Über die Bitcoin-Bridge des Cross-Chain-Protokolls Symbiosis hat ein Angreifer am 11. September mit einer Einzahlung von 330 Satoshi rund 46,1 Milliarden ungedeckte syBTC-Token erzeugt. Der vorläufige Schaden liegt bei 9,97 Bitcoin, das entspricht rund 770.000 US-Dollar. Die Bridge ist seitdem abgeschaltet. Ausschlaggebend waren zwei Fehler im Code, die erst zusammen wirkten. Die Bridge prüfte nach dem Post-mortem des Projekts vom 14. September das falsche Feld einer Transaktion und behandelte den Angreifer dadurch zugleich als Einzahler und als Administrator. Der zweite Fehler steckte in der Gebührenberechnung: Eine negative Gebühr wurde nicht abgezogen, sondern addiert, sodass sich der hinterlegte Betrag beliebig vergrößern ließ. In der Summe genügten deshalb 330 Satoshi, umgerechnet rund 25 US-Cent, um in etwa vier Minuten 46,1 Milliarden ungedeckte syBTC zu erzeugen, mehr als das Zweitausendfache der maximalen Bitcoin-Menge von 21 Millionen Stück. Der vorläufige Schaden liegt bei 9,97 Bitcoin. Den Schaden tragen zunächst die Liquiditätsgeber der Bridge. Auszahlungen in Bitcoin an den Angreifer kamen nach Darstellung des Projekts nie zustande; rund 15,2 Bitcoin aus den Beständen der Bridge wurden innerhalb weniger Stunden auf Reserveadressen verschoben und liegen dort unangetastet. Aus diesen Mitteln und über individuelle Vereinbarungen mit den Liquiditätsgebern will Symbiosis die Verluste ausgleichen. Die Bitcoin-Bridge bleibt offline, bis die Software neu geschrieben und unabhängig geprüft wurde; zusätzlich hat das Projekt einen Audit des gesamten Systems in Auftrag gegeben. Betroffen war nach eigenen Angaben ausschließlich die Bitcoin-Bridge, nicht die übrigen Verbindungen.
Warum Bridges die schwächste Stelle im Cross-Chain-Verkehr sind
Eine Bridge verbindet zwei Blockchains, die technisch nichts voneinander wissen. Sie sperrt eine Einzahlung auf der einen Kette und gibt auf der anderen Kette einen Vertreter-Token aus, hier syBTC für hinterlegte Bitcoin. Damit dieses Versprechen hält, muss die Bridge zwei Dinge korrekt prüfen: ob die Einzahlung wirklich stattgefunden hat und wer sie ausgelöst hat. Genau an dieser Prüfung setzte der Angriff an. Fällt die Zuordnung der Rechte aus, lässt sich der Vertreter-Token ohne echte Deckung erzeugen. Der Markt merkt das erst, wenn jemand die ungedeckten Token verkauft. Weil Bridges Werte in großem Umfang binden, gehören sie seit Jahren zu den bevorzugten Zielen.
Was der Vorfall für Anleger mit Beständen in Vertreter-Token bedeutet
Wer Bitcoin über eine Bridge auf eine andere Kette gebracht hat, hält dort keinen Bitcoin, sondern einen Anspruch darauf. Dieser Anspruch ist nur so viel wert wie die Deckung und der Code der Bridge. Fällt beides aus, hilft auch eine eigene Wallet nicht weiter. Für Betroffene heißt das konkret:
- Handel ausgesetzt: syBTC lässt sich derzeit nicht handeln, weil die Bridge abgeschaltet ist.
- Entschädigung ohne Zeitplan: Das Projekt hat einen Ausgleich zugesagt, aber keinen Termin genannt. Für Liquiditätsgeber bleibt offen, wann und in welcher Höhe sie ihre Mittel zurückerhalten.
- Prüfkriterien für die Zukunft: unabhängiger Audit, Höhe der hinterlegten Deckung, Existenz eines Entschädigungsfonds.
Wer Bitcoin hält und ihn nicht auf einer anderen Kette einsetzen muss, geht mit einer Bridge ein zusätzliches Risiko ein, das mit dem Kurs nichts zu tun hat. Hintergründe zur Funktionsweise nicht verwahrter Handelsplätze finden Sie in unserem Ratgeber zu dezentralen Börsen, aktuelle Notierungen auf unserer Kursseite. Am Gesamtmarkt blieb der Vorfall ohne messbare Wirkung: Die Bewegung der vergangenen 24 Stunden geht auf die gescheiterte Abstimmung über den CLARITY Act im US-Senat zurück, nicht auf den Angriff.
Bitcoin lässt sich ohne Umweg über eine Bridge unter anderem bei eToro handeln. Weitere Handelsplätze im Krypto-Börsen Vergleich.
