ALEX Lab Bridge Exploit

Am 15. Mai 2024 verlor ALEX Lab — eine auf der Stacks-Blockchain aufgebaute Bitcoin-DeFi-Plattform — etwa 4,3 Millionen US-Dollar, als seine Cross-Chain-Bridge-Infrastruktur ausgenutzt wurde. Das On-Chain-Muster passte zu Lazarus-TTPs der Zeit, und das Projekt schrieb den Angriff öffentlich Lazarus zu auf Basis der Wäschestrecke.

Was geschah

ALEX Lab bot Cross-Chain-Liquidität zwischen Bitcoin (über die SBTC-Bridge von Stacks) und verschiedenen ERC-20-Wrappern. Die Kompromittierung richtete sich gegen die Verifikationslogik der Bridge-Komponente, die Cross-Chain-Abhebungen autorisierte.

Der exakte Vektor wurde nicht vollständig öffentlich detailliert — ALEX Labs Vorfallsoffenlegungen konzentrierten sich auf die operative Reaktion statt auf die technische Ursache. Aus den On-Chain-Hinweisen erlangte der Angreifer die Fähigkeit, gebrückte Assets ohne entsprechende Einlagen abzuheben, entwendete rund 4,3 Mio. USD über mehrere Tokens und leitete die Erlöse über Cross-Chain-Bridges in anonymisierende Pfade, die mit Lazarus' Standard-Playbook konsistent sind.

Folgen

• ALEX Lab pausierte die Bridge und bot dem Angreifer eine 10%-White-Hat-Bounty für die Rückgabe der Mittel an. Keine Rückgabe.
• Das Protokoll kündigte einen aus Protokolleinnahmen und Team-Reserven finanzierten Entschädigungsplan an; Rückerstattungen wurden in den Monaten nach dem Vorfall verarbeitet.
• Ein weiterer Exploit traf ALEX Lab im Juni 2025 (8,3 Mio. USD, Ausnutzung einer Lücke in der Self-Listing-Verifikationslogik) — ein Jahr später, mit einer anderen Bug-Klasse.

Warum es wichtig ist

ALEX Lab war einer der wenigen großen Vorfälle 2024 auf einer Bitcoin-nahen L2 (Stacks) und illustriert, dass sich die Sicherheitsherausforderungen des Cross-Chain-Bridgings nicht stark ändern, wenn ein Endpunkt Bitcoin ist: Die Bridge-Verträge leben weiterhin auf einer Smart-Contract-Chain, die Verifikationslogik muss weiterhin wasserdicht sein, und ein kompromittierter Signer oder eine fehlende Prüfung entzieht weiterhin echte Mittel.

Die Lazarus-Zurechnung bestätigte auch das bei Atomic Wallet, Stake.com und vielen anderen dokumentierte Muster: Mittelgroße DeFi-/Wallet-/Bridge-Vorfälle im Bereich 4-50 Mio. USD waren in den Jahren 2023-2024 überproportional Lazarus-Operationen, oft parallel zu viel größeren CEX-fokussierten Angriffen wie DMM Bitcoin und WazirX laufend.