Gala Games Admin-Mint

Am 20. Mai 2024 mintete ein Angreifer 5 Milliarden GALA-Tokens — nominal 216 Millionen $ zum Marktpreis — aus einer dormanten MINTER-Rolle im Gala-Token-Contract, die über 180 Tage nicht genutzt worden war. Der Angreifer verkaufte 592 Millionen Tokens für 21,8 Mio. $ in ETH, bevor Gala Games die Adresse blacklistete; die verbleibenden 4,4 Mrd. Tokens waren gestrandet.

Was geschah

Der GALA-Token-Contract auf Ethereum stellte eine MINTER-Rolle bereit, die neue Tokens erzeugen konnte. Gala Games hatte diese Rolle im Laufe der Contract-Historie mehreren administrativen Adressen gewährt. Eine dieser Adressen war seit über 180 Tagen nicht genutzt worden und vom Team wahrscheinlich vergessen — oder ihr Zugang war leise kompromittiert worden.

Der Angreifer, der den dormanten Key erlangt hatte, rief mint() auf und produzierte 5 Milliarden GALA direkt an eine von ihm kontrollierte Adresse. Er routete die frisch geminteten Tokens sofort durch DEXs und tauschte aggressiv in ETH:

• Rund 592M GALA über die nächsten 45 Minuten in den Markt verkauft.
• Rund 21,8 Mio. $ in ETH aus den Verkäufen erzielt, bevor die Bewegung Alarme auslöste und das GALA-Team eingriff.

Folgen

• Gala Games identifizierte den unautorisierten Mint und entzog der kompromittierten Adresse die MINTER-Rolle binnen 45 Minuten nach dem ersten Verkauf — sperrte die verbleibenden 4,4 Milliarden GALA des Angreifers in seiner Wallet, von wo sie nicht transferiert oder verkauft werden können.
• Die verbleibenden Tokens werden von Gala als „faktisch verbrannt" beschrieben — sie existieren im Supply, sind aber unzugänglich.
• Der GALA-Preis fiel während des Vorfalls um rund 20 %, erholte sich in den folgenden Tagen teilweise, als die Burn-Dynamik verstanden wurde.
• Gala Games führt einen Rechtsstreit mit mehreren Parteien im Zusammenhang mit dem Vorfall, einschließlich seines Bridge-Betreibers pNetwork.

Warum es wichtig ist

Gala Games ist eine Fallstudie für Rollen-Hygiene über Zeit: Einmal autorisierte privilegierte Adressen bleiben in der Regel autorisiert, wenn niemand sie explizit widerruft. Best Practice sind ablaufende privilegierte Rollen (über Timelock-Contracts, die nach Inaktivität automatisch widerrufen), Rotation von Admin-Keys nach festem Plan und regelmäßige Audits jeder Adresse mit MINTER-/UPGRADE-/ADMIN-Fähigkeiten. Gala zahlte 21,8 Mio. $ für eine im Grunde vergessene Autorisierung.