MAPO-Token bricht nach massivem Exploit einer Cross-Chain-Bridge ein
Ein weiterer Sicherheitsvorfall erschüttert den Kryptomarkt: MAPO, der native Token des Map-Protocol-Ökosystems, ist nach einem Exploit rund um die Cross-Chain-Bridge von Butter Network stark abgestürzt. Angreifer konnten über die Schwachstelle eine extreme Menge neuer MAPO prägen – weit jenseits des regulären Umlaufs.
Berichten zufolge wurden über eine Verwundbarkeit in der Solidity-Smart-Contract-Schicht der Bridge rund eine Quadrillion MAPO-Token gemintet. Der Kurs fiel daraufhin innerhalb weniger Stunden von etwa 0,003 US-Dollar auf nahezu 0,0001 US-Dollar.
Die Blockchain-Sicherheitsfirma Blockaid teilte mit, der Angreifer habe über ein neu angelegtes externes Konto rund eine Milliarde MAPO in Uniswap-Liquiditätspools abgeladen und dabei etwa 52 ETH abgezogen – zum damaligen Zeitpunkt rund 180.000 US-Dollar. Trotz des bereits abgezogenen Volumens soll der Angreifer weiterhin knapp eine Billion MAPO kontrollieren. Das nährt die Sorge, dass zusätzliche dezentrale Börsen und Liquiditätspools – im Extremfall auch potenzielle Listings auf zentralisierten Börsen – unter Druck geraten könnten, falls die verbleibenden Token bewegt oder verkauft werden.
Der Vorfall fällt in eine ohnehin schwierige Phase für DeFi: In diesem Monat sollen mindestens 18 Protokolle von Hacks oder Exploits betroffen gewesen sein. Zu den jüngsten Opfern zählen unter anderem THORChain, Transit Finance, Echo Protocol, TrustedVolumes, die Ethereum-Bridge von Verus Protocol, Ekubo und RetoSwap.
Map Protocol erklärte später, die Ursache liege in der Solidity-Contract-Schicht und nicht in kompromittierten Private Keys oder fehlerhaften Light Clients. Laut Blockaid reichte der Angreifer zunächst eine legitime, per Oracle-Multisig signierte Nachricht ein, deployte anschließend einen bösartigen Contract an eine Zieladresse und sendete danach eine manipulierte Retry-Nachricht. Diese wirkte gültig, da sie dieselbe Hash-Struktur erzeugte, wodurch die Bridge die massive Token-Prägung autorisierte.
Als Reaktion setzte Map Protocol den Mainnet-Betrieb aus und kündigte einen Migrationsprozess an, während die Untersuchung weiterläuft. Butter Network stoppte zudem ButterSwap, betonte aber, dass Nutzervermögen nicht unmittelbar gefährdet sei. In Kürze solle eine neue Contract-Adresse veröffentlicht werden; außerdem sei ein späterer Asset-Snapshot geplant, um die Token-Migration zu unterstützen. Token aus vom Angreifer kontrollierten Wallets sollen ungültig werden und von künftigen Umtauschvorgängen ausgeschlossen sein.
