Poly-Network-Hack: „I was planning to launch a cool Blitzkrieg…“

War der größte bekannte Einbruch in ein dezentrales Finanzsystem ein Insider-Job, wie zunächst vermutet, ein krimineller Hack, der von der vereinten Krypto-Szene vereitelt wurde, oder tatsächlich lediglich eine Demonstration, die von vornherein mit der Rückgabe der Beute enden sollte? Nur langsam kommt Licht ins Dunkel – aber immerhin sind bereits mehr als die Hälfte der Krypto-Assets zurück.

Als Poly Network eingestehen musste, dass die Konten zehntausender Kunde leergeräumt wurden, gab es schnell die Vermutung, dass nur ein Insider in der Lage gewesen sein könnte, die Sicherungsmechanismen der Plattform auszuhebeln. Denn immerhin handelte es sich um den bislang größten bekannten Hack einer Krypto-Plattform mit einer Beute im Wert von mehr als 611 Mio. US-Dollar.

Doch inzwischen ist klar, dass die verwendete Technologie von Poly Networks eine systemimmanente Schwachstelle aufwies, die der oder Hacker ausgenutzt haben. Laut einer Analyse von SlowMist, dem Krypto-Security-Unternehmen, das auch Spuren zu den Hackern sichergestellt haben will, nutzten die Verantwortlichen codebasierte Beziehungen zwischen Funktionen im Smart Contract, um den onlyOwner-Modifikator im Sicherheitsprotokoll zu umgehen, der normalerweise den öffentlichen Zugang zu den für den Diebstahl verwendeten Funktionen einschränkt. So gelang es, die Bedingungen der Smart Contracts zu überschreiben und den Krypto-Assets neue Konten zuzuweisen.

„Offener Tunnel in die Bank von England“

Für David Janczewski, Mitbegründer und CEO von Coincover, zeigt der Poly-Network-Hack eine neue Qualität:

„Krypto-Investoren und Aufsichtsbehörden sollten sich darüber Sorgen machen, dass es sich nicht um einen Hack im herkömmlichen Sinne handelt, bei dem sich jemand unbefugten Zugang verschafft. Es scheint sich um einen Exploit zu handeln, bei dem ein Nutzer öffentlichen Code ausführt, um eine unentdeckte Sicherheitslücke auszunutzen.“

David Janczewski, Coincover

Janczewski verweist darauf, dass keine privaten Schlüssel geknackt oder Code manipuliert werden musste, um Zugang zu erhalten. Vielmehr sei es so, als hätte man beim Bau der Bank von England einen direkten Tunnel in den Tresorraum offen gelassen, so dass die Diebe die Schätze rauben können, ohne ein Schloss zu knacken oder Mauern durchbrechen zu müssen. Das sei der Preis der Innovation, der bis zu einem gewissen Grad zu zahlen sei. Jedoch müssten die Schutzmaßnahmen über die Sicherheitsoptionen von Smart Contracts hinausgehen, sonst sei das Vertrauen in dezentrale Finanzplätze gefährdet – und damit die Akzeptanz der Anleger.

„Transparenz siegt über Kriminalität“

Ganz anders dagegen die Sichtweise der globalen Blockchain-Datenplattform Chainalysis auf den Poly-Network-Hack. Deren Experten haben in ihrem Blog zum Poly-Network-Hack zahlreiche Details zusammengetragen. In ihrem Fazit kommen sie zum Schluss, dass anders als bei Fiat-Geld der Diebstahl von Krypto-Assets wesentlich schwieriger sei. Denn die wachsende, hoch engagierte Kryptowährungs-Community steigere ständig die Macht der Transparenz von Kryptowährungen, da jedermann die Transaktionen von Kryptowährungen auf öffentlichen Blockchains einsehen kann. Wie sollte ein Hacker unter den Augen der gesamten Branche mit seiner Beute noch entkommen können? Im besten Falle blieben die Täter unentdeckt, die Krypto-Assets jedoch eingefroren.

Baut der Hacker an seiner eigenen Legende?

Angeblich handelt es sich um einen einzelnen Hacker, der nie vorhatte, die erbeuteten Krypto-Assets zu behalten. Er habe die Coins und Tokens sicherstellen wollen und zugleich dafür Sorge getragen, dass die Risiken einer Plattform wie Poly Network öffentlich werden. Hätte er das Unternehmen lediglich informiert, wäre das Leck möglicherweise still und heimlich geschlossen worden.

Das zumindest teilt er dem bestohlenen Unternehmen und der Öffentlichkeit in seinen Anmerkungen mit, die den Rückübertragungen der Krypto-Werte beigefügt sind. Chefentwickler und Mitbegründer von Elliptic, einem Anbieter von Lösungen zur Nachverfolgung von Krypto-Assets, hat auf Twitter ein mehrseitiges Q&A aus den Hacker-Nachrichten zusammengetragen. Dort heißt es beispielsweise:

„I was planning to launch a cool blitzkrieg to take over the four network: ETH, BSC, Polygon & Heco. However the Heco network goes wrong! The relayer does not behave like the others, a keeper just relayed my exploit directly, and the key was updated to some wrong parameters. It ruined my plan.“

Inzwischen wurde bereits mehr als die Hälfte der erbeuteten Coins und Token zurückgegeben. Ob der Täter tatsächlich ein „weißer“ Hacker war, der lediglich auf Sicherheitslücken aufmerksam machen wollte, oder ob es doch der Druck der Verfolgung durch Sicherheitsforscher und die gesammelte Krypto-Gemeinde war, die ihn zur Aufgabe bewog, lässt sich derzeit kaum abschätzen. hj