AlpsCon-Belohnungsraub über Test-Schlüssel auf Whitelist

Am 18. Oktober 2026 wurde der Belohnungspool von AlpsCon AI Trade Hub, einer Staking- und Belohnungsplattform auf BNB Chain, um etwa 152.000 $ geleert, nachdem ein Angreifer eine Staking-Whitelist, die noch einen öffentlich bekannten Test-Schlüssel enthielt, mit einem Fehler in der Verbuchung früherer Einzahlungen durch den neuen Belohnungsvertrag des Projekts kombiniert hatte.

Was geschah

AlpsCons Whitelist zum Staken und Beanspruchen von Belohnungen enthielt noch das Standard-Testkonto #0 von Hardhat/Anvil (0xf39f…2266), dessen privater Schlüssel in der Entwicklerdokumentation veröffentlicht und jedermann bekannt ist. On-Chain-Daten zeigen, dass die Adresse am 24. August 2025 in einer Stapelregistrierung hinzugefügt und rund 14 Monate lang belassen wurde. Da der Schlüssel öffentlich ist, konnte der Angreifer nach Belieben als Wallet auf der Whitelist agieren.

Die zweite Zutat war ein Buchungsfehler. AlpsCons neuer Belohnungsvertrag behandelte eine Sekunden zuvor in den alten Hub-Vertrag getätigte Einzahlung so, als habe sie von Anfang an bestanden, und zahlte die entsprechenden „früheren" Belohnungen in voller Höhe aus. Der Angreifer verkettete beide Schwächen:

1. Nutzte den öffentlichen Test-Schlüssel, um eine EIP-7702-Delegation zu signieren, sodass Angriffscode als Wallet auf der Whitelist ausgeführt wurde.
2. Nahm einen Flash-Loan von etwa 1,03 Millionen USDC auf und kaufte ALPS-Token.
3. Stakte die ALPS in den alten Hub-Vertrag, der weiterhin Einzahlungen annahm.
4. Der neue Belohnungsvertrag zahlte etwa 355.000 USDC aus und leerte damit den Haupt-Belohnungspool.
5. Löste das Staking auf, verkaufte die ALPS, zahlte den Flash-Loan zurück und ging mit rund 152.000 $ davon.

Nachwirkungen

Der gesamte Angriff wickelte sich innerhalb einer einzigen Transaktion ab (0x824b…5fc2). Der Deployer entfernte das Testkonto am 18. Oktober 2026 um 11:40 UTC von der Whitelist, etwa fünf Stunden nach dem Angriff, doch zu diesem Zeitpunkt war der Belohnungspool bereits leer. Zum Zeitpunkt der ersten öffentlichen Analysen — on-chain von Defimon markiert und in einer Community-Aufarbeitung dokumentiert — hatte AlpsCon keine offizielle Stellungnahme veröffentlicht und keine Rückgewinnung von Mitteln angekündigt. Eine Identität des Angreifers wurde nicht festgestellt; die Beute verblieb in vom Angreifer kontrollierten Wallets.

Warum es zählt

AlpsCon erinnert daran, dass in Produktion belassene Test-Fixtures lebende Schlüssel sind, keine Platzhalter. Das Hardhat-Standardkonto ist einer der bekanntesten privaten Schlüssel in der Ethereum-Entwicklung, und seine Präsenz auf einer Belohnungs-Whitelist verwandelte eine Bequemlichkeit in eine offene Tür. Der Vorfall zeigt auch, wie eine harmlos wirkende Buchungsabkürzung — eine frische Einzahlung mit historischen Belohnungen zu verrechnen — in dem Moment katastrophal wird, in dem ein Angreifer die Zugangsprüfung kostenlos erfüllen kann, hier über eine EIP-7702-Delegation, finanziert durch einen Flash-Loan. Er reiht sich in eine Serie von BNB-Chain-Verlusten im Oktober 2026 ein, etwa 79th Vault, und erinnert an die Belohnungs- und Anteils-Buchungsfehler in Smart-Contract-Exploits wie UNCX Network: Lässt sich die Mathematik, die Belohnungen prägt, manipulieren, hilft keine noch so nominelle Zugangskontrolle, wenn die Kontrolle selbst falsch konfiguriert ist.