Alephium-TokenBridge: Angriff leert in sieben Minuten 815.000 US-Dollar

Beim TokenBridge-Protokoll von Alephium (ALPH) sind nach Angaben des Teams rund 815.000 US-Dollar abgezogen worden. Der Angreifer nutzte eine Schwachstelle aus, durch die gefälschte Nachrichten das Guardian-Netzwerk passieren konnten und so betrügerische Token-Transfers autorisiert wurden. Alephium zufolge erkannte das Blockchain-Sicherheitsunternehmen Blockaid den Vorfall als erstes. Unterstützung habe zudem die Incident-Response-Einheit SEAL_911 der Security Alliance geleistet. Der Abfluss erfolgte demnach in weniger als sieben Minuten und betraf die Bridge auf Ethereum und der BNB Chain. Auf Ethereum wurden 200.967 Tether (USDT), 17.594 USD Coin (USDC), 5,18 Wrapped Ether (WETH) und 0,335 Wrapped Bitcoin (WBTC) entwendet. Auf der BNB-Chain-Seite kamen weitere 36.750 USDT sowie 24,386 Wrapped BNB hinzu. Zusätzlich prägte der Angreifer 13,76 Millionen nicht gedeckte Wrapped-ALPH und transferierte sie direkt in die eigene Wallet. Alephium hat die Bridge abgeschaltet und prüft nach eigenen Angaben alle Optionen, um betroffene Nutzer zu entschädigen. Der Vorfall verschärft den ohnehin angespannten Lagebericht für Crosschain-Infrastruktur im Jahr 2026. Die Verluste durch Krypto-Hacks beliefen sich im April auf 606 Millionen US-Dollar; auch die DeFi-Hack-Summe im Mai stieg weiter, während der Juni näher rückt. In die Jahresbilanz flossen zudem ein CrossCurve-Bridge-Exploit und ein Hyperbridge-Exploit ein, beide nachträglich auf jeweils 2,5 Millionen US-Dollar beziffert. Im Fokus der Untersuchung steht die Frage, ob kompromittierte Schlüssel oder manipulierte Nachrichten die Ursache waren. Die Alephium TokenBridge basiert auf einem Fork des Wormhole-Protokolls, das Crosschain-Nachrichten über ein Guardian-Netzwerk validiert. Transfers müssen von einem Quorum an Guardians signiert werden; die Möglichkeit, betrügerische Nachrichten einzuschleusen, gilt deshalb als besonders gravierende Schwachstelle. Erste Berichte hatten die Attacke zunächst kompromittierten privaten Guardian-Schlüsseln zugeschrieben und Parallelen zum Gravity-Bridge-Vorfall gezogen, der Anfang 2026 Schäden von 5,4 Millionen US-Dollar verursachte. Alephium widerspricht dieser Einordnung in einem Post-Incident-Update: "Der Exploit scheint nicht mit einer Kompromittierung privater Guardian-Schlüssel verbunden gewesen zu sein. Stattdessen scheint er es ermöglicht zu haben, dass gefälschte, bösartige Events/Nachrichten von Guardians beobachtet und signiert wurden", erklärte das Team. Der Unterschied ist entscheidend: Ein Schlüsselkompromiss deutet auf operative Sicherheitsprobleme hin, ein Forged-Message-Angriff eher auf Defizite bei der Validierung eingehender Daten, bevor diese den Guardians zur Signatur vorgelegt werden. Ein ähnliches Muster zeigte sich beim Polkadot-Bridge-Exploit, bei dem Transaktionen betrügerisch validiert und nicht gedeckte Token gemintet wurden. Alephium kündigte einen vollständigen technischen Postmortem-Bericht an.