Exploit auf Alephium TokenBridge von Ethereum: 815.000 US-Dollar in sieben Minuten abgezogen

Fünf Monate nach Beginn des Jahres 2026 reißen die Angriffe auf Krypto-Infrastruktur nicht ab. Das Blockchain-Sicherheitsunternehmen Blockaid meldete am 30. Mai eine neue Schwachstelle, die die Alephium TokenBridge auf Ethereum traf. Laut Analyse nutzten die Täter drei von vier kompromittierten Guardian-Keys, um gefälschte VAAs (Verified Action Approvals) zu signieren und innerhalb von sieben Minuten rund 815.000 US-Dollar abzuziehen. Die Alephium TokenBridge verbindet Ethereum mit der Alephium-Blockchain. Beim Wechsel von Alephium nach Ethereum wird ALPH auf der Ursprungsseite gesperrt, auf Ethereum wird im Gegenzug eine Wrapped-Version (wALPH) geprägt. Bevor das Minting freigegeben wird, bestätigen drei Guardians, dass die Sperre tatsächlich erfolgt ist. Für die Freigabe von Cross-Chain-Transfers verlangt das System zudem Guardian-Signaturen: Drei der vier Guardians müssen eine Nachricht signieren, damit die Bridge sie akzeptiert. Im vorliegenden Fall gelangten Angreifer offenbar an die privaten Schlüssel von drei Guardians. Mit diesen Schlüsseln erzeugten sie täuschend echte Bridge-Nachrichten (VAAs), die vom System als legitim eingestuft wurden. Neben dem Minting von ALPH enthielten die gefälschten VAAs auch Anweisungen, bereits gesperrte Vermögenswerte freizugeben. Dadurch wurden Tether (USDT), USD Coin (USDC), Wrapped Bitcoin (WBTC) und Wrapped Ether (WETH) entsperrt, weil die Bridge von gültigen Abhebungen ausging. Ohne eine echte ALPH-Einzahlung prägten die Täter 13,76 Millionen wALPH. Blockaid zufolge überstieg das mehr als 100% des zuvor verfügbaren Wrapped-Angebots. Damit wurden faktisch ALPH-gestützte Assets in großem Umfang "aus dem Nichts" erzeugt. Der Vorfall erinnert an den Wormhole-Bridge-Exploit, bei dem ebenfalls nicht collateral-besicherte Assets durch gefälschte Bridge-Nachrichten geschaffen wurden. Er folgt zudem auf einen jüngsten Angriff auf die VerusEthereum-Bridge, bei dem etwa 11,58 Millionen US-Dollar abflossen. Zusammengefasst: Durch drei kompromittierte Guardian-Keys wurden in sieben Minuten 815.000 US-Dollar entwendet, zudem entstanden 13,76 Millionen wALPH ohne tatsächliche ALPH-Hinterlegung.