b14g-Staking-Exploit über Null-Abhebungen

Am 31. Oktober 2026 wurden dem Restaking- und Yield-Protokoll b14g — aufgebaut auf Core und Babylon — rund 97 Millionen CORE entwendet, zum Vorangriffskurs etwa 1,47 Millionen Dollar wert, nachdem ein Angreifer ausnutzte, wie das Protokoll Abhebungsanfragen an das Staking-System von Core weiterleitete. Es gab keinen gestohlenen Schlüssel und keine Orakelmanipulation: Der Verlust ging auf eine Smart-Contract-Logiklücke zurück, ausgelöst durch eine Abhebung von null Token.

Was geschah

Ab 09:29 UTC reichte der Angreifer laut Bitquery-Analyse 99 Abhebungsanfragen über null Token gegen Staking-Positionen ein, die er nie finanziert hatte. Der Staking-Contract von Core interpretiert eine Null-Token-Abhebung Berichten zufolge als Anweisung, das gesamte gestakte Guthaben freizugeben, und der Contract von b14g leitete die fehlerhaften Anfragen direkt durch. In einer einzigen Transaktion leerte der Angreifer 91 Staking-Positionen und sammelte insgesamt 97.045.563 CORE ein. b14g pausierte die betroffenen Contracts um 10:35 UTC, etwa 66 Minuten später, doch in diesem Fenster hatte der Angreifer bereits rund 23 Millionen CORE über frische Adressen geleitet. Core DAO betonte, dass die Basisschicht nie kompromittiert wurde: Konsens, Validatoren und direkt bei Validatoren gestaktes CORE liefen normal, und über das Protokoll gestaktes Bitcoin blieb zeitgesperrt und unangetastet — die Schwachstelle lebte vollständig in der Integrationsschicht von b14g.

Folgen

Die Wiedererlangung war für einen DeFi-Exploit ungewöhnlich umfangreich. Am 2. November führte Core einen Hard Fork durch, der 68.146.177,22 CORE — rund 70% der gestohlenen Summe — aus drei angreiferkontrollierten Adressen in eine Wiederherstellungsadresse verschob; Core DAO betonte, die einmalige Zustandsanpassung habe keine Transaktionen rückgängig gemacht, keine Token geprägt und die Gesamtmenge von CORE nicht verändert. Zudem berichtete b14g, dass Börsenpartner rund 9 Millionen CORE mit Bezug zum Angreifer eingefroren hätten, wobei Gelder über Intermediäre mit Verbindungen zu Bybit, Gate.io und MEXC nachverfolgt wurden. Eine mit „b14g Team" signierte Nachricht bot dem Angreifer später eine Belohnung von 10% für die freiwillige Rückgabe des Rests an und setzte eine Frist bis zum 6. November. Ein vollständiger Post-Mortem und ein Entschädigungsplan für Nutzer standen zum Zeitpunkt der Berichterstattung noch aus.

Warum es wichtig ist

Der b14g-Exploit ist ein eindrückliches Beispiel für eine Vertrauenslücke in der Komponierbarkeit: Ein sicher wirkendes Basisprotokoll (das Staking-System von Core) verhielt sich genau wie vorgesehen, doch eine darauf aufbauende Integration leitete eine Grenzfall-Eingabe weiter — eine Abhebung über null — die Guthaben freischaltete, die dem Aufrufer nie gehörten. Das erinnert an andere Logikfehler bei Restaking und Vaults wie KelpDAO und Premia, bei denen das Geld nicht durch gebrochene Kryptografie, sondern durch eine ungeprüfte Annahme an einer Contract-Grenze verloren ging. Der Vorfall zeigt zudem selten deutlich, dass eine L1 den Großteil gestohlener Gelder über einen koordinierten Hard Fork zurückholen kann, wenn die Beute untätig in nachverfolgbaren Wallets liegt.