,9 Mio. $ wiederhergestellt), Banana Gun (1,4 Mio. $ zurückgezahlt) und Loopscale (5,8 Mio. $ zurückgewonnen) glichen die Verluste vollständig aus. Das zeigt, dass ihre Wiederherstellungsmechanismen funktionieren. Raydium entschädigte Nutzer teilweise (100 % für RAY-Pools, 90 % für Nicht-RAY-Pools). Andere Projekte wie Cashio und Solareum brachen wegen unzureichender Mittel zusammen. Das unterstreicht, wie wichtig solide Versicherungsfonds und diversifizierte Risikomanagementstrategien sind.

Einführung

Solana wurde im März 2020 von Solana Labs gestartet und kombiniert Proof-of-History (PoH) mit Proof-of-Stake (PoS). So erreicht die Blockchain einen hohen Durchsatz und zielt auf 65.000 Transaktionen pro Sekunde bei Gebühren von weniger als einem Cent. Ihre Skalierbarkeit führte zu einer breiten Akzeptanz in DeFi, NFTs und Web3-Anwendungen. Dieses Wachstum setzte Solana jedoch auch zahlreichen Sicherheitsvorfällen aus: Exploits auf Anwendungsebene erbeuteten Hunderte Millionen, Supply-Chain-Angriffe kompromittierten Werkzeuge des Ökosystems, Bedrohungen auf Netzwerkebene verursachten Störungen und Schwachstellen im Kernprotokoll führten zu Ausfällen und Risiken. Dieser Artikel bietet einen umfassenden Katalog der Sicherheitsgeschichte von Solana. Er untersucht ausschließlich hochwertige, verifizierte Quellen eingehend, um jeden bekannten und bestätigten Sicherheitsvorfall aufzudecken. Jeder Vorfall wurde gründlich und unabhängig geprüft. So liefert der Artikel verlässliche Daten und analysiert Ursachen, Folgen, Reaktionen, Abhilfemaßnahmen, gewonnene Erkenntnisse und Verluste der Nutzer.

Methodik

• Für diese Liste wurden Vorfälle aus jährlichen Sicherheitsaudits, Berichten, Post-Mortems und verschiedenen seriösen Websites zusammengetragen.
• Die Liste enthält nur bekannte, bestätigte Vorfälle, über die hochwertige Websites berichtet haben.
• Weniger bekannte, kaum diskutierte oder unbestätigte Vorfälle sowie solche ohne Relevanz für Projekte oder die Sicherheit von Solana wurden ausgeschlossen.
• Die zahlreichen täglichen Betrugsfälle und Rug-Pull-Projekte wurden nicht berücksichtigt. Aufgeführt sind nur Vorfälle im Zusammenhang mit Exploits oder Hacks auf Solana.
• Bei Hunderten von Projekten im Solana-Ökosystem wurden Twitter-, Discord- oder andere Social-Media-Konten von Betrügern oder Hackern kompromittiert. Diese Vorfälle stehen nicht mit Schwachstellen in den Anwendungen, der Supply Chain oder dem Netzwerk des Protokolls beziehungsweise Projekts in Verbindung und bleiben daher unberücksichtigt.
• Jeder Vorfall wurde unabhängig geprüft. Verschiedene Quellen und Zahlen wurden verglichen, um möglichst genaue Informationen zusammenzutragen.
• Technische Quellen wurden geprüft (GitHub-Commits, npm-Warnungen, Validator-Logs, Auditberichte).
• Die Verluste wurden anhand veröffentlichter Zahlen geschätzt und mit den damaligen SOL/USD-Kursen abgeglichen.
• Jeder Vorfall wird zusammengefasst. Dabei werden Ursache, Folgen, Reaktion, Abhilfemaßnahmen, gewonnene Erkenntnisse und Verluste der Nutzer hervorgehoben.
• Zu jedem Vorfall gibt es Referenzen und Belege zur Überprüfung sowie eine Liste hochwertiger Quellen.
• Bewertet wurden die Häufigkeit der Vorfälle, die Gesamtverluste und die Entwicklung der Sicherheitsreaktionen von Solana.

Die Vorfälle sind in vier Kategorien unterteilt: I) Anwendungs-Exploits, II) Supply-Chain-Angriffe, III) Schwachstellen im Kernprotokoll und IV) Angriffe auf Netzwerkebene. Die Liste reicht bis Q1 2025.

Zusammenfassung der Vorfälle

• Anwendungs-Exploits (26 Vorfälle): Wormhole Bridge, Cashio, Crema Finance, Audius, Nirvana Finance, Slope Mobile Wallet, OptiFi Lockup Bug, Mango Markets, UXD Protocol, Tulip Protocol, Solend Protocol (Aug. 2021), Solend Protocol (Nov. 2022), Raydium, Cypher Protocol, SVT Token, io.net, Synthetify DAO, Aurory, Thunder Terminal, Saga DAO, Solareum, Pump.fun, Banana Gun, DEXX, NoOnes Platform, Loopscale.
• Supply-Chain-Angriffe (2 Vorfälle): Parcl Front-End, Web3.js
• Angriffe auf Netzwerkebene (4 Vorfälle): Grape-Protocol-Vorfall, Ausfall beim Minting von Candy-Machine-NFTs, Jito-DDoS, Phantom-Wallet-DDoS.
• Schwachstellen im Kernprotokoll (6 Vorfälle): Solana Turbine Bug, Solana Durable Nonce Bug, Solana Duplicate Block Bug, Solana Turbine Failure, Solana JIT Cache Bug, Solana ELF Address Alignment Vulnerability.

Anwendungs-Exploits

Definition

Anwendungs-Exploits sind Sicherheitsvorfälle, die Schwachstellen in Softwareanwendungen, Programmen oder der Protokolllogik ausnutzen, die auf der Solana-Blockchain aufbauen. Diese Exploits treten auf der Anwendungsebene oberhalb des Blockchain-Kernprotokolls auf. Meist betreffen sie Fehler im Design, Code oder in der Konfiguration dezentraler Anwendungen (dApps), Wallets oder DeFi-Protokolle. Häufig führen sie zu unbefugtem Zugriff, zum Diebstahl von Guthaben oder zur Manipulation von Protokollabläufen.

Merkmale

• Umfang: Betrifft einzelne dApps, Programme oder Wallet-Anwendungen, nicht das Solana-Protokoll selbst.
• Häufige Schwachstellen: Dazu gehören Programmfehler (z. B. mangelhafte Validierung oder Oracle-Manipulation), unsichere Schlüsselverwaltung, Schlupflöcher in der Governance und Integrationen von Drittanbieterdiensten in die Anwendung.
• Auswirkungen: Führt meist zu finanziellen Verlusten durch gestohlene Guthaben, manipulierte Transaktionen oder gesperrte Assets. Betroffen sind Nutzer, Protokolle oder Treasurys.

Vorfälle auf Anwendungsebene

Versuch, die Solend-Authentifizierung zu umgehen (Aug. 2021)

Ursache: Am 19. August 2021 nutzte ein Angreifer eine unsichere Authentifizierungsprüfung in Solends Funktion `UpdateReserveConfig` aus. Er umging die Admin-Prüfungen, indem er einen neuen Lending-Markt erstellte und ihn als eigenes Account übergab. So konnte er die Reservekonfigurationen von Assets wie USDC, SOL, ETH und BTC unbefugt ändern. Der Angreifer senkte den Liquidationsschwellenwert, wodurch fast alle Accounts mit Krediten liquidierbar wurden. Zudem erhöhte er den Liquidationsbonus, um Liquidatoren – möglicherweise sich selbst – durch den überhöhten Bonus erhebliche Gewinne zu verschaffen.

Folgen: Der Exploit-Versuch gefährdete rund 2 Millionen $, da fast alle Accounts mit Krediten zu einem überhöhten Bonus liquidierbar wurden. Der Liquidator-Bot von Solend liquidierte fünf Nutzer zu Unrecht. Dabei entstanden Verluste von 16.000 $. Dank der schnellen Erkennung und des Eingreifens durch das Solend-Team wurden keine Gelder gestohlen.

Reaktion auf den Vorfall: Solend erkannte den Angriff innerhalb von 41 Minuten, begrenzte ihn innerhalb von 1 Stunde und 10 Minuten und stellte innerhalb von 1 Stunde und 38 Minuten eine Korrektur bereit. Die Kreditaufnahme wurde vorübergehend ausgesetzt. Das Team korrigierte die zu Unrecht liquidierten Accounts und erstattete 16.000 $ aus den unrechtmäßigen Einnahmen des Liquidators sowie einen Bonus von 2 %.

Abhilfemaßnahmen: Solend führte strengere Richtlinien für Code-Reviews ein, plante weitere Audits, erhöhte die Bug-Bountys und ergänzte Überwachungswarnungen. Außerdem führte das Team Circuit Breaker und gezielte Verzögerungen ein, um ähnliche Exploits zu verhindern, und patchte die anfällige Authentifizierungsprüfung in der Funktion `UpdateReserveConfig`.

Gewonnene Erkenntnisse: Unsichere Authentifizierungsprüfungen in Programmen können Angreifern ermöglichen, kritische Protokollparameter zu manipulieren. Robuste Zugriffskontrollen, gründliche Code-Audits und Echtzeitüberwachung sind entscheidend, um dezentrale Protokolle zu schützen – besonders kurz nach dem Start.

Nutzerverluste: Fünf Nutzer verloren durch unrechtmäßige Liquidationen 16.000 $. Der Betrag wurde jedoch vollständig erstattet, ergänzt um einen Bonus von 2 % aus den Einnahmen des Liquidators. Andere Nutzer verloren kein Geld.

Referenzen und Belege:

• HackMD: „Solend Protocol – Hacker versucht durch Manipulation zentraler Parameter ~2 Mio. $ zu stehlen“, August 2021
• Quadriga Initiative: „Aug. 2021 – Unsichere Authentifizierungsprüfung bei Solend – 16.000 $ (weltweit)“, August 2021

Wormhole-Bridge-Exploit (Feb. 2022)

Ursache: Ein Fehler bei der Signaturprüfung im Solana-seitigen Programm von Wormhole ermöglichte einem Angreifer, eine gültige Signatur zu fälschen und die Guardian-Validierung zu umgehen. Dadurch konnte er ohne entsprechende Ethereum-Sicherheiten unbefugt 120.000 Wrapped Ether (wETH) minten.

Folgen: Kryptowährungen im Wert von rund 326 Millionen $ wurden gestohlen. Damit war dies damals der zweitgrößte DeFi-Hack. Der Exploit störte die 1:1-Bindung zwischen wETH und ETH und weckte Zweifel an der Zuverlässigkeit von Cross-Chain-Bridges.

Reaktion auf den Vorfall: Die Schwachstelle wurde am 2. Februar 2022 innerhalb weniger Stunden gepatcht. Jump Crypto, die Muttergesellschaft von Wormhole, erstattete am 3. Februar 120.000 ETH und stellte so die 1:1-Deckung wieder her. Dem Angreifer wurde eine Bug-Bounty von 10 Millionen $ angeboten, er gab die Gelder jedoch nicht zurück.

Abhilfemaßnahmen: Die Signaturprüfung wurde durch strengere Eingabevalidierung und verbesserte Account-Prüfungen verstärkt, um Spoofing-Angriffe zu verhindern.

Gewonnene Erkenntnisse: Cross-Chain-Bridges benötigen mehrschichtige Sicherheitsmechanismen, darunter robuste Validierung und Audits, um komplexe Schwachstellen in Smart Contracts einzudämmen.

Nutzerverluste: Keine, da Jump Crypto die gestohlenen Gelder vollständig erstattete und direkte Verluste für Nutzer verhinderte.

Referenzen und Belege:

• CNBC: „320 Millionen $ von Wormhole gestohlen, der Bridge zwischen Solana und Ethereum“, 3. Februar 2022.
• The Verge: „Kryptoplattform Wormhole nach Fehler auf GitHub um 325 Millionen $ gehackt“, 3. Februar 2022.
• Certik: „Analyse des Wormhole-Bridge-Exploits“, 31. Juli 2022.

Cashio-Exploit (März 2022)

Ursache: Eine Schwachstelle in der Validierung von Sicherheiten im Cashio-Programm erlaubte einem Angreifer, mithilfe gefälschter Accounts mit wertlosen Sicherheiten 2 Milliarden CASH-Token zu minten. Ursache war die fehlende Validierung des Mint-Felds im Account saber_swap.arrow. Dadurch konnte der Angreifer die Prüfungen für Saber-USDT-USDC-LP-Token umgehen und einen „Fehler zum unbegrenzten Minting“ ausnutzen.

Folgen: Assets im Wert von rund 52,8 Millionen $ (USDC, USDT, UST) wurden gestohlen. Der Preis des Stablecoins CASH brach von 1 $ auf 0,00005 $ ein. Cashios Total Value Locked (TVL) sank von 28,8 Millionen $ auf 579.000 $, woraufhin der Betrieb eingestellt wurde.

Reaktion auf den Vorfall: Cashio stoppte das Minting am 23. März 2022 um 9:00 Uhr UTC und forderte Nutzer auf, ihre Gelder aus Liquiditätspools abzuziehen. Das Team ermittelte die Ursache und arbeitete mit Saber Labs zusammen, das seine CASH-Pools pausierte. Der Angreifer gab Gelder an Accounts mit weniger als 100.000 $ zurück und versprach, größere Beträge für wohltätige Zwecke zu spenden. Bis Juni 2022 blieben jedoch 25 Millionen $ verschwunden.

Abhilfemaßnahmen: Die Community behob die Schwachstelle, Cashio nahm den Betrieb jedoch nicht wieder auf. Im Juni 2022 wurden ein geplantes Protokoll mit zwei Token und eine DAO zur Entschädigung der Opfer angekündigt. Weitere Updates folgten nicht.

Gewonnene Erkenntnisse: Programme ohne Audit sind äußerst anfällig für Exploits. Um Szenarien mit unbegrenztem Minting zu verhindern, sind strenge Audits, eine robuste Validierung der Sicherheiten und eine Vertrauensbasis für die Account-Verifizierung notwendig.

Nutzerverluste: 52,8 Millionen $, teilweise ausgeglichen. Rund 27,8 Millionen $ wurden an kleinere Accounts zurückgegeben. 25 Millionen $ blieben ohne Erstattung, und es wurden keine weiteren Rückgewinnungen gemeldet.

Referenzen und Belege

• CoinDesk: „Stablecoin Cashio erleidet Exploit durch ‚unbegrenzten Fehler‘, TVL sinkt um 28 Mio. $“, 23. März 2022
• The Block: „Stablecoin Cashio auf Solana durch ‚Fehler zum unbegrenzten Minting‘ um 52,8 Millionen $ erleichtert“, 24. März 2022
• Halborn: „Erklärt: Der Cashio-Hack (März 2022)“, 28. März 2022.
• CertiK: „Analyse des Cashio-App-Vorfalls“, 6. Dezember 2022

Crema-Finance-Exploit (Juli 2022)

Ursache: Eine Schwachstelle im Concentrated Liquidity Market Maker (CLMM) von Crema Finance ermöglichte einem Angreifer, ein gefälschtes Tick-Account zu erstellen und die Eigentümerprüfung zu umgehen. Mit Flash Loans von Solend manipulierte der Angreifer die Daten zu Transaktionsgebühren, um überhöhte Gebühren einzufordern. So räumte er mehrere Liquiditätspools leer.

Folgen: Assets im Wert von rund 8,8 Millionen $ (69.422,9 SOL und 6.497.738 USDC) wurden gestohlen. Das beeinträchtigte die Liquiditätspools von Crema. Der Angreifer übertrug die Gelder über eine Bridge zu Ethereum und tauschte sie in 6.064 ETH um.

Reaktion auf den Vorfall: Crema setzte seine Programme am 3. Juli 2022 aus und verhandelte mit dem Angreifer. Dieser gab bis zum 7. Juli 2022 7,2 Millionen $ (6.064 ETH und 23.967,9 SOL) zurück. 45.455 SOL (1,6 Millionen $) behielt er als White-Hat-Bounty. Die Schwachstelle wurde innerhalb weniger Tage gepatcht.

Abhilfemaßnahmen: Verbesserte Validierung von Tick-Accounts, Eigentümerprüfungen zum Schutz vor der Manipulation durch gefälschte Daten und strengere Schutzmaßnahmen gegen Flash Loans.

Gewonnene Erkenntnisse: Liquiditätsprotokolle müssen Preisdaten für Ticks und die Logik der Transaktionsgebühren schützen, um Flash-Loan-Exploits zu verhindern. Das unterstreicht die Bedeutung robuster Audits.

Nutzerverluste: Ein nicht erstatteter Nettoverlust von 1,6 Millionen $ (Bounty). Die Rückgabe von 7,2 Millionen $ begrenzte die Auswirkungen auf Nutzer weitgehend.

Referenzen und Belege:

• CoinDesk: „Solana-DeFi-Protokoll Crema verliert 8,8 Mio. $ durch Exploit“, 4. Juli 2022
• Halborn: „Erklärt: Der Crema-Finance-Hack (Juli 2022)“, 19. Juli 2022
• CertiK: „Crema-Finance-Exploit“, 3. Juli 2022

Audius-Governance-Exploit (Juli 2022)

Ursache: Eine Schwachstelle im Governance-Programm von Audius ermöglichte einem Angreifer, bösartige Vorschläge einzureichen und auszuführen, ohne ordnungsgemäß validiert zu werden. Der Angreifer konfigurierte die Berechtigungen der Treasury neu und übertrug 18,5 Millionen AUDIO-Token auf seine Wallet.

Folgen: AUDIO-Token im damaligen Wert von rund 6,1 Millionen $ wurden aus der Treasury gestohlen. Das verursachte einen vorübergehenden Kursrückgang und weckte Bedenken hinsichtlich der Sicherheit dezentraler Governance.

Reaktion auf den Vorfall: Audius stoppte innerhalb weniger Stunden alle Programme, behob die Schwachstelle und aktualisierte das Programm bis zum 28. Juli 2022. Vom Angreifer wurden keine Gelder zurückgewonnen.

Abhilfemaßnahmen: Audius verbesserte die Validierung von Vorschlägen, ergänzte Timelocks für Governance-Aktionen und migrierte zu einem neuen Governance-System mit strengeren Zugriffskontrollen.

Gewonnene Erkenntnisse: Governance-Programme benötigen robuste Validierung und Verzögerungen, um unbefugte Aktionen zu verhindern. Das unterstreicht die Bedeutung gründlicher Audits in DeFi.

Nutzerverluste: 6,1 Millionen $ an Treasury-Mitteln gingen ohne Erstattung verloren. Direkte Verluste aus Nutzer-Wallets gab es nicht.

Referenzen und Belege

• Lossless: „Audius-Hack: Codegestützter Governance-Angriff“, 29. Juli 2022
• CoinDesk: „Wie Angreifer Token im Wert von rund 1,1 Mio. $ vom dezentralen Musikprojekt Audius stahlen“, 25. Juli 2022
• GoPlus Security: „Kurzanalyse des Exploits der Web3-Musikplattform Audius“, 24. Juli 2022
• Audius Twitter (@AudiusProject): Ankündigung des Exploits am 24. Juli 2022

Nirvana-Finance-Exploit (Juli 2022)

Ursache: Der Angreifer Shakeeb Ahmed nutzte mit einem Flash Loan über rund 10 Millionen $ eine Schwachstelle im Preismechanismus des Programms von Nirvana Finance aus. Ahmed kaufte ANA-Token, manipulierte die Bonding Curve und mintete dadurch Token zu einem überhöhten Kurs. So entwendete er Stablecoins im Wert von 3,5 Millionen $.

Folgen: Rund 3,5 Millionen $ wurden gestohlen. Der Total Value Locked von Nirvana brach ein und der Betrieb wurde eingestellt. Der Exploit eines ausgebildeten Sicherheitsingenieurs zerstörte das Vertrauen der Nutzer und bedeutete einen schweren Rückschlag für das Protokoll.

Reaktion auf den Vorfall: Nirvana stellte nach dem Exploit am 28. Juli 2022 den Betrieb und die Kommunikation ein. Ahmed wurde 2023 verhaftet und bekannte sich schuldig. Das Gericht ordnete eine Wiedergutmachung von 12,3 Millionen $ an. Bis September 2024 startete Nirvana ein Anspruchsportal und zahlte bis Dezember 2024 60 % der Wiedergutmachungsmittel an betroffene Nutzer aus.

Abhilfemaßnahmen: Wegen der Abschaltung wurden keine unmittelbaren Programmkorrekturen umgesetzt. Das im September 2024 angekündigte, neu gestartete Nirvana V2 führte einen Preismechanismus mit „steigendem Mindestpreis“ sowie protokolleigene Liquidität ein, um die Stabilität zu verbessern.

Gewonnene Erkenntnisse: Individuelle Preismechanismen sind anfällig für Flash-Loan-Angriffe. Robuste Bonding Curves, externe Oracles und gründliche Audits sind nötig, um die Sicherheit von DeFi-Protokollen zu gewährleisten.

Nutzerverluste: 3,5 Millionen $, teilweise ausgeglichen. 60 % der Wiedergutmachungsmittel wurden verteilt. Die Bemühungen zur Entschädigung der betroffenen Nutzer laufen weiter.

Referenzen und Belege:

• CoinDesk: „Solana-DeFi-Protokoll Nirvana bei Flash-Loan-Angriff um 3,5 Mio. $ erleichtert“, 28. Juli 2022.
• Cointelegraph: „Mitgründer von Nirvana Finance berichtet vom ‚schlimmsten Tag‘ seines Lebens“, 3. Juni 2024.
• Nirvana Finance Medium: „Nirvana Finance: Wie Phönix aus der Asche“, 19. September 2024.

Slope-Mobile-Wallet-Exploit (Aug. 2022)

Ursache: Der unsichere Umgang mit privaten Schlüsseln in der mobilen Wallet-Anwendung von Slope führte dazu, dass Seed-Phrasen von Nutzern offengelegt wurden. Die App übertrug versehentlich verschlüsselte Seed-Phrasen an den zentralen Logging-Server von Slope. Dort wurden sie möglicherweise abgefangen oder unsachgemäß verarbeitet. So konnte ein Angreifer auf betroffene Wallets zugreifen und sie leeren.

Folgen: Assets im Wert von rund 8 Millionen $ wurden aus mehr als 9.000 Solana-Wallets gestohlen. Auch einige Ethereum-Wallets waren betroffen, wenn Nutzer von Slope erzeugte Seed-Phrasen wiederverwendet hatten. Der Exploit löste im Solana-Ökosystem breite Besorgnis über die Sicherheit von Wallets aus.

Reaktion auf den Vorfall: Slope bestätigte das Problem am 3. August 2022 und forderte Nutzer auf, ihre Gelder auf Hardware-Wallets oder zentralisierte Börsen zu übertragen. Die Schwachstelle wurde innerhalb weniger Tage entschärft. Vom Angreifer wurden jedoch keine Gelder zurückgewonnen.

Abhilfemaßnahmen: Slope führte strengere Richtlinien für den Umgang mit Daten ein, entfernte das Logging von Seed-Phrasen und verbesserte die Verschlüsselungsverfahren, um künftige Lecks zu verhindern.

Gewonnene Erkenntnisse: Wallet-Anwendungen müssen die sichere Schlüsselverwaltung priorisieren und dürfen keine sensiblen Daten an zentrale Server übertragen. Der Vorfall verdeutlicht die Risiken verwahrungsähnlicher Praktiken in Non-Custodial Wallets.

Nutzerverluste: 8 Millionen $, nicht erstattet. Eine Rückgewinnung der gestohlenen Gelder wurde nicht gemeldet.

Referenzen und Belege:

• Certik Medium: „Solana- und Slope-Wallet-Exploit“, 25. Juli 2023
• Offizielle Website von Solana: „Update zum Slope-Wallet-Vorfall vom 02.08.2022“, 23. Juni 2023
• Ackee Blockchain Medium: „Solana-Hacks von 2022 erklärt: Slope Wallet“, 23. März 2023

OptiFi-Lockup-Bug (Aug. 2022)

Ursache: Ein Programmierfehler während eines Programmupdates führte dazu, dass versehentlich der Befehl „solana program close“ verwendet wurde. Dadurch wurde das Mainnet von OptiFi dauerhaft abgeschaltet und 661.000 USDC in program-derived accounts (PDAs) gesperrt.

Folgen: 661.000 USDC wurden durch die irreversible Schließung der Solana-basierten DEX dauerhaft unzugänglich. Es wurden keine Gelder gestohlen, sie waren jedoch faktisch verloren.

Reaktion auf den Vorfall: Das OptiFi-Team räumte den Fehler am 30. August 2022 ein und bestätigte, dass sich die Gelder nicht wiederherstellen ließen. Es sagte zu, alle betroffenen Nutzer bis zum 2. September 2022 manuell zu entschädigen. Der Vorgang sollte zwei Wochen dauern.

Abhilfemaßnahmen: OptiFi führte ein Peer-Surveillance-System ein, bei dem mindestens drei Teammitglieder Deployments prüfen müssen. So sollen künftige Programmierfehler vermieden werden.

Gewonnene Erkenntnisse: Wegen der Unveränderlichkeit einer Blockchain können auch nicht böswillige Bugs Gelder in DeFi dauerhaft sperren. Das unterstreicht die Notwendigkeit strenger Prüfungen und Tests vor der Bereitstellung von Updates.

Nutzerverluste: 661.000 $ wurden on-chain gesperrt und nicht erstattet. OptiFi entschädigte die Nutzer. Da 95 % der Gelder einem Teammitglied gehörten, waren die externen Nutzerverluste auf rund 33.000 $ begrenzt.

Referenzen und Belege:

• CoinDesk: „Solana-basiertes DeFi-Protokoll OptiFi verliert durch Programmierfehler 661.000 $“, 30. August 2022
• Optimisus: „Solana-basiertes DeFi-Protokoll OptiFi schließt seine Mainnet-Plattform und sperrt 661.000 USDC“, 31. August 2022
• OptiFi Medium: „Bericht zum OptiFi-Programmvorfall“, 30. August 2022

Mango-Markets-Exploit (Okt. 2022)

Ursache: Der Angreifer Avraham Eisenberg manipulierte das Preis-Oracle von Mango Markets, indem er den Kurs des MNGO-Tokens durch gehebelte Perpetual-Futures-Geschäfte in die Höhe trieb. Mit zwei Accounts und 10 Millionen USDC pumpte er den MNGO-Kurs börsenübergreifend von 0,038 $ auf 0,91 $. Gegen die überbewerteten Sicherheiten lieh er sich 116 Millionen $.

Folgen: Rund 116 Millionen $ wurden aus den Liquiditätspools von Mango abgezogen. Der MNGO-Kurs brach um 50 % ein und der TVL des Protokolls sank fast auf null. Nach Verhandlungen gab Eisenberg 67 Millionen $ zurück und behielt 47 Millionen $ als „Bug-Bounty“.

Reaktion auf den Vorfall: Mango fror Einzahlungen am 11. Oktober 2022 ein und verhandelte mit Eisenberg. Dieser gab bis zum 15. Oktober 67 Millionen $ zurück. Das Oracle wurde innerhalb weniger Tage gepatcht, um weitere Manipulationen zu verhindern.

Abhilfemaßnahmen: Mango verbesserte die Oracle-Sicherheit mit externen Preis-Feeds (z. B. Pyth, Chainlink) und führte Hebelbegrenzungen ein, um Manipulationsrisiken zu reduzieren.

Gewonnene Erkenntnisse: Token mit geringer Liquidität und Oracle-abhängige Systeme sind anfällig für wirtschaftliche Manipulation. Sie benötigen robuste Preis-Feeds und Risikokontrollen.

Nutzerverluste: Der nicht erstattete Nettoverlust betrug 47 Millionen $. Die zurückgegebenen 67 Millionen $ begrenzten die Auswirkungen teilweise, weitere Entschädigungen gab es jedoch nicht.

Referenzen und Belege:

• CoinDesk: „Wie Marktmanipulation zu einem 100-Mio.-$-Exploit bei der Solana-DeFi-Börse Mango führte“, 12. Oktober 2022
• The Block: „Angreifer bei Mango Markets gibt gestohlene Gelder in Höhe von 67 Mio. $ zurück“, 15. Oktober 2022
• CertiK Medium: „Kryptobetrug verstehen | Mango-Markets-Exploit“, 25. Juli 2023

UXD-Protocol-Exploit (Okt. 2022)

Ursache: UXD Protocol war indirekt vom Oracle-Manipulations-Exploit bei Mango Markets betroffen. Dabei hatte der Angreifer Avraham Eisenberg die MNGO-Preise aufgebläht, um 116 Millionen $ abzuziehen. UXD hatte 19,9 Millionen USDC in den Lending-Pools von Mango hinterlegt, die während des Angriffs eingefroren wurden.

Folgen: UXD verlor den Zugriff auf Assets im Wert von 19,9 Millionen $. Dadurch kam das Minting seines Stablecoins zum Stillstand. Der Stablecoin $UXD des Protokolls blieb dank eines Versicherungsfonds über 53,5 Millionen $ zu 100 % gedeckt. Der Betrieb wurde jedoch pausiert, bis die Gelder zurückgewonnen waren.

Reaktion auf den Vorfall: UXD pausierte das Minting von $UXD am 12. Oktober 2022, um das Risiko zu minimieren. Nachdem durch Mangos Verhandlungen 67 Millionen $ zurückgegeben worden waren, erhielt UXD am 20. Oktober 19,9 Millionen $ zurück und nahm den vollständigen Betrieb bis zum 27. Oktober wieder auf.

Abhilfemaßnahmen: UXD setzte sein Asset Liability Management Module zurück, um die Funktionalität wiederherzustellen. Zudem plante das Protokoll eine Diversifizierung weg von Mango Markets, um die Abhängigkeit von einem einzelnen Anbieter zu reduzieren.

Gewonnene Erkenntnisse: Die Abhängigkeit von externen DeFi-Protokollen setzt Stablecoins Risiken durch Dritte aus. Deshalb sind diversifizierte Strategien und robuste Versicherungsfonds notwendig.

Nutzerverluste: Keine. Der Versicherungsfonds von UXD und die teilweise Rückgewinnung bei Mango verhinderten direkte Nutzerverluste. $UXD konnte über Jupiter Exchange zum Nennwert eingelöst werden.

Referenzen und Belege:

• TokenInsight: „UXD Protocol durch Mango-Angriff mit fast 20 Millionen $ betroffen“, 12. Oktober 2022
• Crypto News: „Solana-Projekte starten neu, nachdem im Mango-Markets-Debakel verlorene Gelder zurückgewonnen wurden“, 27. Oktober 2022

Tulip-Protocol-Exploit (Okt. 2022)

Ursache: Tulip Protocol war indirekt vom Oracle-Manipulations-Exploit bei Mango Markets betroffen. Dabei hatte der Angreifer Avraham Eisenberg die MNGO-Preise aufgebläht, um 116 Millionen $ abzuziehen. Tulip hatte 2,5 Millionen $ in USDC- und RAY-Strategie-Vaults in den Lending-Pools von Mango hinterlegt, die während des Angriffs eingefroren wurden.

Folgen: Tulip verlor den Zugriff auf Assets im Wert von 2,5 Millionen $. Dadurch wurde der Betrieb der Vaults vorübergehend eingestellt. Die Guthaben der Vaults waren betroffen. Tulips Integration mit Chainlink-Oracles verhinderte jedoch einen direkten Exploit der eigenen Programme.

Reaktion auf den Vorfall: Tulip pausierte am 12. Oktober 2022 die Interaktionen mit den Vaults. Nachdem durch Mangos Verhandlungen 67 Millionen $ zurückgegeben worden waren, erhielt Tulip am 20. Oktober 2,5 Millionen $ zurück. Nach dem Zurücksetzen seines Asset Liability Management Module stellte Tulip die Vault-Guthaben wieder her und nahm den Betrieb bis zum 26. Oktober wieder auf.

Abhilfemaßnahmen: Tulip beschränkte Vault-Einzahlungen auf die eigenen Lending-Pools und bewertete die Risiken externer Protokolle neu, um die Abhängigkeit von Plattformen wie Mango zu verringern.

Gewonnene Erkenntnisse: Yield-Aggregatoren, die auf Protokolle von Drittanbietern angewiesen sind, tragen erhebliche Risiken durch externe Exploits. Sie benötigen diversifizierte Strategien und ein robustes Risikomanagement.

Nutzerverluste: Keine. Durch die Rückgewinnung von 2,5 Millionen $ entstanden keine direkten Nutzerverluste und die Guthaben der Vaults wurden vollständig wiederhergestellt.

Referenzen und Belege:

• TokenInsight: „Solana-Ökosystemprojekte Tulip Protocol und UXD Protocol nehmen Dienste wieder auf“, 27. Oktober 2022
• CoinCu News: „UXD Protocol erhält seine Token aus dem Mango-Markets-Exploit zurück“, 27. Oktober 2022

Save-Exploit (ehemals Solend) (Nov. 2022)

Ursache: Die Manipulation von Oracle-Preisen in drei isolierten Pools (USDH, Stable und Turbo SOL) erlaubte Angreifern, gegen überhöhte Sicherheitenwerte zu viele Kredite aufzunehmen. Dabei nutzten sie veraltete Preis-Feeds aus.

Folgen: In den betroffenen Pools entstanden uneinbringliche Forderungen in Höhe von 1,26 Millionen $. Das beeinträchtigte den Total Value Locked von Solend und das Vertrauen der Nutzer.

Reaktion auf den Vorfall: Solend fror die betroffenen Pools innerhalb weniger Stunden ein, korrigierte die Oracle-Feeds bis zum 3. November 2022 und übernahm die uneinbringlichen Forderungen in seine Treasury, um Nutzer zu schützen. Vom Angreifer wurden keine Gelder zurückgewonnen.

Abhilfemaßnahmen: Solend verbesserte die Oracle-Validierung durch schnellere Aktualisierungen der Preis-Feeds und strengere Prüfungen der Sicherheiten, um Manipulationen zu verhindern.

Gewonnene Erkenntnisse: Genaue und zeitnahe Oracle-Daten sind für Lending-Protokolle entscheidend, um Exploits durch übermäßige Kreditaufnahme zu verhindern. Das unterstreicht die Bedeutung einer robusten Integration von Preis-Feeds.

Nutzerverluste: Keine. Die Treasury von Solend deckte die uneinbringlichen Forderungen von 1,26 Millionen $ und verhinderte direkte Nutzerverluste.

Referenzen und Belege:

• CoinDesk: „DeFi-Protokoll Solend von Oracle-Exploit über 1,26 Mio. $ getroffen“, 2. November 2022
• Crypto Briefing: „Warum werden Solana-DeFi-Protokolle immer wieder ausgenutzt?“, 2. November 2022

Raydium-Exploit (Dez. 2022)

Ursache: Ein Trojaner-Angriff kompromittierte den privaten Schlüssel des Pool-Owner-Accounts von Raydium und verschaffte dem Angreifer Zugriff auf die Admin-Funktionen des V4-Liquiditätspools. Der Angreifer nutzte die Funktion `withdrawPNL`, um Gebühren künstlich zu erhöhen und abzuheben. So entzog er acht Liquiditätspools mit konstantem Produkt Gelder.

Folgen: Assets im Wert von rund 4,4 Millionen $ (darunter USDC, wSOL und RAY) wurden gestohlen. Davon wurden später 2,7 Millionen $ zu Tornado Cash übertragen. Der Exploit ließ den RAY-Kurs um 10 % fallen und verringerte Raydiums TVL um 4,4 Millionen $.

Reaktion auf den Vorfall: Raydium entzog dem kompromittierten Account die Berechtigung und patchte das V4-AMM-Programm am 16. Dezember 2022 bis 14:16 Uhr UTC. Damit wurden weitere Exploits gestoppt. Das Team bot eine Bounty von 10 % an, konnte jedoch keine Gelder zurückgewinnen.

Abhilfemaßnahmen: Admin-Parameter wurden durch ein Squads-Multisig-Upgrade entfernt und die Eigentümerschaft auf eine Hardware-Wallet übertragen. Später wurde ein Entschädigungsplan mit Mitteln aus RAY-Rückkäufen und Team-Token umgesetzt.

Gewonnene Erkenntnisse: Die Sicherheit privilegierter Accounts ist in DeFi entscheidend. Kompromittierte private Schlüssel können den Schutz eines Programms umgehen und erfordern eine robuste Infrastruktursicherheit.

Nutzerverluste: 4,4 Millionen $, teilweise ausgeglichen. Liquiditätsanbieter in RAY-Pools wurden zu 100 % entschädigt. Anbieter in Nicht-RAY-Pools erhielten 90 % sowie einen Bonus von 20 % in RAY. Finanziert wurde dies aus der Treasury und mit Team-Token von Raydium.

Referenzen und Belege:

• CoinDesk: „Solana-basierte Börse Raydium wird Opfer eines siebenstelligen Exploits“, 16. Dezember 2022
• The Block: „Solana-basierte Börse Raydium erleidet Exploit über 4,4 Millionen $“, 16. Dezember 2022
• Certik: „Analyse des Raydium-Protocol-Exploits“, 18. Januar 2023
• Halborn: „Erklärt: Der Raydium-Hack (November 2022)“, 22. Dezember 2022

Cypher-Protocol-Exploit (Aug. 2023)

Ursache: Eine Schwachstelle im Programm von Cypher, vermutlich in der Logik für Margin- oder Futures-Handel, ermöglichte einem Angreifer durch unbefugten Zugriff auf Gelder den Diebstahl von 38.530 SOL und 123.184 USDC. Der genaue technische Fehler wurde nicht offengelegt.

Folgen: Rund 1,04 Millionen $ wurden abgezogen. Das beeinträchtigte während des mtnDAO-Hacker-House-Events die Liquidität von Cypher und das Vertrauen der Nutzer. Später wurde ein Rücknahmeprogramm eingerichtet, um Nutzer zu entschädigen. 2024 stahl der zentrale Mitwirkende Hoak jedoch 317.000 $ aus diesem Fonds und begründete dies mit einer Spielsucht.

Reaktion auf den Vorfall: Cypher fror seine Programme am 7. August 2023 innerhalb weniger Stunden nach dem Exploit ein. Das Team versuchte, mit dem Angreifer zu verhandeln. Dieser übertrug 30.000 USDC an finance, gab aber keine Gelder zurück. Das Team untersuchte den Vorfall und schlug einen Rücknahmeplan vor.

Abhilfemaßnahmen: Nach dem Exploit plante Cypher ein Sicherheitsaudit, erlitt durch Hoaks Diebstahl jedoch weitere Rückschläge. Konkrete Programmkorrekturen wurden nicht beschrieben. Es folgten allgemeine Forderungen nach robusten Audits.

Gewonnene Erkenntnisse: DeFi-Protokolle benötigen strenge Programm-Audits und eine sichere Schlüsselverwaltung, um sowohl externe Exploits als auch Insider-Bedrohungen zu verhindern. Der Vorfall verdeutlicht die Schwachstellen schnell wachsender Plattformen.

Nutzerverluste: 1,04 Millionen $ durch den ursprünglichen Exploit, nicht erstattet. Hoak stahl 2024 weitere 317.000 $. Versuche einer teilweisen Erstattung laufen, sind aber noch nicht abgeschlossen.

Referenzen und Belege:

• CoinDesk: „Solana-basiertes Cypher Protocol erleidet Exploit und friert Smart Contract ein“, 8. August 2023.
• Cointelegraph: „Cypher Protocol friert Smart Contract nach mutmaßlichem Exploit über 1 Mio. $ ein“, 8. August 2023.
• Decrypt: „Solana-Entwickler gesteht, Gelder von Cypher-Nutzern gestohlen und verspielt zu haben“, 15. Mai 2024.

Exploit des SVT-Tokens von Solvent Protocol (Aug. 2023)

Ursache: Ein Flash-Loan-Angriff nutzte Schlupflöcher im Wirtschaftsmodell der SVT-Transaktionsprogramme aus. Der Angreifer konnte Token-Preise durch wiederholte Käufe und Verkäufe manipulieren und seine Gewinne mit Flash Loans vervielfachen.

Folgen: Der Angreifer erzielte einen Gewinn von rund 400.000 $, indem er die Wallet eines ahnungslosen Nutzers leerte. Der Vorfall zeigte Schwachstellen im Programmdesign von SVT auf.

Reaktion auf den Vorfall: Eine konkrete Reaktion des SVT-Teams ist nicht dokumentiert. CertiK warnte die Community am 26. August 2023. MistTrack verfolgte die Gelder des Angreifers und stellte fest, dass das Anfangskapital von SwftSwap stammte und 1.070 BNB zu Tornado Cash übertragen wurden.

Abhilfemaßnahmen: Es sind keine Abhilfemaßnahmen dokumentiert, vermutlich weil SVT kaum bekannt war oder aufgelöst wurde. Der Vorfall verdeutlichte, wie wichtig robuste Wirtschaftsmodelle in DeFi-Programmen sind.

Gewonnene Erkenntnisse: Flash-Loan-Angriffe nutzen schlecht konzipierte Wirtschaftsmodelle aus. Sichere Programmlogik, Oracle-Integration und Liquiditätsschutz sind notwendig, um Preismanipulationen zu verhindern.

Nutzerverluste: 400.000 $, nicht erstattet. Eine Rückgewinnung wurde nicht gemeldet.

Referenzen und Belege:

• SlowMist Hacked: „SVT-Token-Flash-Loan-Angriff“,
• Coin Edition: „Angreifer erbeutet bei SVT-Flash-Loan-Exploit 400.000 $: Bericht“, 26. Aug. 2023

Synthetify-DAO-Exploit (Okt. 2023)

Ursache: Ein Angreifer nutzte die inaktive DAO von Synthetify aus, indem er bösartige Governance-Vorschläge erstellte und darüber abstimmte. Er reichte zehn Vorschläge ein: neun harmlose und einen mit Code zur Übertragung von 230.000 $ in USDC, mSOL und stSOL an seine Adresse. Mit eigenen Token erreichte er unbemerkt das Abstimmungsquorum.

Folgen: Rund 230.000 $ wurden gestohlen und an Tornado Cash gesendet. Der Vorfall zeigte die Governance-Schwachstellen inaktiver DAOs. Synthetify war nach dem Zusammenbruch von FTX bereits verschuldet und erlitt trotz der im April 2023 angekündigten Restrukturierungspläne weitere Rückschläge.

Reaktion auf den Vorfall: Der Exploit blieb unbemerkt, bis die Gelder übertragen worden waren. Synthetify fror seine Programme und die Plattform am 19. Oktober 2023 ein. Wegen der Nutzung von Tornado Cash konnten jedoch keine Gelder zurückgewonnen werden.

Abhilfemaßnahmen: Es wurden keine konkreten Abhilfemaßnahmen umgesetzt, da das Protokoll bereits mit Problemen kämpfte. Nach dem Vorfall wurde DAOs empfohlen, Vetoräte und bessere Benachrichtigungssysteme einzuführen.

Gewonnene Erkenntnisse: Inaktive DAOs mit rein tokenbasierten Abstimmungen sind anfällig für Governance-Angriffe. Sie benötigen aktive Überwachung, Anreize zur Beteiligung und eine gründliche Prüfung von Vorschlägen.

Nutzerverluste: 230.000 $, nicht erstattet. Eine Rückgewinnung wurde nicht gemeldet.

Referenzen und Belege:

• Blockworks: „DAO auf Solana verliert 230.000 $, nachdem ‚Angriffsvorschlag‘ unbemerkt bleibt“, 25. Oktober 2023
• SlowMist Hacked: „Sicherheitsvorfall bei Synthetify Protocol“, abgerufen 2025
• Neodyme: „So hackst du eine DAO“, 24. Januar 2024

Thunder-Terminal-Exploit (Dez. 2023)

Ursache: Eine kompromittierte MongoDB-Verbindungs-URL – eine Schwachstelle in einem Drittanbieterdienst – erlaubte einem Angreifer den Zugriff auf das System von Thunder Terminal. Über bösartige Genehmigungen zog er 86,5 ETH und 439 SOL aus Nutzer-Wallets ab.

Folgen: Assets im Wert von rund 240.000 $ wurden gestohlen. Davon wurden 192.500 $ an Railgun übertragen. Der Vorfall betraf 14 % der Nutzer von Hot Wallets, während Cold Wallets sicher blieben.

Reaktion auf den Vorfall: Thunder Terminal stoppte den Angriff am 27. Dezember 2023 innerhalb von neun Minuten, widerrief die bösartigen Genehmigungen und stellte den Plattformbetrieb innerhalb weniger Stunden wieder her. Das Team bot eine Bounty an und verhandelte mit dem Angreifer. Dieser behauptete ohne Nachweis, weitere Schwachstellen gefunden zu haben. Gelder wurden jedoch nicht zurückgewonnen.

Abhilfemaßnahmen: Um ähnliche Kompromittierungen zu verhindern, wurde die Sicherheit von Drittanbieterintegrationen verbessert. Dazu gehörten strengere Zugriffskontrollen und die Überwachung von MongoDB-Verbindungen.

Gewonnene Erkenntnisse: Abhängigkeiten von Drittanbieterdiensten stellen ein erhebliches Risiko für DeFi-Plattformen dar. Robuste Sicherheitsaudits und schnelle Reaktionsmechanismen sind nötig, um Nutzergelder zu schützen.

Nutzerverluste: 240.000 $, nicht erstattet. Eine Rückgewinnung der gestohlenen Gelder wurde nicht gemeldet.

Referenzen und Belege:

• Cointelegraph: „Thunder Terminal erklärt Gelder nach Angriff über 240.000 $ für sicher, Hacker widerspricht“, 27. Dezember 2023
• The Block: „On-Chain-Handelsplattform Thunder Terminal um 86,5 ETH gehackt: ZachXBT“, 27. Dezember 2023

Aurory-SyncSpace-Exploit (Dez. 2023)

Ursache: Am 17. Dezember 2023 nutzte ein böswilliger Akteur eine Race-Condition-Schwachstelle im Kauf-Endpunkt des Off-Chain-Marktplatzes von Aurory aus. Durch mehrere gleichzeitige Kaufanfragen erhöhte der Angreifer sein AURY-Guthaben in SyncSpace, einem hybriden On-Chain-/Off-Chain-Inventarsystem. Dadurch konnte er rund 600.000 AURY-Token im Wert von ~830.000 $ in das Arbitrum-Netzwerk abziehen und anschließend auf dem freien Markt verkaufen.

Folgen: Der Exploit führte zu einem Liquiditätsrückgang von 80 % im AURY-USDC-Pool auf Camelot DEX. Die Liquidität sank von 1,5 Millionen $ auf 312.000 $. Der AURY-Kurs fiel um 17 % auf 1,17 $, über 24 Stunden um 23,5 % und über sieben Tage um 36,5 %. Später erholte er sich leicht. Nutzergelder oder NFTs gingen nicht verloren, da die gestohlenen Token aus einer Team-Wallet stammten.

Reaktion auf den Vorfall: Das Aurory-Team erkannte die verdächtigen Aktivitäten innerhalb weniger Stunden und deaktivierte die SyncSpace-Bridge für Wartungsarbeiten. Dadurch wurden Ein- und Auszahlungen gestoppt. Das Team fing den Verkaufsdruck durch Token-Rückkäufe ab und bestätigte, dass der Angreifer seinen AURY-Bestand aufgebraucht hatte. Ein globaler Backend-Patch war in Entwicklung und ein ausführliches Post-Mortem war geplant.

Abhilfemaßnahmen: Aurory arbeitet an einem Patch für die Race-Condition-Schwachstelle und will die Sicherheit des Marktplatzes verbessern. Trotz eines vorherigen Audits durch OtterSec blieb die Schwachstelle unentdeckt. Daher werden Umfang und Prozesse der Audits überprüft. SyncSpace soll den Betrieb nach der Implementierung der Korrekturen wieder aufnehmen.

Gewonnene Erkenntnisse: Race-Condition-Schwachstellen in Off-Chain-Systemen können selbst auf geprüften Plattformen zu erheblichen Exploits führen. Um solche Angriffe zu verhindern, sind umfassende Audit-Umfänge, Echtzeitüberwachung und eine robuste Marktplatzlogik entscheidend – besonders bei hybriden On-Chain-/Off-Chain-Systemen.

Nutzerverluste: Es wurden keine Nutzergelder oder NFTs kompromittiert. Den Verlust von 830.000 $ – nach Kursverlusten später mit ~690.000 $ bewertet – trug die Team-Wallet. Sie wurde für Auszahlungen von Accounts genutzt, die zuvor kein AURY eingezahlt hatten.

Referenzen und Belege:

• Offizielle Stellungnahme von Aurory: Ankündigung des Exploits am 17. Dezember 2023
• Decrypt: „Solana-Spiel ‚Aurory‘ erleidet Exploit über 830.000 $ und deaktiviert Arbitrum-Bridge“, 19. Dezember 2023
• Coinlive: „Aurory entdeckt Hackeraktivitäten und schaltet SyncSpace vorübergehend ab“, Dezember 2023

Saga-DAO-Vorfall (Jan. 2024)

Ursache: Saga DAO, ein Fanclub für das Solana-Saga-Smartphone, erlitt eine Sicherheitsverletzung in seiner Multisig-Wallet. Berichten zufolge war nur 1 von 12 Wallet-Bestätigungen erforderlich. Dadurch konnte ein Angreifer rund 60.000 $ in SOL aus der Treasury abziehen. Der Vorfall wurde mit dem kompromittierten Account eines Gründers in Verbindung gebracht. Wegen des niedrigen Bestätigungsschwellenwerts vermuteten einige Community-Mitglieder jedoch die Beteiligung eines Insiders.

Folgen: Der Verlust von 60.000 $ störte den Betrieb von Saga DAO, der sich auf die Verwaltung von Airdrops für Inhaber von Saga Genesis NFTs konzentriert. Der Vorfall führte zu Vorwürfen des Missmanagements. Das Vertrauen der Community litt, da die Treasury vor dem Vorfall schnell auf mehr als 1.000 SOL angewachsen war.

Reaktion auf den Vorfall: Saga DAO bestätigte den Vorfall am 24. Januar 2024 und entfernte die beteiligten Personen aus Führungspositionen. Das Team sagte eine Untersuchung und die Einführung von Schutzmaßnahmen zu. Es wurden jedoch keine Gelder zurückgewonnen und die Details des Hacks blieben unklar.

Abhilfemaßnahmen: Das Team kündigte an, die Sicherheit der Multisig-Wallet durch höhere Bestätigungsschwellen und verbesserte Zugriffskontrollen zu stärken. Bis Anfang 2025 wurden jedoch keine konkreten Updates gemeldet.

Gewonnene Erkenntnisse: Niedrige Bestätigungsschwellen bei Multisig-Wallets setzen DAOs erheblichen Risiken aus. Robuste Governance- und Sicherheitsprotokolle sind nötig, um Community-Gelder zu schützen – besonders bei schnell wachsenden Treasurys.

Nutzerverluste: 60.000 $, nicht erstattet. Eine Rückgewinnung wurde nicht gemeldet. Der Verlust beeinträchtigte die Fähigkeit der DAO, Airdrop-Belohnungen zu verteilen.

Referenzen und Belege:

• Medium (Coinmonks): „Wurde Saga DAO von einem der eigenen Mitglieder geruggt?“, 26. Januar 2024
• Reddit (r/solana): „Gründer von Solana Saga DAO nach mutmaßlichem Insider-Hack über 60.000 $ beschuldigt“, 26. Januar 2024

Solareum-Exploit (März 2024)

Ursache: Eine Sicherheitsverletzung, an der angeblich ein von Solareum eingestellter nordkoreanischer Entwickler beteiligt war, kompromittierte Nutzer-Wallets. Dabei wurden private Schlüssel ausgenutzt, die in den Telegram-Bot importiert worden waren. Der Angreifer griff vermutlich über eine Schwachstelle in einem Drittanbieterdienst auf die Schlüssel zu, möglicherweise über eine MongoDB-Verbindungs-URL. So leerte er 302–309 Nutzer-Wallets.

Folgen: Rund 520.000–1,4 Millionen $ in SOL (2.808–6.045 SOL) wurden gestohlen. Mehr als 300 Nutzer waren betroffen. Wegen des Exploits, unzureichender Mittel und schwieriger Marktbedingungen stellte Solareum den Betrieb dauerhaft ein. Nutzer forderten eine Entschädigung.

Reaktion auf den Vorfall: Solareum bestätigte den Exploit am 29. März 2024 und stellte den Betrieb bis zum 2. April ein. Das Team forderte Nutzer auf, ihre Assets abzuziehen, und kontaktierte Behörden, um Gelder auf zentralisierten Börsen einzufrieren. Tether fror 975.000 $ ein. Rückerstattungen an Nutzer wurden nicht zugesagt.

Abhilfemaßnahmen: Keine, da Solareum den Betrieb einstellte. Der Vorfall zeigte, wie wichtig sichere Drittanbieterintegrationen und die Überprüfung von Entwicklern in DeFi-Anwendungen sind.

Gewonnene Erkenntnisse: Telegram-basierte Trading-Bots sind anfällig für Lecks privater Schlüssel und Insider-Bedrohungen. Sie benötigen robuste Sicherheitsaudits, eine sichere Schlüsselverwaltung und einen vorsichtigen Umgang mit Drittanbieterdiensten.

Nutzerverluste: 520.000–1,4 Millionen $, nicht erstattet. Trotz des teilweisen Einfrierens der Gelder wurde keine Rückgewinnung gemeldet.

Referenzen und Belege:

• Decrypt: „Solana-Telegram-Trading-Bot wird abgeschaltet, nachdem Nutzer um 523.000 $ erleichtert wurden“, 2. April 2024
• Cointelegraph: „Telegram-Trading-Bot Solareum schließt wenige Tage nach Exploit über 520.000 $“, 2. April 2024
• DL News: „Wie ein nordkoreanischer Entwickler ein Team für einen Solana-Trading-Bot täuschte und 1,4 Mio. $ stahl“, 30. Januar 2025

Angriff auf GPU-Metadaten bei io.net (Apr. 2024)

Ursache: Böswillige Akteure fälschten rund 400.000 virtuelle GPUs im dezentralen GPU-Netzwerk von io.net, indem sie den Registrierungsprozess für Worker der Plattform missbrauchten. Die Angreifer manipulierten Metadaten, um die Zahl aktiver Worker künstlich zu erhöhen. Dadurch konnten Ressourcenzuweisung und Netzwerkintegrität beeinträchtigt werden.

Folgen: Der Angriff führte zu keinen direkten finanziellen Verlusten, da keine Nutzergelder gestohlen wurden. Die gefälschten Worker belasteten jedoch das Netzwerk von io.net. Das gefährdete die betriebliche Effizienz und untergrub während der Betaphase das Vertrauen in die GPU-Zuweisung der Plattform.

Reaktion auf den Vorfall: Das Sicherheitsteam von io.net erkannte das Spoofing am 18. April 2024 und begann, bösartige Accounts automatisch zur Entfernung zu markieren. Das Team behielt einige gefälschte Worker bei, um den Angriff zu untersuchen. So konnte es die Überwachung und Eindämmung fortsetzen, ohne die Dienste zu beeinträchtigen.

Abhilfemaßnahmen: io.net führte verbesserte Verfahren zur Worker-Verifizierung ein, um das Spoofing von Metadaten zu verhindern.

Gewonnene Erkenntnisse: Dezentrale Rechennetzwerke sind anfällig für die Manipulation von Metadaten. Robuste Validierungsmechanismen sind nötig, um die Integrität bereitgestellter Ressourcen zu gewährleisten und Missbrauch zu verhindern.

Nutzerverluste: Keine. Der Angriff verursachte keine direkten finanziellen Verluste, sondern zielte auf die Störung des Netzwerks statt auf den Diebstahl von Assets.

Referenzen und Belege

• Cointelegraph: „io.net reagiert auf Angriff auf GPU-Metadaten“, 18. April, 2024
• io.net Medium: „Vorfallsbericht vom 25. April: Überblick über das Problem“, 27. April 2024
• The Block: „CEO des Solana-basierten DePIN io.net erklärt in ausführlichem Post-Mortem, das Netzwerk sei angegriffen worden“, 28. April 2024

Pump.fun-Exploit (Mai 2024)

Ursache: Ein ehemaliger Mitarbeiter von Pump.fun nutzte seinen privilegierten Zugriff auf die Auszahlungsberechtigung aus, um mithilfe eines Solana-Kreditprotokolls einen Flash-Loan-Angriff auszuführen. Der Angreifer nutzte die geliehenen SOL, um Token-Werte künstlich aufzublähen. Indem er die Token-Werte auf der Bonding Curve auf 100 % trieb, erhielt er Zugriff auf Bonding-Curve-Liquidität in Höhe von 1,9 Millionen US-Dollar. Damit zahlte er den Kredit zurück und behielt den Gewinn.

Folgen: Ungefähr 1,9 Millionen US-Dollar in SOL (12.300 SOL) wurden gestohlen. Betroffen waren 1.882 Wallet-Adressen. Erste Berichte aus der Community bezifferten die Verluste übertrieben auf 80 Millionen US-Dollar. Tatsächlich waren jedoch nur 1,9 Millionen US-Dollar der Plattformliquidität von 45 Millionen US-Dollar betroffen.

Reaktion auf den Vorfall: Pump.fun setzte den Handel am 16. Mai 2024 um 17:00 UTC aus und stellte die Bonding-Curve-Programme innerhalb weniger Stunden neu bereit. Das Team stattete die betroffenen Liquiditätspools innerhalb von 24 Stunden mit einer gleichen oder größeren Menge SOL aus und setzte die Handelsgebühren sieben Tage lang aus, um das Vertrauen der Nutzer wiederherzustellen.

Abhilfemaßnahmen: Die Programmsicherheit wurde verbessert, um unbefugten Zugriff zu entziehen. Außerdem wurden strengere interne Zugriffskontrollen eingeführt, um künftige Angriffe durch Insider zu verhindern.

Erkenntnisse: Bedrohungen durch Insider und Schwachstellen bei privilegierten Zugriffen können DeFi-Schutzmaßnahmen umgehen. Daher sind eine konsequente Kontrolle von Mitarbeitern und ein sicheres Programmdesign notwendig.

Nutzerverluste: 1,9 Millionen US-Dollar, vollständig ausgeglichen. Der Entschädigungsplan von Pump.fun stellte die betroffene Liquidität wieder her, sodass Nutzer netto keine Verluste erlitten.

Referenzen und Quellen:

• NewsBTC: „Crypto Post-Mortem: So wurde Pump.Fun um 2 Millionen US-Dollar erleichtert“, 18. Mai 2024
• Coinpedia: „Kryptoplattform pump.fun nimmt Betrieb nach Veruntreuung durch Mitarbeiter wieder auf“, 17. Mai 2024

Banana-Gun-Exploit (Sep. 2024)

Ursache: Eine Schwachstelle im Telegram-Nachrichten-Oracle von Banana Gun ermöglichte es einem Angreifer, Nachrichten abzufangen und während laufender Handelssitzungen manuell 563 ETH (1,4 Millionen US-Dollar) aus 11 Nutzer-Wallets zu übertragen. Der Fehler betraf sowohl Ethereum- als auch Solana-Bots und zielte auf erfahrene Trader mit einer auffälligen Präsenz in sozialen Netzwerken oder im Handel.

Folgen: Ungefähr 1,4 Millionen US-Dollar wurden gestohlen. Zunächst wurden 3 Millionen US-Dollar und 36 betroffene Nutzer gemeldet. Später wurde die Zahl auf 1,4 Millionen US-Dollar bei 11 Nutzern korrigiert. Der Vorfall erschütterte das Vertrauen in Telegram-basierte Trading-Bots und löste in der Community Bedenken wegen Front-End-Schwachstellen aus.

Reaktion auf den Vorfall: Banana Gun schaltete seine Ethereum- und Solana-Bots am 19. September 2024 innerhalb weniger Minuten ab, behob die Schwachstelle im Telegram-Oracle und stellte die Bots bis zum 20. September erneut bereit. Betroffenen Nutzern wurde eine vollständige Erstattung aus der Treasury zugesagt, ohne dafür Token zu verkaufen.

Abhilfemaßnahmen: Banana Gun führte eine zweistündige Verzögerung für Übertragungen und eine Zwei-Faktor-Authentifizierung für Transaktionen ein. Zudem ging das Team eine Partnerschaft mit Security Alliance für Audits und Penetrationstests ein, um die Front-End-Sicherheit zu erhöhen.

Erkenntnisse: Telegram-basierte Bots sind anfällig für Oracle- und Front-End-Exploits. Robuste Sicherheitsmaßnahmen und eine Nutzerverifizierung sind nötig, um gezielte Angriffe auf Trader mit hohen Vermögenswerten abzuwehren.

Nutzerverluste: 1,4 Millionen US-Dollar, vollständig ausgeglichen. Die Treasury von Banana Gun erstattete allen betroffenen Nutzern ihre Verluste, sodass netto keine Verluste entstanden.

Referenzen und Quellen:

• Cointelegraph: „Telegram-Bot Banana Gun übernimmt Verlust von 3 Millionen US-Dollar durch Hack“, 25. September 2024
• The Block: „Banana Gun verspricht, betroffenen Nutzern gestohlene 3 Millionen US-Dollar zu erstatten“, 25. September 2024
• QuillAudits: „Wie Banana Gun durchdrehte: Exploit über 3 Millionen US-Dollar entschlüsselt“, 5. Januar 2025

DEXX-Exploit (Nov. 2024)

Ursache: Wegen einer unsachgemäßen Schlüsselverwaltung konnte ein Angreifer durch den Leak eines privaten Schlüssels im zentralisierten Verwahrungsmodell von DEXX auf Nutzer-Wallets zugreifen und sie leeren. Die Klartextanzeige privater Schlüssel bei `export_wallet`-Anfragen auf dem offiziellen Server erleichterte den Angriff.

Folgen: Vermögenswerte im Wert von ungefähr 30 Millionen US-Dollar wurden gestohlen. Betroffen waren mehr als 900 einzelne Nutzer und über 8.620 Solana-Wallets. Die meisten Opfer verloren weniger als 10.000 US-Dollar, ein Nutzer jedoch mehr als 1 Million US-Dollar. Der Angreifer wandelte gestohlene Altcoins in SOL um, was die Wiederbeschaffung erschwerte.

Reaktion auf den Vorfall: DEXX stellte den Betrieb am 16. November 2024 ein und arbeitete mit SlowMist und Strafverfolgungsbehörden zusammen, um die Gelder nachzuverfolgen. Das Team setzte eine Bug-Bounty aus und bot eine straffreie Rückgabe innerhalb von 24 Stunden an. Es konnten jedoch keine Gelder zurückgeholt werden. Das Team kündigte einen Entschädigungsplan an, dessen Umsetzung von der Rückgewinnung der Gelder abhängt.

Abhilfemaßnahmen: Geplant sind eine selbst gehostete Wallet-Version, eine verbesserte Cloud-Sicherheit und eine umfassende Überarbeitung des Sicherheitskonzepts, um künftige Schlüssel-Leaks zu verhindern.

Erkenntnisse: Die zentrale Verwahrung privater Schlüssel auf DeFi-Plattformen birgt erhebliche Risiken. Eine sichere Schlüsselverwaltung und verschlüsselte Kommunikation sind nötig, um Nutzervermögen zu schützen.

Nutzerverluste: 30 Millionen US-Dollar, nicht erstattet. Mit Stand vom 29. November 2024 wurde keine Wiederbeschaffung gemeldet.

Referenzen und Quellen:

• Cointelegraph: „Mehr als 8.600 Solana-Wallets mit DEXX-Hacker hinter 21 Millionen US-Dollar in Verbindung gebracht“, 29. November 2024
• Cryptopolitan: „Mehr als 8.620 Solana-Wallets mit dem DEXX-Hack in Verbindung gebracht“, 11. Dezember 2024
• ChainCatcher: „CertiK: Ursache des DEXX-Vorfalls ist die unsachgemäße Verwaltung privater Schlüssel durch das Projektteam“, 16. November 2024

Exploit der NoOnes-Plattform (Jan. 2025)

Ursache: Eine Schwachstelle in der Solana-Cross-Chain-Bridge von NoOnes ermöglichte es Angreifern, die Hot Wallets der Plattform auszunutzen. So konnten sie Hunderte kleine Transaktionen von jeweils weniger als 7.000 US-Dollar über Ethereum, TRON, Solana und Binance Smart Chain ausführen.

Folgen: Kryptowerte im Umfang von ungefähr 7,9 bis 8 Millionen US-Dollar wurden gestohlen. Die Gelder wurden über Bridges zu Ethereum und Binance Smart Chain übertragen und anschließend zur Verschleierung an Tornado Cash weitergeleitet. Das erschwerte die Wiederbeschaffung.

Reaktion auf den Vorfall: Das Sicherheitsteam von NoOnes dämmte den Angriff am 1. Januar 2025 ein und setzte die Solana-Bridge aus. CEO Ray Youssef bestätigte den Exploit am 24. Januar 2025 nach der Untersuchung von ZachXBT und versicherte, dass Nutzergelder und Daten sicher geblieben seien. Die Bridge bleibt bis zum Abschluss der Penetrationstests inaktiv.

Abhilfemaßnahmen: Geplant sind umfassende Penetrationstests und eine höhere Bridge-Sicherheit, um künftige Exploits zu verhindern. Konkrete Korrekturen wurden jedoch nicht veröffentlicht.

Erkenntnisse: Cross-Chain-Bridges brauchen robuste Sicherheitsmechanismen, um unbefugte Zugriffe zu verhindern. Der Vorfall verdeutlicht, wie wichtig strenge Tests und eine kontinuierliche Überwachung auf P2P-Plattformen sind.

Nutzerverluste: 7,9 bis 8 Millionen US-Dollar, nicht erstattet. Eine Wiederbeschaffung wurde nicht gemeldet, da die Gelder über Tornado Cash verschleiert wurden.

Referenzen und Quellen:

• CryptoSlate: „NoOnes bestätigt Exploit über 8 Millionen US-Dollar nach Bedenken von ZachXBT“, 24. Januar 2025
• ChainCatcher: „NoOnes-CEO bestätigt früheren Hackerangriff und nennt eine Schwachstelle in der Solana-Cross-Chain-Bridge als Ursache“, 26. Januar 2025

Loopscale-Exploit (Apr. 2025)

Ursache: Am 26. April 2025 nutzte ein Angreifer eine Schwachstelle im Preismechanismus von Loopscale für RateX Principal Token (PT) als Sicherheit aus. Durch die Manipulation des Oracle-Preisfeeds blähte er den wahrgenommenen Wert der RateX-PT-Token künstlich auf und konnte so eine Reihe unterbesicherter Kredite aufnehmen. Dadurch ließen sich ungefähr 5,7 Millionen USDC und 1.200 SOL im Wert von ~5,8 Millionen US-Dollar aus den USDC- und SOL-Genesis-Vaults von Loopscale abziehen.

Folgen: Der Exploit entzog ungefähr ~12 % des Total Value Locked (TVL) von Loopscale, das vor dem Vorfall bei ~40 Millionen US-Dollar lag. Der Angriff löste kaskadierende Liquidationen und Margin Calls auf miteinander verbundenen Solana-DeFi-Plattformen aus. Dadurch schwankten die Preise von SOL und USDC auf dezentralen Börsen. Das Vertrauen von Investoren in neue DeFi-Protokolle sank, die regulatorische Prüfung nahm zu und Kapitalflüsse wurden eingeschränkt.

Reaktion auf den Vorfall: Loopscale erkannte den Exploit am 26. April 2025 um 11:30 Uhr EST und setzte sofort alle Kreditmärkte und Vault-Auszahlungen aus, um weitere Verluste zu verhindern. Kreditrückzahlungen, das Aufstocken von Sicherheiten und das Schließen von Loops wurden später am selben Tag wieder aktiviert. Das Team nahm Verhandlungen mit dem Angreifer auf und bot eine Bug-Bounty von 10 % sowie Straffreiheit an. Nach erfolgreichen Verhandlungen wurden bis zum 29. April alle gestohlenen Gelder (5.726.725 USDC und 1.211 SOL) zurückgegeben.

Abhilfemaßnahmen: Loopscale führte gemeinsam mit Sec3 eine Codeprüfung durch und veröffentlichte eine gepatchte Version des Protokolls. Vault-Auszahlungen wurden am 8. Mai 2025 wieder aktiviert. Das Team verpflichtete sich zu fortlaufenden Sicherheitsaudits, einer verbesserten Oracle-Validierung und besseren Mechanismen zur Preisbestimmung von Sicherheiten. Ein umfassender Post-Mortem-Bericht erläuterte die Schwachstelle und künftige Sicherheitsverbesserungen.

Erkenntnisse: Der Vorfall verdeutlichte die Risiken von Oracle-Manipulationen in DeFi-Protokollen, besonders bei neuartigen Modellen zur Preisbestimmung von Sicherheiten. Eine umfassende Validierung der Geschäftslogik, mehrstufige Audits und robuste Oracle-Architekturen sind entscheidend, um solche Exploits zu verhindern. Eine schnelle Reaktion und transparente Kommunikation können die Auswirkungen auf Nutzer begrenzen und die Rückgewinnung von Geldern erleichtern.

Nutzerverluste: Es gingen keine Nutzereinlagen verloren. Alle gestohlenen Gelder (5,8 Millionen US-Dollar) wurden zurückgeholt, sodass Einleger in den USDC- und SOL-Vaults keine finanziellen Verluste erlitten.

Referenzen und Quellen:

• Offizielle Stellungnahme von Loopscale: @LoopscaleLabs, 29. April 2025, Ankündigung zur Rückgewinnung der Gelder
• The Block: „Solana-DeFi-Protokoll Loopscale zwei Wochen nach dem Start von Exploit über 5,8 Millionen US-Dollar getroffen“, 27. April 2025
• Halborn: „Erklärt: Der Loopscale-Hack (April 2025)“, 30. April 2025
• Blockworks: „Loopscale verliert 5,8 Millionen US-Dollar bei Oracle-Angriff“, 29. April 2025

Supply-Chain-Angriffe

Definition

Supply-Chain-Angriffe sind Sicherheitsvorfälle, die die Integrität einer Plattform oder Anwendung gefährden, indem sie auf externe Abhängigkeiten wie Drittanbieterdienste, Bibliotheken oder Vertriebskanäle zielen. Diese Angriffe nutzen Schwachstellen in der Software-Lieferkette aus und betreffen nachgelagerte Nutzer oder dApps, die von der kompromittierten Komponente abhängen.

Merkmale

• Umfang: Betrifft externe Komponenten wie Cloud-Dienste, Paket-Repositorys oder Browsererweiterungen, die in Solana-dApps integriert sind oder von ihnen genutzt werden.
• Häufige Schwachstellen: Dazu gehören Phishing-Angriffe auf Entwicklerkonten, schädliche Updates von Softwarepaketen oder DNS-Hijacking, das Nutzer auf Phishing-Websites umleitet.
• Auswirkungen: Führt zu gestohlenen Geldern, kompromittierten Anmeldedaten oder unbefugtem Zugriff auf Wallets. Betroffen sind Nutzer, die mit dem kompromittierten Dienst interagieren.

Supply-Chain-Vorfälle

Angriff auf das Parcl-Front-End (Aug. 2024)

Ursache: Ein DNS-Hijacking-Angriff kompromittierte das Front-End von Parcl, indem die Domain-Einstellungen geändert und Nutzer auf eine schädliche Website umgeleitet wurden. Die Angreifer zogen Token aus Solana-Wallets ab und zeigten in Phantom falsche Transaktionsergebnisse an. Dabei nutzten sie die Weboberfläche der Plattform aus.

Folgen: Der Angriff zog eine nicht offengelegte Menge an Token aus Nutzer-Wallets ab. Eine konkrete Schadenssumme wurde nicht gemeldet. Das X-Konto von Parcl schien ebenfalls kompromittiert zu sein, was während des Vorfalls die Verwirrung und das Misstrauen der Nutzer verstärkte.

Reaktion auf den Vorfall: Parcl setzte den Handel am 20. August 2024 aus und sicherte seine Domain innerhalb weniger Stunden. Am 22. August wurde der Handel mit bestätigten Schutzmaßnahmen wieder aufgenommen. Nutzern wurde geraten, vor jeder Interaktion die offizielle Website zu prüfen.

Abhilfemaßnahmen: Parcl verstärkte die DNS-Sicherheit, unter anderem durch strengere Cloudflare-Zugriffskontrollen und eine Domain-Überwachung, um künftige Hijacking-Versuche zu verhindern.

Erkenntnisse: Front-End-Schwachstellen, besonders DNS-basierte Angriffe, stellen für DeFi-Plattformen erhebliche Risiken dar. Eine robuste Absicherung von Drittanbieterdiensten und die Aufklärung der Nutzer sind nötig, damit diese Phishing-Websites meiden.

Nutzerverluste: Nicht offengelegter Betrag, nicht erstattet. Es wurden weder eine konkrete Wiederbeschaffung noch eine Entschädigung gemeldet.

Referenzen und Quellen:

• BlockBeats: „Front-End der offiziellen Parcl-Website vermutlich angegriffen“, 20. August 2024
• Quadrigainitiative: „Parcl-Front-End und Twitter durch Phishing kompromittiert“

Web3.js-Supply-Chain-Angriff (Dez. 2024)

Ursache: Eine Spear-Phishing-Kampagne kompromittierte ein Konto mit Veröffentlichungszugriff für @solana /web3.js. Dadurch konnte ein Angreifer schädliche Versionen des npm-Pakets (1.95.6 und 1.95.7) veröffentlichen. Diese Versionen enthielten Code, der privates Schlüsselmaterial aus dApps stahl, die Schlüssel direkt verarbeiteten. Ausgelöst wurde der Code durch bestimmte Methodenaufrufe.

Folgen: Schätzungsweise waren Vermögenswerte im Umfang von 30 bis 50 Millionen US-Dollar potenziell gefährdet. Wegen des kurzen Zeitfensters von 15:20 bis 20:25 UTC sind die genauen Verluste jedoch nicht bestätigt. Der Angriff zielte auf Solana-dApps wie Trading-Bots, betraf aber weder Non-Custodial Wallets noch das Solana-Protokoll.

Reaktion auf den Vorfall: Das Web3.js-Team kennzeichnete die Versionen 1.95.6 und 1.95.7 am 3. Dezember 2024 bis 20:52 UTC als veraltet und entfernte sie am 4. Dezember bis 00:22 UTC aus npm. Entwickler wurden aufgefordert, auf Version 1.95.8 zu aktualisieren und verdächtige Schlüssel zu rotieren. Gestohlene Gelder wurden nicht zurückgeholt.

Abhilfemaßnahmen: Die kompromittierten npm-Zugangsdaten wurden widerrufen und Version 1.95.5 wieder als neueste Version festgelegt. Außerdem wurden erweiterte Sicherheitsmaßnahmen geplant, darunter strengere Zugriffskontrollen und eine Zwei-Faktor-Authentifizierung für die Paketveröffentlichung.

Erkenntnisse: Supply-Chain-Angriffe auf kritische Bibliotheken können ganze Ökosysteme kompromittieren. Robuste Authentifizierung, Paketüberwachung und Wachsamkeit der Entwickler sind nötig, um schädliche Updates zu verhindern.

Nutzerverluste: Laut einigen Quellen belaufen sich die nicht erstatteten Verluste auf ~130.000 US-Dollar. Die Verluste hingen davon ab, welche dApps die schädlichen Versionen bereitgestellt hatten. Eine Wiederbeschaffung wurde nicht gemeldet.

Referenzen und Quellen:

• Mend.io: „Solana-npm-Angriff: Wie @solana/web3.js kompromittiert wurde“, 5. Dezember 2024
• SecurityWeek: „Solana-Web3.js-Bibliothek bei Supply-Chain-Angriff mit Hintertür versehen“, 4. Dezember 2024
• Cyfrin: „Sicherheitswarnung: @solana/web3.js v1.95.6 und v1.95.7 sind kompromittiert“, 4. Dezember 2024

Angriffe auf Netzwerkebene

Definition

Angriffe auf Netzwerkebene sind Sicherheitsvorfälle, die auf die unterstützende Infrastruktur von Solana-dApps oder -Plattformen zielen, etwa Websites oder Server, statt auf die Blockchain oder Anwendungslogik. Diese Angriffe sollen den Zugriff oder die Verfügbarkeit stören, meist mit Distributed-Denial-of-Service-Techniken (DDoS).

Merkmale

• Umfang: Betrifft die Netzwerkinfrastruktur Solana-basierter Plattformen, etwa Webserver oder APIs, nicht die Blockchain oder Programme.
• Häufige Schwachstellen: Dazu gehört die Überlastung von Servern mit Datenverkehr (DDoS), um den Nutzerzugriff zu stören, oft bei stark frequentierten Ereignissen wie Airdrops.
• Auswirkungen: Verursacht vorübergehende Dienstausfälle oder einen verlangsamten Zugriff, aber meist keine direkten finanziellen Verluste, sofern der Angriff nicht mit anderen Exploits kombiniert wird. Nutzer sind vor allem durch die Einschränkungen betroffen.

Vorfälle auf Netzwerkebene

Grape-Protocol-IDO-Vorfall (Sep. 2021)

Ursache: Bots überfluteten die IDO von Grape Protocol auf Raydium mit 400.000 Transaktionen pro Sekunde und überlasteten die Warteschlangen der Transaktionsverarbeitung von Solana. Die extreme Last erschöpfte den Arbeitsspeicher der Validator-Nodes. Das führte zu Netzwerk-Forks und einem Denial-of-Service-Ausfall (DoS).

Folgen: Das Solana-Netzwerk stand 17 Stunden lang still (14.–15. September 2021), wodurch alle Transaktionen und dApps unterbrochen wurden. Der SOL-Preis fiel um 15 % von 170 auf 145 US-Dollar. Die IDO von Grape über 600.000 US-Dollar verlief chaotisch, obwohl keine Gelder direkt gestohlen wurden.

Reaktion auf den Vorfall: Solana-Entwickler und mehr als 1.000 Validatoren koordinierten einen Hard Fork. Sie starteten das Netzwerk am 15. September 2021 bei Slot 96.528.693 mit einem Konsens von 80 % neu. Ein Patch (v1.6.25) wurde bereitgestellt, um die Transaktionsverarbeitung zu stabilisieren.

Abhilfemaßnahmen: Um Bot-gesteuerte Überlastungen einzudämmen, verbesserte Solana die Deduplizierung von Transaktionen, optimierte die Verwaltung von Warteschlangen und erhöhte die Speichereffizienz der Validatoren. Raydium führte Anti-Bot-Maßnahmen für künftige IDOs ein.

Erkenntnisse: Stark nachgefragte IDOs können durch Bot-Spam Angriffe auf Netzwerkebene auslösen. Robuste Anti-Bot-Schutzmaßnahmen und eine skalierbare Infrastruktur sind nötig, um die Stabilität der Blockchain zu erhalten.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch Schwankungen des SOL-Preises und unterbrochene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen

• CoinDesk: „Solana-Blockchain startet nach 17-stündigem, durch Bots verursachtem Ausfall neu“, 15. September 2021
• CoinTelegraph: „Solana führt schweren Ausfall auf Denial-of-Service-Angriff gegen DEX-Angebot zurück“, 21. September 2021
• The Block: „Solana-basiertes Grape Protocol erhält 1,2 Millionen US-Dollar Seed-Finanzierung“, 24. September 2021

Ausfall beim Candy-Machine-NFT-Minting (Apr. 2022)

Ursache: Ein Schwarm von Bots überflutete die Metaplex Candy Machine, ein beliebtes Tool zum Minting von Solana-NFTs, mit 4 Millionen Transaktionsanfragen und 100 Gigabit Daten pro Sekunde. Dadurch wurden die Schutzmechanismen des Netzwerks überlastet und Validatoren aus dem Konsens gedrängt.

Folgen: Das Solana-Netzwerk fiel sieben Stunden lang aus. Die Blockproduktion stand von 16:32 bis 23:00 Uhr ET still und der SOL-Preis sank um 10 % auf 83,13 US-Dollar. Ökosystemdienste wie Phantom Wallet und Mango Markets waren ebenfalls gestört.

Reaktion auf den Vorfall: Validatoren starteten den Mainnet-Beta-Cluster am 1. Mai 2022 um 03:00 UTC neu und stellten die Dienste wieder her. Metaplex kündigte kurz darauf eine Bot-Strafgebühr von 0,01 SOL an, um ungültige Transaktionen abzuschrecken.

Abhilfemaßnahmen: Metaplex führte eine Bot-Strafgebühr ein und plante Verbesserungen am Candy-Machine-Programm, um den Datenverkehr zu stabilisieren. Solana-Entwickler untersuchten weiter, warum die Schutzmechanismen versagt hatten.

Erkenntnisse: NFT-Minting-Tools mit hohem Datenverkehr brauchen robuste Anti-Bot-Maßnahmen und genügend Netzwerkkapazität, um Ausfälle zu verhindern. Der Vorfall zeigte die Skalierungsprobleme von Solana bei Spitzenlast.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch Schwankungen des SOL-Preises und unterbrochene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen:

• CoinDesk: „Solana fällt sieben Stunden lang aus, nachdem Bots das NFT-Minting-Tool ‚Candy Machine‘ überfluten“, 1. Mai 2022
• NFT Plazas: „Bot-Schwarm verursacht schweren Ausfall im Solana-Netzwerk“, 3. Mai 2022

Jito-DDoS-Angriff (Dez. 2023)

Ursache: Ein Distributed-Denial-of-Service-Angriff (DDoS) überflutete die Website von Jito mit übermäßigem Datenverkehr und störte den Zugriff während des Starts des JTO-Token-Airdrops. Der Angriff wurde vermutlich von Betrügern ausgeführt, die Lösegeld fordern wollten. Er zielte auf die Serverinfrastruktur der Plattform, nicht auf ihre Solana-basierten Programme.

Folgen: Der Angriff verursachte vorübergehende Ausfälle und verlangsamte oder blockierte für einige Nutzer den Zugriff auf das Airdrop-Claim-Portal von Jito. Es wurden keine Gelder gestohlen. Der Airdrop von 90 Millionen JTO-Token (~225 Millionen US-Dollar) wurde fortgesetzt und mehr als 54 Millionen Token wurden beansprucht.

Reaktion auf den Vorfall: Jito wehrte den Angriff innerhalb weniger Minuten ab und stellte die Funktion der Website bis zum 7. Dezember 2023 wieder her. Das Team veröffentlichte keine Details zu Lösegeldforderungen, bestätigte aber, dass weder Nutzervermögen noch die Protokollsicherheit beeinträchtigt wurden.

Abhilfemaßnahmen: Jito verbesserte den Schutz vor DDoS-Angriffen, darunter die Filterung des Datenverkehrs und die Härtung der Server, um künftige Störungen bei stark frequentierten Ereignissen wie Airdrops zu verhindern.

Erkenntnisse: DeFi-Plattformen sind bei wichtigen Ereignissen bevorzugte Ziele für Angriffe auf Netzwerkebene. Sie brauchen eine robuste Infrastruktursicherheit, damit Nutzer jederzeit auf sie zugreifen können.

Nutzerverluste: Keine. Der DDoS-Angriff störte den Zugriff, führte aber weder zu gestohlenen Geldern noch zu direkten Nutzerverlusten.

Referenzen und Quellen:

• Decrypt: „Jito-Airdrop verteilt 225 Millionen US-Dollar an Solana-Nutzer“, 8. Dezember 2023
• Cryptopolitan: „Jito-Airdrop belohnt Solana-Nutzer mit 225 Millionen US-Dollar“, 8. Dezember 2023

DDoS-Angriff auf Phantom Wallet (Feb. 2024)

Ursache: Ein Distributed-Denial-of-Service-Angriff (DDoS) zielte auf die Infrastruktur von Phantom Wallet und überlastete die Systeme mit übermäßigem Datenverkehr. Der Angriff nutzte vermutlich die große Aufmerksamkeit rund um den Jupiter-Airdrop (JUP) und sollte die Verfügbarkeit des Dienstes durch eine Flut von Serveranfragen stören. Konkrete Schwachstellen wurden nicht genannt.

Folgen: Der Angriff unterbrach die Dienste von Phantom für mehrere Stunden, darunter den Wallet-Zugriff und die Transaktionsverarbeitung. Nutzergelder wurden nicht beeinträchtigt, da die Vermögenswerte auf Solana sicher blieben. Der Vorfall fiel in eine Phase verstärkter Prüfung nach der Integration von Bitcoin, Ordinals und BRC-20-Token in Phantom.

Reaktion auf den Vorfall: Das Phantom-Team bestätigte den Angriff am 1. Februar 2024 um 15:20 UTC über X und versicherte den Nutzern, dass ihre Vermögenswerte sicher seien. Die Dienste wurden zur Abwehr des Angriffs ausgesetzt. Bis zum 2. Februar war die Funktionalität wiederhergestellt und ein Update bestätigte die Behebung. Es gingen keine Gelder verloren und weitere Details zum Angriff wurden nicht veröffentlicht.

Abhilfemaßnahmen: Phantom führte verbesserte Maßnahmen zur DDoS-Abwehr ein, nannte jedoch keine Details. Das Team betonte, die Sicherheit kontinuierlich zu verbessern, um Ereignisse mit hohem Datenverkehr zu bewältigen und künftige Störungen zu verhindern.

Erkenntnisse: Stark beachtete Ereignisse wie Airdrops ziehen DDoS-Angriffe an. Robuste Netzwerkabwehr, Filterung des Datenverkehrs und eine skalierbare Infrastruktur sind nötig, um die Verfügbarkeit von DeFi-Wallets aufrechtzuerhalten, besonders im Solana-Netzwerk mit seinem hohen Durchsatz.

Nutzerverluste: Keine. Der Angriff verursachte vorübergehende Dienstunterbrechungen, aber keine finanziellen Verluste. Das Nutzervermögen blieb sicher.

Referenzen und Quellen

• TheNewsCrypto: „Phantom Wallet von Solana durch DDoS-Angriff getroffen, Dienste vorübergehend deaktiviert“, 2. Februar 2024
• CryptoNews.net: „Phantom Wallet von Solana durch DDoS-Angriff getroffen, Dienste vorübergehend deaktiviert“, 2. Februar 2024
• Phantom auf X: Ankündigung des DDoS-Angriffs, 1. Februar 2024

Schwachstellen im Kernprotokoll

Definition

Schwachstellen im Kernprotokoll sind Sicherheitsvorfälle, die Fehler im Solana-Protokoll selbst ausnutzen, etwa im Konsensmechanismus, in der Transaktionsvalidierung oder in der Netzwerkarchitektur. Sie würden die gesamte Blockchain betreffen und ihre Integrität, Sicherheit oder Verfügbarkeit gefährden.

Merkmale

• Umfang: Betrifft die grundlegende Ebene der Solana-Blockchain und damit alle Nodes, Transaktionen oder dApps.
• Häufige Schwachstellen: Dazu könnten Fehler im Konsensalgorithmus, Schwachstellen bei der Transaktionsverarbeitung oder Mängel in den kryptografischen Mechanismen der Blockchain gehören.
• Auswirkungen: Würden wahrscheinlich netzwerkweite Störungen, Verluste bei verschiedenen dApps oder eine beeinträchtigte Integrität der Blockchain verursachen. Betroffen wären alle Nutzer und Protokolle auf Solana.

Vorfälle im Kernprotokoll

Vorfall mit Solana-Turbine-Bug (Dez. 2020)

Ursache: Ein Fehler bei der Blockverteilung in Turbine, dem Mechanismus von Solana zur Blockverteilung, führte dazu, dass ein Validator zwei verschiedene Blöcke für denselben Slot übertrug. Diese wurden an getrennte Netzwerkpartitionen (A und B) verteilt. Eine dritte Partition erkannte die Inkonsistenz, doch wegen unzureichenden Stakes erreichte keine Partition einen Supermajority-Konsens. Dadurch kam die Blockproduktion zum Stillstand. Das Problem entstand, weil Blöcke anhand ihrer Proof-of-History-Slotnummer (PoH) (u64) statt anhand ihres Hashes verfolgt wurden. Nodes deuteten dadurch verschiedene Blöcke fälschlich als identisch, was die Reparatur des Forks verhinderte.

Folgen: Solana fiel sechs Stunden lang aus. Alle Transaktionen und dApps waren unterbrochen. Das Netzwerk teilte sich in Partitionen, deren Nodes gegensätzliche Forks wegen unterschiedlicher Zustandsübergänge ablehnten. Dadurch konnte keine Finalität erreicht werden. Es gingen keine Gelder verloren, aber das Vertrauen der frühen Nutzer wurde auf die Probe gestellt.

Reaktion auf den Vorfall: Validatoren koordinierten einen Neustart des Netzwerks mit einer Stake-Beteiligung von 80 %. Am 8. Dezember 2020 wurde die Blockproduktion fortgesetzt. Das Solana-Team identifizierte den Fehler und stellte Korrekturen für die Blockverfolgung und Fehlererkennung bereit.

Abhilfemaßnahmen: Blöcke wurden fortan anhand ihres Hashes statt ihrer Slotnummer verfolgt, um kollidierende Blöcke zu unterscheiden. Außerdem wurde eine frühere Fehlererkennung in Turbine aktiviert und Fehler wurden per Gossip an alle Validatoren verteilt. So konnten Nodes Forks reparieren und Partitionen auflösen, was ähnliche Konsensfehler verhindert.

Erkenntnisse: Systeme zur Blockverteilung müssen Blöcke eindeutig anhand ihres Hashes verfolgen, um Verwechslungen zu vermeiden. Robuste Fehlererkennungs- und Gossip-Mechanismen sind nötig, um den Konsens in Blockchains mit hohem Durchsatz wie Solana aufrechtzuerhalten.

Nutzerverluste: Keine. Der Ausfall verursachte Störungen, aber keine direkten finanziellen Verluste, da währenddessen keine Transaktionen verarbeitet wurden.

Referenzen und Quellen

• Helius Labs: „Die vollständige Geschichte der Solana-Ausfälle: Ursachen und Korrekturen“, 23. Februar 2025

Vorfall mit Solana-Durable-Nonce-Bug (Juni 2022)

Ursache: Ein Runtime-Bug in der Funktion von Solana für Durable-Nonce-Transaktionen führte dazu, dass eine fehlgeschlagene Transaktion wegen eines aktuellen Blockhashes zweimal verarbeitet werden konnte: einmal als reguläre Transaktion und erneut als Nonce-Transaktion. Dies verursachte Nichtdeterminismus. Validatoren erzeugten widersprüchliche Ergebnisse und der Konsens kam um 16:30 UTC zum Stillstand.

Folgen: Solana produzierte 4,5 Stunden lang keine Blöcke, wodurch Transaktionen und dApps unterbrochen wurden. Der SOL-Preis fiel um 13,9 % auf 39,08 US-Dollar, während das Handelsvolumen um 61 % auf 2,141 Milliarden US-Dollar stieg.

Reaktion auf den Vorfall: Validator-Betreiber starteten das Netzwerk am 1. Juni 2022 um 21:00 UTC neu und deaktivierten die Durable-Nonce-Funktion in den Releases v1.9.28/v1.10.23. Die Client-Dienste wurden über mehrere Stunden wiederhergestellt. Es gingen keine Gelder verloren.

Abhilfemaßnahmen: Die Durable-Nonce-Funktion blieb deaktiviert, bis eine Korrektur in v1.10.23 die doppelte Verarbeitung verhinderte, indem sie Nonce- und Blockhash-Domänen trennte. Zudem wurde eine verbesserte Validierungslogik eingeführt.

Erkenntnisse: Durable-Nonce-Transaktionen brauchen robuste Mechanismen, die eine doppelte Verarbeitung verhindern. Der Vorfall unterstreicht, wie wichtig umfassende Tests auch für selten genutzte Protokollfunktionen sind, um die Netzwerkstabilität zu erhalten.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch Schwankungen des SOL-Preises und angehaltene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen

• Solana: „Bericht zum Ausfall von Solana Mainnet Beta am 01.06.22“, 5. Juni 2022
• Cointelegraph: „Solana-Entwickler beheben Bugs, um weitere Ausfälle zu verhindern“, 7. Juni 2022
• Decrypt: „Bug legt Solana-Blockchain vier Stunden lang lahm“, 2. Juni 2022

Vorfall mit Solana-Duplicate-Block-Bug (Sep. 2022)

Ursache: Ein fehlerhafter Validator erzeugte wegen eines Bugs in der Fork-Choice-Logik von Solana doppelte Blöcke für seine Leader-Slots. Wenn Validatoren nicht zur schwersten Bank zurückkehren konnten, weil deren Slot ihrem zuletzt gewählten Slot entsprach, blieben sie hängen. Das verhinderte den Konsens und legte das Netzwerk lahm. Zu wenige bestätigte Votes verschärften das Problem und stoppten die Produktion neuer Root-Blöcke.

Folgen: Solana bestätigte mehrere Stunden lang keine Blöcke, wodurch Transaktionen und dApps unterbrochen wurden. Ein zweiter Bug beim Neustart führte wegen eines Fehlers im Inflationsmechanismus zu schwankenden Mengen aktiven Stakes und zum Überlauf einer vorzeichenlosen 64-Bit-Ganzzahl.

Reaktion auf den Vorfall: Validatoren starteten das Netzwerk anhand eines vertrauenswürdigen Snapshots neu, um den Konsens wiederherzustellen. Der Stake-Overflow-Bug wurde vor einem zweiten Neustart schnell identifiziert und behoben. So konnte das Netzwerk bis zum 1. Oktober 2022 wiederhergestellt werden.

Abhilfemaßnahmen: Spätere Versionen des Solana-Clients führten einen Mechanismus ein, der Vote-Transaktionen priorisiert und verhindert, dass reguläre Transaktionen sie verdrängen. Außerdem wurde der Fehler in der Fork-Choice-Logik behoben, damit Validatoren zum schwersten Fork wechseln können.

Erkenntnisse: Die Fork-Choice-Logik muss doppelte Blöcke zuverlässig verarbeiten, um den Konsens aufrechtzuerhalten. Der Vorfall zeigt, wie wichtig eine bessere Priorisierung von Votes und eine genaue Stake-Berechnung in Blockchains mit hohem Durchsatz sind.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch unterbrochene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen

• Helius Labs: „Die vollständige Geschichte der Solana-Ausfälle: Ursachen und Korrekturen“, 23. Februar 2025

Vorfall mit Solana-Turbine-Ausfall (Feb. 2023)

Ursache: Ein einzelner großer Block überlastete die Deduplizierungslogik von Turbine, weil fehlerhafte Dienste zur Blockweiterleitung die Shreds des Blocks fortlaufend erneut weiterleiteten. Dadurch wurden die Deduplizierungsfilter gesättigt und es entstanden Schleifen im Turbine-Baum. Das Netzwerk musste auf das langsamere Block-Repair-Protokoll zurückgreifen und die Finalisierung von Blöcken kam zum Stillstand.

Folgen: Solana fiel ab 05:46 UTC neun Stunden lang aus, wodurch Transaktionen und dApps unterbrochen wurden. Der SOL-Preis sank um 5 % auf 22,90 US-Dollar. Der TVL war nicht wesentlich betroffen.

Reaktion auf den Vorfall: Validatoren versuchten zunächst ein Software-Downgrade im laufenden Betrieb, da sie ein kürzliches Update (v1.14.16) als Ursache vermuteten. Letztlich starteten sie das Netzwerk am 26. Februar 2023 um 01:28 UTC mithilfe eines vertrauenswürdigen Snapshots neu. Wirtschaftliche Transaktionen wurden nicht zurückgesetzt.

Abhilfemaßnahmen: Die Deduplizierungslogik wurde in v1.13.7 und v1.14.17 verbessert, um eine Filtersättigung zu vermeiden. Entwickler arbeiteten mit Anbietern von Weiterleitungsdiensten zusammen, um die Ausfallsicherheit zu erhöhen, und planten, UDP für eine bessere Steuerung des Datenverkehrs durch QUIC zu ersetzen.

Erkenntnisse: Die Deduplizierungslogik von Turbine muss große Blöcke zuverlässig verarbeiten. Optimierte Weiterleitungsdienste und Protokoll-Upgrades sind nötig, um Überlastungen in Netzwerken mit hohem Durchsatz zu verhindern.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch Schwankungen des SOL-Preises und angehaltene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen

• Solana: „Bericht zum Ausfall von Solana Mainnet Beta am 25.02.23“, 24. Juni 2023
• Helius Labs: „Die vollständige Geschichte der Solana-Ausfälle: Ursachen und Korrekturen“, 23. Februar 2025

Vorfall mit Solana-JIT-Cache-Bug (Feb. 2024)

Ursache: Ein in Agave v1.16 eingeführter Bug im `LoadedPrograms`-Cache-System verursachte eine Endlosschleife beim Neukompilieren im JIT-Cache. Bei Legacy-Loader-Programmen erhielten neue JIT-Ausgaben eine Sentinel-Slot-Höhe von null, wodurch sie für `LoadedPrograms` unsichtbar waren. Das löste eine fortlaufende Neukompilierung aus. Validatoren blieben bei einem bestimmten Block hängen und der Konsens kam um 09:53 UTC zum Stillstand.

Folgen: Solana fiel fünf Stunden lang aus, wodurch Transaktionen und dApps unterbrochen wurden. Der SOL-Preis sank auf ein Sechstagestief von 93,75 US-Dollar, erholte sich aber innerhalb weniger Tage auf 105,46 US-Dollar. Mehr als 95 % des Cluster-Stakes, der Agave v1.17 ausführte, waren betroffen.

Reaktion auf den Vorfall: Entwickler identifizierten den bereits im Devnet aufgetretenen Bug und stellten in v1.17.20 einen angepassten Patch bereit. Validatoren starteten das Netzwerk um 14:55 UTC mit Snapshot-Slot 246.464.040 neu und stellten den Konsens wieder her. Die Korrektur deaktivierte anfällige Legacy Loader.

Abhilfemaßnahmen: v1.17.20 wurde gepatcht, um die Neukompilierungsschleife zu verhindern. Für künftige Releases ist eine umfassende Überarbeitung von LoadedPrograms geplant, die die Cache-Effizienz und Fork-Erkennung verbessern soll.

Erkenntnisse: Legacy-Loader-Programme brauchen eine robuste Cache-Verwaltung, um Endlosschleifen zu verhindern. Der Vorfall zeigt, wie wichtig umfassende Tests unter allen Netzwerkbedingungen und eine schnellere Bereitstellung von Patches sind.

Nutzerverluste: Keine direkten Verluste durch Diebstahl. Indirekte Verluste entstanden durch Schwankungen des SOL-Preises und angehaltene Transaktionen. Eine Erstattung wurde nicht gemeldet.

Referenzen und Quellen

• Solana: „Bericht zum Ausfall von Solana Mainnet Beta am 06.02.24“, 9. Februar 2024
• Blockworks: „Solana-Ausfall durch bereits bekannten Bug verursacht, sagen Entwickler“, 9. Februar 2024

Vorfall mit Schwachstelle bei der ELF-Adressausrichtung in Solana (Aug. 2024)

Ursache: Eine kritische Schwachstelle in der Logik von Solana zur ELF-Adressausrichtung betraf die Verarbeitung ausführbarer Dateien in der Solana-Runtime. Sie hätte es einem Angreifer ermöglichen können, die Programmausführung zu manipulieren, das Netzwerk potenziell anzuhalten oder unbefugte Aktionen auszuführen.

Folgen: Die Schwachstelle wurde vorsorglich gepatcht und nicht ausgenutzt. Der Vorfall hatte keine unmittelbaren finanziellen Auswirkungen. Der SOL-Preis stieg um 0,89 % auf 155,88 US-Dollar, was das Vertrauen in die schnelle Reaktion widerspiegelte.

Reaktion auf den Vorfall: Am 7. August 2024 kontaktierte die Solana Foundation Netzwerkbetreiber vertraulich und verteilte einen Patch über das GitHub-Repository eines Anza-Entwicklers. Bis zum 8. August um 14:00 UTC waren 66,6 % des Netzwerk-Stakes abgesichert. Die öffentliche Bekanntgabe folgte nach einer Verbreitung von 70 % am 9. August. Der Patch (v1.18.21) wurde ohne Unterbrechung vollständig implementiert.

Abhilfemaßnahmen: Der Patch behob den Fehler bei der ELF-Adressausrichtung. Zusätzliche Validierungsprüfungen stellten sicher, dass Programme korrekt geladen werden. Das Solana-Team verbesserte die Prozesse zur vertraulichen Offenlegung, um Risiken durch Reverse Engineering zu verringern.

Erkenntnisse: Kritische Schwachstellen in zentralen Runtime-Komponenten wie der ELF-Verarbeitung erfordern eine diskrete Bereitstellung von Patches und die Koordination aller Beteiligten, um netzwerkweite Ausfälle zu verhindern. Das unterstreicht die Bedeutung proaktiver Sicherheit in Blockchains mit hohem Durchsatz.

Nutzerverluste: Keine. Die Schwachstelle wurde vor einer Ausnutzung gepatcht, sodass weder finanzielle Verluste noch Netzwerkunterbrechungen entstanden.

Referenzen und Quellen

• Crypto Briefing: „Solana-Entwickler und Validatoren patchen kritische Schwachstelle und verhindern netzwerkweiten Ausfall“, 9. August 2024
• The Block: „Solana-Entwickler beheben kritische Schwachstelle mit koordiniertem Patch“, 9. August 2024
• Cointelegraph: „Solana verhindert möglichen Ausfall und patcht kritische Schwachstelle“, 9. August 2024

Kategorisierung und Häufigkeit der Vorfälle

38 verifizierte Sicherheitsvorfälle auf Solana von März 2020 bis Q1 2025, aufgeteilt in folgende Kategorien:

• Anwendungs-Exploits: 26 Vorfälle (68,42 % der Gesamtzahl)
• Lieferkettenangriffe: 2 Vorfälle (5,26 % der Gesamtzahl)
• Angriffe auf Netzwerkebene: 4 Vorfälle (10,53 % der Gesamtzahl)
• Schwachstellen im Kernprotokoll: 6 Vorfälle (15,79 % der Gesamtzahl)

Häufigkeit nach Jahr

2020: 1 Vorfall  

• 1 Schwachstelle im Kernprotokoll: Solana-Turbine-Bug

2021: 2 Vorfälle 

• 1 Angriff auf Netzwerkebene: Vorfall beim Grape Protocol IDO  
• 1 Anwendungs-Exploit: Versuch, die Authentifizierung von Solend zu umgehen

2022: 15 Vorfälle 

• 12 Anwendungs-Exploits: Wormhole-Bridge-Exploit, Cashio-Exploit, Crema-Finance-Exploit, Audius-Governance-Exploit, Nirvana-Finance-Exploit, Slope-Mobile-Wallet-Exploit, OptiFi-Lockup-Bug, Mango-Markets-Exploit, UXD-Protocol-Exploit, Tulip-Protocol-Exploit, Save-Exploit (ehemals Solend), Raydium-Exploit  
• 1 Angriff auf Netzwerkebene: Ausfall beim Minting von Candy Machine NFTs  
• 2 Schwachstellen im Kernprotokoll: Vorfall mit dem Solana-Durable-Nonce-Bug, Vorfall mit dem Solana-Duplicate-Block-Bug

2023: 7 Vorfälle

• 5 Anwendungs-Exploits: Cypher-Protocol-Exploit, SVT-Token-Exploit, Synthetify-DAO-Exploit, Thunder-Terminal-Exploit, Aurory-SyncSpace-Exploit  
• 1 Angriff auf Netzwerkebene: Jito-DDoS-Angriff  
• 1 Schwachstelle im Kernprotokoll: Vorfall mit einem Ausfall von Solana Turbine

2024: 11 Vorfälle 

• 6 Anwendungs-Exploits: Saga-DAO-Vorfall, Solareum-Exploit, Angriff auf die GPU-Metadaten von io.net, Pump.fun-Exploit, Banana-Gun-Exploit, DEXX-Exploit  
• 2 Lieferkettenangriffe: Angriff auf das Parcl-Frontend, Lieferkettenangriff auf Web3.js  
• 1 Angriff auf Netzwerkebene: DDoS-Angriff auf Phantom Wallet  
• 2 Schwachstellen im Kernprotokoll: Vorfall mit einer Schwachstelle bei der ELF-Adressausrichtung in Solana, Vorfall mit dem Solana-JIT-Cache-Bug

Q1 2025: 2 Vorfälle

• 2 Anwendungs-Exploits: NoOnes-Platform-Exploit, Loopscale-Exploit

Beobachtungen

• Anwendungs-Exploits treten am häufigsten auf. Sie spiegeln Schwachstellen in dezentralen Anwendungen (dApps), Programmen und Wallets wider. Die Spitzenwerte 2022 (12 Vorfälle) und 2024 (6 Vorfälle) fallen mit dem Wachstum von DeFi und NFT zusammen.
• Lieferkettenangriffe traten erstmals 2024 auf und zielten auf Abhängigkeiten von Drittanbietern, während das Solana-Ökosystem wuchs.
• Angriffe auf Netzwerkebene sind selten, verursachen aber erhebliche Ausfälle. Sie konzentrierten sich auf die Jahre 2021–2022 und Ereignisse mit hohem Datenverkehr, etwa IDOs und NFT-Minting.
• Schwachstellen im Kernprotokoll sind zwar seltener, bergen wegen ihrer Auswirkungen auf die gesamte Blockchain jedoch systemische Risiken. Entsprechende Vorfälle gab es von 2020 bis 2024.
• Die Vorfallhäufigkeit erreichte 2022 mit 15 Vorfällen ihren Höhepunkt. Gründe waren die zunehmende Verbreitung von Solana und die wachsende Angriffsfläche.

Einstufung nach Schweregrad

• Hoher Schweregrad (netzwerkweite Ausfälle, Verluste >10 Mio. $): 13 Vorfälle (z. B. Wormhole Bridge, Mango Markets, DEXX)
• Mittlerer Schweregrad (Verluste von 1 Mio. $ bis 10 Mio. $): 12 Vorfälle (z. B. Crema Finance, Raydium, Pump.fun)
• Niedriger Schweregrad (Verluste <1 Mio. $ oder keine finanziellen Verluste): 13 Vorfälle (z. B. SVT Token, ELF-Adressausrichtung, Jito DDoS)

Finanzielle Gesamtverluste und betroffene Parteien

Aufschlüsselung der Verluste

Anwendungs-Exploits

Bruttoverluste: ~600 Mio. $

Aufschlüsselung:

• Wormhole Bridge: 326 Mio. $ (vollständig erstattet)
• Mango Markets: 116 Mio. $ (netto 49 Mio. $ nach Rückgabe von 67 Mio. $)
• Cashio: 52,8 Mio. $ (netto 25 Mio. $ nach Rückgabe von 27,8 Mio. $ durch den Hacker)
• DEXX: 30 Mio. $
• UXD Protocol: 19,9 Mio. $ (wiedererlangt)
• Crema Finance: 8,8 Mio. $ (netto 1,6 Mio. $ nach Rückgabe von 7,2 Mio. $)
• Slope Mobile Wallet: 8 Mio. $
• NoOnes Platform: 7,9 Mio. $–8 Mio. $
• Audius: 6,1 Mio. $
• Loopscale: 5,8 Mio. $ (vollständig wiedererlangt)
• Raydium: 4,4 Mio. $ (netto ~0,4 Mio. $, nachdem das Team ~4 Mio. $ abfederte)
• Nirvana Finance: 3,5 Mio. $ (netto 1,4 Mio. $ nach einer Rückerstattung von ~2,1 Mio. $)
• Pump.fun: 1,9 Mio. $ (abgefedert)
• Banana Gun: 1,4 Mio. $ (abgefedert)
• Cypher Protocol: 1,04 Mio. $ (+317.000 $ durch internen Diebstahl)
• Solend (Aug. 2021): 16.000 $ (abgefedert)
• Solend (Nov. 2022): 1,26 Mio. $ (abgefedert)
• OptiFi-Lockup-Bug: 661.000 $ (zu 95 % weitgehend abgefedert)
• Solareum: 520.000 $–1,4 Mio. $
• SVT Token: 400.000 $
• Thunder Terminal: 240.000 $
• Aurory: 830.000 $ (abgefedert)
• Synthetify DAO: 230.000 $
• Saga DAO: 60.000 $
• Tulip Protocol: 2,5 Mio. $ (wiedererlangt)

Abgefederte Verluste: ~469 Mio. $

• Wormhole: 326 Mio. $ (Jump Crypto)
• Cashio: 27,8 Mio. $ (zurückgegeben)
• Mango Markets: 67 Mio. $ (zurückgegeben)
• UXD Protocol: 19,9 Mio. $ (wiedererlangt)
• Crema Finance: 7,2 Mio. $ (zurückgegeben)
• Pump.fun: 1,9 Mio. $ (wiederhergestellt)
• Banana Gun: 1,4 Mio. $ (erstattet)
• Save (ehemals Solend): 16.000 $ + 1,26 Mio. $ (Treasury)
• OptiFi: ~628.000 $ (zu 95 % aus Teamgeldern)
• Tulip Protocol: 2,5 Mio. $ (wiedererlangt)
• Loopscale: 5,8 Mio. $ (wiedererlangt)
• Raydium: ~4 Mio. $ (Team)
• Aurory: 830.000 $ (Treasury)
• Nirvana Finance: ~2,1 Mio. $ (60 % Rückerstattung ausgezahlt)

Nettoverluste: ~131 Mio. $

Betroffene Parteien: Nutzer (Wallets, Liquiditätsanbieter), Protocol-Treasurys und DAOs. Nutzer trugen den Großteil der Verluste, obwohl die Protocols erhebliche Beträge abfederten, etwa Wormhole und Pump.fun.

Lieferkettenangriffe

Bruttoverluste: ~130.000 $

Aufschlüsselung:

• Web3.js: ~130.000 $ (unbestätigt)
• Parcl-Frontend: nicht offengelegt

Abgefederte Verluste: ~0 Mio. $

Nettoverluste: ~130.000 $

Betroffene Parteien: Nutzer, die mit kompromittierten dApps oder Erweiterungen interagierten. Die Verluste trugen hauptsächlich die Nutzer.

Angriffe auf Netzwerkebene

Bruttoverluste: 0 $ (kein direkter Diebstahl)

Indirekte Verluste: Kursschwankungen von SOL (z. B. ein Rückgang um 15 % während des Grape-Protocol-Vorfalls und um 10 % während des Candy-Machine-Vorfalls) sowie gestörte Transaktionen.

Betroffene Parteien: Das gesamte Solana-Ökosystem (Nutzer, dApps und Validatoren).

Schwachstellen im Kernprotokoll

Bruttoverluste: 0 $ (kein direkter Diebstahl)

Indirekte Verluste: Kursrückgänge von SOL (z. B. um 13,9 % während des Durable-Nonce-Bugs und um 5 % während des Turbine-Ausfalls) sowie Transaktionsstörungen.

Betroffene Parteien: Das gesamte Solana-Ökosystem.

Gesamtverluste in allen Kategorien

• Bruttoverluste: ~600 Mio. $
• Abgefederte Verluste: ~469 Mio. $
• Nettoverluste: ~131 Mio. $

Indirekte Verluste: Nicht beziffert, aufgrund der Kursschwankungen von SOL und der Transaktionsstörungen jedoch erheblich.

Wer trug die Folgen?

• Nutzer: Hauptopfer von Anwendungs-Exploits (z. B. Slope Wallet, DEXX, Solareum) und Lieferkettenangriffen (z. B. io.net, Parcl). Sie verloren Gelder aus Wallets oder Liquiditätspools.
• Protocols/DAOs: Übernahmen in einigen Fällen die Verluste (z. B. die 1,26 Mio. $ von Solend oder die Entschädigung durch Raydium) oder stellten den Betrieb ein (z. B. Cashio und Nirvana).
• Gesamtes Ökosystem: Angriffe auf Netzwerkebene und Schwachstellen im Kernprotokoll beeinträchtigten alle Nutzer, dApps und Validatoren. Kursrückgänge von SOL verursachten indirekte Verluste.
• Maßnahmen zur Schadensbegrenzung: Protocols wie Wormhole (Jump Crypto), Pump.fun und Banana Gun entschädigten die Nutzer vollständig. Andere wie Raydium und OptiFi leisteten Teilentschädigungen aus Treasurys oder Teamgeldern.

Entwicklung der Sicherheitsmaßnahmen von Solana

Solanas Reaktion auf Sicherheitsvorfälle hat sich im Laufe der Zeit verbessert. Das zeigen kürzere Reaktionszeiten, robustere Behebungsstrategien und Verbesserungen im gesamten Ökosystem.

Reaktionsgeschwindigkeit bei Vorfällen

Anwendungs-Exploits

• Frühe Vorfälle (2022): Die Reaktionszeiten reichten von Stunden bis zu Tagen. Wormhole wurde beispielsweise innerhalb weniger Stunden gepatcht. Cashio wurde noch am selben Tag eingestellt, doch die Gelder konnten nicht wiedererlangt werden.
• Spätere Vorfälle (2024–2025): Minuten bis Stunden. Pump.fun stoppte den Handel beispielsweise in <1 Stunde, Banana Gun schaltete Bots innerhalb weniger Minuten ab und Loopscale pausierte die Märkte noch am selben Tag.
• Trend: Bessere Erkennung durch Echtzeitüberwachung und Warnungen aus der Community, etwa von CertiK und ZachXBT.

Lieferkettenangriffe

• Schnelle Reaktionen dank externer Erkennung. Web3.js markierte betroffene Pakete beispielsweise nach ~5 Stunden als veraltet.
• Trend: Bessere Koordination mit Drittanbietern wie Cloudflare und npm.

Angriffe auf Netzwerkebene

• Frühe Vorfälle (2021–2022): Lange Ausfälle aufgrund schwieriger Validator-Koordination: 17 Stunden beim Grape Protocol und 7 Stunden bei Candy Machine.
• Spätere Vorfälle (2023–2024): Durch bessere Maßnahmen gegen DDoS innerhalb von Minuten (Jito) oder Stunden (Phantom) abgefedert. Keine Ausfälle.
• Trend: Widerstandsfähigere Infrastruktur.

Schwachstellen im Kernprotokoll

• Frühe Vorfälle (2020–2022): Die Ausfälle dauerten 4,5 bis 9 Stunden, etwa beim Turbine-Bug und Durable-Nonce-Bug.
• Spätere Vorfälle (2024): Wiederherstellung innerhalb von 5 Stunden beim JIT-Cache-Bug und präventive Patches bei der ELF-Adressausrichtung ohne Ausfall.
• Trend: Schnellere Bereitstellung von Patches und Protokolle für vertrauliche Meldungen.

Behebungsstrategien

Anwendungs-Exploits

• Früher: Begrenzte Behebungsmaßnahmen. Einige Protocols wie Cashio und Nirvana stellten den Betrieb ein.
• Später: Robuste Korrekturen wie die Signaturvalidierung von Wormhole und das Multisig-Upgrade von Raydium sowie Entschädigungspläne von Pump.fun und Banana Gun.
• Trend: Stärkerer Fokus auf Audits, Oracle-Sicherheit und Kontrollen für privilegierte Zugriffe.

Lieferkettenangriffe

• 2FA für Konten bei Drittanbietern (z. B. .web3.js) und Paketüberwachung (Web3.js) eingeführt.
• Trend: Stärkerer Fokus auf die Absicherung externer Abhängigkeiten.

Angriffe auf Netzwerkebene

• Maßnahmen gegen Bots wie die Botting-Strafe von Metaplex und Schutz vor DDoS wie bei Jito und Phantom.
• Trend: Proaktive Härtung der Infrastruktur.

Schwachstellen im Kernprotokoll

• Patches für bestimmte Bugs wie die Turbine-Deduplizierung und die Korrektur des JIT-Caches sowie langfristige Upgrades wie die Einführung von QUIC.
• Trend: Schnellere Patch-Zyklen und bessere Koordination im Ökosystem.

Verbesserungen im gesamten Ökosystem

• Audits: Seit 2022 verpflichtend. Der Zusammenbruch des nicht auditierten Cashio machte beispielsweise die Risiken deutlich.
• Bug-Bountys: Bei mehreren Vorfällen wurden Prämien angeboten, etwa 10 Mio. $ von Wormhole und 10 % von Raydium. Die Auszahlung von 1,6 Mio. $ durch Crema war besonders bemerkenswert.
• Wachsame Community: Sicherheitsunternehmen wie CertiK und SlowMist sowie Einzelpersonen wie ZachXBT verbesserten die Erkennung.
• Validator-Koordination: Bei Vorfällen im Kernprotokoll verbessert, wodurch Neustarts schneller erfolgen. Beim JIT-Cache-Bug dauerte es beispielsweise 5 Stunden, beim Turbine-Bug dagegen 9 Stunden.
• Sicherheit von Drittanbietern: Nach den Lieferkettenangriffen von 2024 verstärkt, etwa bei Cloudflare und npm.

Fazit

Solanas Sicherheitsgeschichte spiegelt die Herausforderungen einer Blockchain mit hohem Durchsatz und einem schnell wachsenden Ökosystem wider. Anwendungs-Exploits dominieren aufgrund von Schwachstellen in dApps. Lieferkettenangriffe und Schwachstellen im Kernprotokoll zeigen dagegen neue und systemische Risiken. Die Bruttoverluste belaufen sich auf insgesamt etwa ~600 Mio. $. Davon wurden durch Erstattungen, Wiedererlangung und Eingriffe der Protocols ~469 Mio. $ abgefedert. Daraus ergeben sich Nettoverluste von ~131 Mio. $, die hauptsächlich Nutzer trugen. Solanas Reaktion auf Sicherheitsvorfälle hat sich weiterentwickelt: Die Reaktionszeiten sind kürzer, Behebungsmaßnahmen robuster und Verbesserungen im gesamten Ökosystem umfassen gründliche Audits und Bountys. Strengere Audits, dezentrale Oracles und eine gehärtete Infrastruktur können anhaltende Lücken im Programmdesign, in der Oracle-Sicherheit und bei Drittanbieterabhängigkeiten schließen. Das stärkt Solanas Widerstandsfähigkeit und unterstützt das Ziel skalierbarer, sicherer Blockchain-Innovationen.