BounceBit Chain nach Protokoll-Exploit dauerhaft gestoppt – Migration als BEP-20-Token auf BNB Chain

BounceBit, ein Cross-Chain-Yield-Protokoll, hat einen Sicherheitsvorfall gemeldet: Zwischen dem 19. August, 21:02 UTC, und dem 20. August, 01:54 UTC, wurde das Netzwerk von BounceBit Chain durch einen Angriff auf Protokollebene kompromittiert. Ausgenutzt wurde ein Autorisierungsfehler in der Evmos-Basisarchitektur, wodurch der Angreifer BB-Token aus neun Mainnet-Konten ohne Zustimmung der Eigentümer abziehen konnte. Nach Angaben des Teams wurden über 14 Transaktionen rund 286,5 Mio. BB verlagert. Betroffen war ausschließlich BounceBit Chain. Private Keys, Signaturen, Wallets, Hardware-Geräte oder die Sicherheit von Exchange-Konten seien nicht kompromittiert worden. Unverändert blieben auch die Produkte CeDeFi Strategy, Promo Vaults, Prime und RWA. Ursache war laut BounceBit eine fehlerhafte Autorisierungsprüfung in einem nativen Protokollmodul innerhalb der Evmos-Architektur. Beim Aufruf des betroffenen Moduls per Smart Contract konnte der Angreifer die Sicherheitsprüfung umgehen, die die Berechtigung des Quellkontos hätte verifizieren müssen, und so beliebige Konten als Mittelquelle angeben. Als Reaktion stoppte BounceBit Chain die Blockproduktion bei Blockhöhe 20.702.857. Statt eines Chain-Upgrades entschied sich das Team für die dauerhafte Abschaltung von BounceBit Chain und die Neuemission von BB als BEP-20-Token auf der BNB Chain. Die Verteilung des neuen BB basiert auf einem On-Chain-Snapshot vor der ersten auffälligen Transaktion (Blockhöhe 20.697.260). Die vom Angreifer entwendeten 286.543.148 BB werden nicht in die neuen Token-Bestände übernommen. Nutzer müssen keine Anträge stellen und keine Wallets manuell migrieren; die offiziellen Pläne sehen eine automatische Zuteilung der neuen BB-Token an die entsprechenden BNB-Chain-Adressen vor. Für gestakte BB bestätigte BounceBit, dass die Bestände auf den Snapshot-Zeitpunkt wiederhergestellt werden; ein Unbonding oder eine Einlösung durch die Inhaber ist nicht erforderlich. Zudem wurden bei relevanten Börsen Anträge gestellt, Vermögenswerte einzufrieren und Unterstützung zu leisten. Nutzer sollen wachsam bleiben und sich vor Betrugsversuchen schützen: Keine nicht verifizierten Links zur BB-Migration oder zum "Claim" anklicken. Die Contract-Adresse des neuen BEP-20-BB sowie der Fortschritt der Neuemission sollen zu einem späteren Zeitpunkt veröffentlicht werden.