8 Mai 2026
Der jüngste Sicherheitsverstoß bei Hyperbridge, einer dezentralen Brücke zwischen dem Polkadot-Ökosystem und dem Ethereum-Netzwerk, hat in der Krypto-Community für erhebliche Beunruhigung gesorgt. Einem Angreifer gelang es, eine Milliarde unautorisierter DOT-Token zu generieren, die potenziell millionenschwere Gewinne ermöglicht hätten. Der tatsächliche Schaden beschränkte sich jedoch aufgrund mangelnder Liquidität zum Einlösen der gefälschten Token auf etwa 240.000 US-Dollar.
Obwohl der finanzielle Schaden relativ gering war, löste dieses Ereignis eine Schockwelle im Polkadot-Ökosystem aus und führte zu einem Kurssturz des DOT-Tokens nahe seinem historischen Tiefstand. Dies wirft wichtige Fragen hinsichtlich der Sicherheit von Cross-Chain-Zahlungssystemen und des Ausmaßes der damit verbundenen Risiken auf.
Sicherheitsexperten haben die Hyperbridge-Schwachstelle analysiert und festgestellt, dass sie auf die Art und Weise zurückzuführen ist, wie Smart Contracts eingehende Cross-Chain-Nachrichten validieren, bevor diese an das Token-Gateway weitergeleitet werden. Laut einem Bericht des Blockchain-Sicherheitsunternehmens BlockSec Phalcon liegt die Ursache in einer „Merkle Mountain Range (MMR) Proof-Replay-Schwachstelle“, einer kryptografischen Sicherheitslücke, die es Angreifern ermöglicht, alte, gültige Proofs wiederzuverwenden und sie an manipulierte Anfragen anzuhängen.
Der Kern des Verstoßes lag im fehlenden Validierungsmechanismus für die Eingaben innerhalb des VerifyProof() Funktion des Systems. Bei standardmäßigen Cross-Chain-Operationen muss eine Bridge die Authentizität einer Anfrage von einer Blockchain überprüfen, bevor sie auf einer anderen Blockchain Aktionen ausführt, wie beispielsweise das Prägen von Token. In diesem Fall hat der Hyperbridge-Smart-Contract die übermittelte Anfrage-Payload korrekt an den validierten Proof gebunden. Das System hat lediglich geprüft, ob ein Anfrage-Hash bereits verwendet wurde, ohne zu verifizieren, ob der Proof tatsächlich mit der zu authentifizierenden Nachricht übereinstimmt.
Durch Manipulation der Indexparameter konnte der Angreifer die Root-Berechnung des Systems vollständig umgehen. Dadurch war er in der Lage, eine gültige Cross-Chain-Nachricht zu fälschen, seine Berechtigungen auf die eines Verwahrers zu erweitern und den Smart Contract anzuweisen, 1 Milliarde DOT-Token auf Ethereum zu prägen.
Das mit der Ausgabe von einer Milliarde Token verbundene erhebliche Risiko wurde durch die Eigenschaften dezentraler Finanzsysteme (DeFi) abgemildert. Wenn Hacker Vermögenswerte stehlen, versuchen sie diese typischerweise in einem Liquiditätspool eines automatisierten Market Makers (AMM) gegen einen liquideren und stabileren Vermögenswert wie Ethereum oder einen Stablecoin einzutauschen.
In diesem Fall war der Bridged-DOT-Pool auf Ethereum relativ klein. Als der Angreifer versuchte, eine Milliarde gefälschter Token in den Pool einzuspeisen, um ETH zu erlangen, überforderte die massive Verkaufsorder sofort die verfügbare Liquidität. Infolgedessen senkte der Algorithmus, der die Verhältnisse neu ausbalancierte, den Preis für Bridged-DOT innerhalb von Millisekunden drastisch von 1,22 US-Dollar auf wenige Cent. Da der Markt die massive Order nicht zu stabilen Preisen aufnehmen konnte, war der Gewinn des Hackers stark begrenzt. Blockchain-Analysen von Arkham Intelligence ergaben, dass der Hacker lediglich ETH im Wert von etwa 240.000 US-Dollar aus dem DOT-Liquiditätspool extrahieren konnte. Wäre die Schwachstelle in einem größeren Pool oder mit einem wertvollen Bridged-Asset aufgetreten, wäre der finanzielle Schaden um ein Vielfaches höher gewesen.
Es mutet ironisch an, dass dieser Sicherheitsvorfall weniger als zwei Wochen nach einem Aprilscherz des Hyperbridge-Entwicklerteams auftrat, das von einem katastrophalen Angriff mit einem Schaden von 37 Millionen Dollar berichtete. Dieser fiktive Bericht, in dem böswillige Organisationen wie die norwegische Lazarus-Gruppe und sogar Quantencomputer erwähnt wurden, war humorvoll gehalten. Der Scherz betonte sogar, wie externe Prüfer angeblich versucht hatten, das Team zu warnen, die Entwickler aber durch die Feier eines persönlichen Meilensteins abgelenkt gewesen seien.
Diese Arroganz ist inzwischen verflogen, da die Protokolle abgeschaltet werden mussten. Parity Technologies, der Hauptentwickler des Polkadot-Ökosystems, hat die Federführung bei der Bearbeitung des Vorfalls übernommen. Das Unternehmen betonte, dass die Sicherheitslücke ausschließlich den Hyperbridge-Ethereum-Gateway-Smart-Contract betraf, wodurch der Kern des Polkadot-Netzwerks und die angeschlossenen Parachains vollständig geschützt blieben.
Die psychologischen Folgen des Sicherheitsvorfalls haben dem Polkadot-Token schwer zugesetzt, obwohl die zugrundeliegende Blockchain selbst nie kompromittiert wurde. Nach Bekanntwerden des Vorfalls fiel der DOT-Token laut Datenlage in den frühen asiatischen Handelsstunden um 5 % und schloss bei 1,14 US-Dollar, womit er fast sein historisches Tief von 1,13 US-Dollar erreichte. Seitdem befindet sich der Token in einer Abwärtsspirale und hat inmitten eines allgemeinen Rückgangs des Kryptomarktes und sinkenden Interesses von Privatanlegern an traditionellen alternativen Layer-1-Netzwerken rund 70 % an Wert verloren.
Für das Polkadot-Ökosystem stellt dieser Vorfall ein Worst-Case-Szenario in Bezug auf die Marktwahrnehmung dar. Obwohl Entwickler die technischen Unterschiede zwischen einem anfälligen Ethereum-Smart-Contract eines Drittanbieters und dem sicheren zentralen Polkadot-Netzwerk betonen, betrachten Privatanleger die Marke oft als monolithisch. Solange kettenübergreifende Infrastrukturen nicht das gleiche Sicherheitsniveau wie die zugrunde liegenden Blockchains erreichen, werden ähnliche Liquiditätsvorfälle weiterhin auftreten und das Vertrauen in den Markt insgesamt untergraben.
Der Hyperbridge-Vorfall legt eine anhaltende und systemische Schwachstelle im dezentralen Finanzwesen offen: Cross-Chain-Bridges sind von Natur aus anfällig. Im Web3-Ökosystem sind Bridges essenziell für die Infrastruktur. Sie ermöglichen die Kommunikation zwischen verschiedenen, voneinander getrennten Blockchains und bieten Nutzern so mehr Flexibilität, geringere Kosten und Zugang zu einer größeren Vielfalt dezentraler Anwendungen.
Damit diese Brücken funktionieren, müssen sie jedoch enorme Reserven an gesperrten Vermögenswerten auf der einen Seite vorhalten, um auf der anderen Seite entsprechende „Wund“-Vermögenswerte auszugeben. Da diese Protokolle im Wesentlichen als riesige Honeypots fungieren, die von komplexen Smart Contracts gesteuert werden, stellen sie das lukrativste Ziel für Cyberkriminelle dar. Sobald ein Hacker die privaten Schlüssel der Validatoren der Brücke kompromittiert oder, wie im Fall von Hyperbridge, eine Schwachstelle im Smart-Contract-Code ausnutzt, kann er die administrative Kontrolle erlangen und die zugrunde liegenden Vermögenswerte plündern oder unbegrenzte Mengen generieren.
Die Geschichte von Kryptowährungen ist geprägt von verheerenden Bridge-Angriffen. Im März 2022 wurde die für das Axie Infinity-Gaming-Ökosystem entwickelte Ronin Network Bridge um über 600 Millionen US-Dollar erleichtert – einer der größten Diebstähle in der Geschichte der Kryptowährungen. Später im selben Jahr wurde die BNB Chain Cross-Chain-Bridge Opfer einer Sicherheitslücke, die zur unautorisierten Schaffung von 2 Millionen BNB-Token im Wert von rund 566 Millionen US-Dollar führte. Weitere katastrophale Sicherheitsvorfälle sind der Wormhole-Hack mit einem Schaden von 321 Millionen US-Dollar und der Nomad-Bridge-Angriff mit einem Schaden von 190 Millionen US-Dollar.
Welche Konsequenzen hat der Hyperbridge-Verstoß für Investoren im Polkadot-Ökosystem?
Für Investoren wirft dieser Sicherheitsvorfall Bedenken hinsichtlich der Stabilität und Sicherheit kettenübergreifender Infrastrukturen auf. Obwohl der Kern des Polkadot-Netzwerks sicher blieb, könnte die wahrgenommene Anfälligkeit das Vertrauen von Privatanlegern untergraben und zu einer niedrigeren Bewertung des DOT-Tokens führen.
Wie kann sich das Polkadot-Ökosystem von diesem Sicherheitsvorfall erholen?
Die Erholung hängt von der Fähigkeit der Entwickler ab, die Brücke zu sichern und das Vertrauen zurückzugewinnen. Verbesserungen der Sicherheit von Cross-Chain-Systemen sind entscheidend, ebenso wie die Kommunikation mit den Stakeholdern hinsichtlich der Sicherheit der Polkadot-Kernstruktur.
Welche Bedeutung hat dieses Ereignis für den gesamten Sektor?
Der Vorfall verdeutlicht die Notwendigkeit verbesserter Sicherheitsmaßnahmen an Cross-Chain-Brücken und könnte zu einer umfassenderen Bewertung der Risiken im Bereich dezentraler Finanzen führen. Langfristig könnten daraus neue Standards und Richtlinien innerhalb des Sektors entwickelt werden, um die Schwachstellen zu beheben.
Bitcoin (BTC)
Ethereum (ETH)
XRP (XRP)
