Autheo THEO: Ungedeckte Cross-Chain-Prägung

Am 12. Oktober 2026 wurde Autheo, das Projekt hinter dem THEO-Utility-Token, auf Base von einem mutmaßlichen Bridge-Exploit getroffen, bei dem ein Angreifer ungedeckte Token prägen und für etwa 1,76 Millionen US-Dollar in ETH abstoßen konnte — THEO fiel binnen eines Tages um rund 92 %.

Was geschah

THEO wird auf Base als HypERC20-Cross-Chain-Token ausgegeben, das heißt, sein Angebot auf Base soll eins zu eins durch auf der Ursprungs-Chain gesperrte Token gedeckt und nur nach einer validierten Cross-Chain-Nachricht freigegeben werden. Laut dem On-Chain-Monitor Defimon Alerts führte der Angreifer stattdessen eine „ungedeckte Cross-Chain-Prägung" durch: BaseScan protokollierte das Prägen von 19 Millionen THEO um 13:06 Uhr ET über einen Aufruf der process-Funktion an der Cross-Chain-Mailbox des Tokens, ohne entsprechende Sperre auf der Ursprungs-Chain.

Defimon identifizierte das Sicherheitsmodul der Route als TrustedRelayerIsm, eine Konfiguration, die eine Nachricht als gültig akzeptiert, wenn sie von einem einzigen vertrauenswürdigen Relayer statt von einem Quorum von Validatoren bestätigt wird. Berichten zufolge konnte der Angreifer die Prägenachricht über diesen Einzel-Relayer-Vertrauenspfad einschleusen, auch wenn Autheo nicht bestätigt hat, wie genau die Prägung autorisiert wurde. Der Angreifer warf das frisch geprägte Angebot dann in den flachen Hydrex-Integral-Pool THEO/USDC auf Base — rund 9,5 Millionen THEO wurden in einer Transaktion für etwa 189 ETH verkauft — und laut PeckShield wurden die Erlöse von insgesamt rund 700,8 ETH (~1,76 Mio. USD) von Base auf das Ethereum-Mainnet gebrückt. THEO fiel von etwa 0,08 USD auf rund 0,006 USD, ein Rückgang von etwa 92,4 %.

Folgen

Autheo bestätigte den Vorfall noch am selben Tag und teilte den Inhabern mit: „Kauft, verkauft oder bridget THEO nicht", bis eine offizielle Entwarnung erfolgt, und warnte vor verdächtigen Links, unaufgeforderten Wiederherstellungsangeboten und der Weitergabe von Seed-Phrasen. Die Börse MEXC stoppte am 13. Oktober die THEO-Transfers, während die Untersuchungen liefen. Zum Zeitpunkt der Abfassung waren keine Mittel wiederbeschafft, kein Angreifer identifiziert, und die Zahlen blieben vorläufige On-Chain-Schätzungen; ein Forscher behauptete eine weit größere Prägung von rund 119 Millionen THEO, doch die Zahl von 19 Millionen teilen die meisten Quellen.

Warum es wichtig ist

Der Vorfall ist ein Musterbeispiel für das Scheitern eines Einzel-vertrauenswürdiger-Relayer-Cross-Chain-Designs: Prägt eine Bridge gewrapptes Angebot auf das Wort eines einzigen Bestätigers hin, erzeugt das Kompromittieren oder Missbrauchen dieses einen Pfads Token ohne jegliche Deckung. Es erinnert an die Qubit-Finance-Bridge, bei der eine Lücke in der Einzahlungsvalidierung das Prägen ungedeckter Sicherheiten erlaubte, und an den Wormhole-Exploit, bei dem ein Umgehen der Signaturprüfung 120.000 ungedeckte wETH prägte. Die Schwäche der Vertrauenswurzel erinnert auch an Nomad, dessen fehlerhafte Nachrichtenprüfung jeden kopierten Aufruf in eine gültige Abhebung verwandelte. Wie bei der Gala-Games-Prägung entstand der Schaden nicht durch gestohlene Einlagen, sondern durch gefälschtes Angebot, das in dünne Liquidität verkauft wurde, bevor der Markt reagieren konnte.