Gym Network Fehlender Signatur-Check

Am 8. Juni 2022 verlor die BNB-Chain-Yield-/MLM-artige Farm Gym Network rund 2,1 Millionen $, weil eine Deposit-Funktion einen Signatur-Parameter akzeptierte, ihn aber nie validierte. Der Angreifer übergab eine ungeprüfte Signatur und einen konstruierten Deposit, um eine enorm unverhältnismäßige Menge an GYMNET-Rewards aus einer fast Null-Einlage zu minten, und dumpte die Tokens dann.

Was geschah

Der depositFromOtherContract-(oder äquivalente) Flow von Gym Network nahm eine Signatur, die die Operation autorisieren sollte. Der Contract dekodierte die Signatur, prüfte sie aber nie gegen einen autorisierten Signer. Da der Check faktisch fehlte, lieferte der Angreifer beliebige Parameter, deponierte einen trivialen Betrag und wurde mit einem riesigen GYMNET-Reward gutgeschrieben, den er verkaufte.

Folgen

• Gym Network pausierte den betroffenen Contract und patchte die Signatur-Verifikation.
• Der GYMNET-Token kollabierte durch den Dump; Teil-Protokoll-Fortsetzung folgte.

Warum es wichtig ist

Gym Network ist ein lehrbuchhafter „Signatur-Parameter vorhanden, aber unverifiziert"-Bug — dieselbe Klasse wie KiloEX (2025) und andere, in denen der Anschein eines Sicherheits-Checks (eine Signatur in der Funktionssignatur) falsche Sicherheit gab, während die eigentliche Verifikation fehlte oder kaputt war. Die Lektion, die der Katalog immer wieder lehrt: Ein Sicherheitsmechanismus, der im Interface vorhanden, in der Implementierung aber nicht durchgesetzt ist, ist schlimmer als keiner — weil er falsches Vertrauen produziert. Auditoren und Tests müssen verifizieren, dass der Check feuert und ablehnt, nicht bloß dass der Parameter existiert.