Deposit-Replay-Exploit der Ankr-Ethereum-Bridge

Am 9. November 2026 wurde die Ankr-Ethereum-Bridge um rund 303.600 US-Dollar erleichtert, als ein Angreifer eine winzige, bereits eingelöste Optimism-Einzahlung erneut abspielte, um fünf betrügerische Abhebungen zu autorisieren.

Was geschah

Ankrs Bridge ermöglicht es Nutzern, Liquid-Staking-Vermögenswerte von einer Chain zu verschieben und auf einer anderen abzuheben. Der Exploit missbrauchte den Umgang der Bridge mit bereits eingelösten Einzahlungen: Alle fünf betrügerischen Abhebungen bezogen sich auf eine einzige Optimism-Einzahlung vom 3. November, die nur 0,0044024803 ankrETH nach Ethereum bewegt hatte — einen Betrag, der noch am selben Tag auf Ethereum abgehoben worden war. Der Angreifer reichte diese verbrauchte Einzahlung erneut ein, jedes Mal mit veränderten Beleginformationen, und die Bridge wies den wiederverwendeten Beleg nicht ab, sondern autorisierte zwischen etwa 08:09 und 08:12 UTC fünf überdimensionierte Abhebungen an eine einzige Wallet. Die abgezogenen Vermögenswerte waren 82,91 ankrETH (~216.370 $), 515.206 ankrPOL (~56.372 $) und etwa 7,98 Millionen ANKR (~30.857 $), dazu nicht bepreiste aMATICb und aETHb. Die Sicherheitsfirma Blockaid meldete den laufenden Exploit gegen 08:42 UTC und schätzte zunächst rund 292.000 $ über die fünf Transaktionen; die Bewertung der drei bepreisten Token ergab eine Zahl nahe 303.600 $. Die Berichterstattung wich bei der Ursache voneinander ab: Einige Medien nannten einen kompromittierten Admin-Schlüssel, andere die Verifizierungslücke beim Deposit-Replay.

Nachwirkungen

Ankr gab nicht sofort eine öffentliche Stellungnahme ab, und das On-Chain-Pause-Flag der Bridge zeigte noch lange nach dem Abfluss false an, sodass unklar blieb, ob weitere Abhebungen eingedämmt worden waren. Zum Zeitpunkt der Berichterstattung wurden keine Mittel zurückgeholt. Der Vorfall reihte sich in eine lange Problemgeschichte von Ankrs Infrastruktur ein, die 2022 bereits getroffen wurde, als ein Infinite-Mint-Bug den aBNBc-Liquid-Staking-Token auf der BNB Chain zerstörte.

Warum es wichtig ist

Ankr ist ein klassisches Replay-Verifizierungsversagen einer Bridge — dieselbe Fehlerklasse, die es Angreifern erlaubt, Nachrichten oder Nachweise wiederzuverwenden, um Werte zu beanspruchen, die sie nie gebrückt haben. Nomad Bridge fiel 2022, als eine fehlerhafte Initialisierung jede Nachricht wiederabspielbar machte, und Bridges scheitern weiterhin überall dort, wo ein Einzahlungsbeleg nicht strikt an genau eine, nicht erneut einlösbare Abhebung gebunden ist. Dass eine staubkleine Einzahlung von 0,0044 ankrETH zu einem sechsstelligen Abfluss gedehnt werden konnte, unterstreicht, wie wenig ein Angreifer braucht, wenn eine Bridge eine Einzahlung nicht als verbraucht markiert. Selbst Verluste unter 1 Mio. $ untergraben das Vertrauen in Liquid-Staking-Bridges, bei denen Nutzergelder vollständig von der Buchhaltung abhängen, die eine Einzahlung auf einer Chain an genau eine Abhebung auf einer anderen bindet.