HECO Bridge & HTX Drain

Am 22. November 2023 zogen Angreifer rund 87 Millionen $ aus der HECO Bridge — der Cross-Chain-Bridge zwischen Huobis HECO-Sidechain und Ethereum — und holten innerhalb von Stunden weitere rund 12 Millionen $ aus Hot Wallets bei HTX (ehemals Huobi Global, die Affiliate-Börse des Betreibers).

Was geschah

Die HECO Bridge war durch eine operator-kontrollierte Multi-Sig gesichert — ein kleiner Satz privilegierter Keys autorisierte Cross-Chain-Withdrawals aus dem Ethereum-seitigen Bridge-Contract. Der Angreifer erlangte mindestens das Quorum dieser Keys und drainte dann die Reserven der Bridge an USDT, HBTC, SHIB, UNI, USDC, LINK, ETH und TUSD auf Externally Owned Accounts.

Fast unmittelbar danach erlitt die HTX-Börse einen verbundenen Drain: Angreifer nutzten Signing-Zugriff, um rund 12 Mio. $ an zusätzlichen Assets aus HTX-Hot-Wallets zu extrahieren. Die zeitliche Nähe und die Überschneidung der Angreifer-Adressen deuteten stark auf denselben Betreiber und dieselbe Root-Kompromittierung hin — wahrscheinlich ein gemeinsam genutztes Key-Management-System, das sowohl Bridge-Operationen als auch Börsen-Verwahrung für Justin Suns Affiliate-Infrastruktur kontrollierte.

Folgen

• Justin Sun bestätigte die Breaches öffentlich und verpflichtete sich, betroffene Nutzer vollständig aus Unternehmens-Reserven zu entschädigen.
• Die HECO Bridge wurde pausiert und der Betrieb migriert.
• Gestohlene Gelder wurden über Tornado Cash gewaschen, spätere Analyse zeigte über 145 Mio. $ an Geldwäsche-Volumen, das mit diesem Angreifer in den folgenden Wochen verbunden war.

Warum es wichtig ist

HECO ist einer von mehreren Vorfällen (Multichain früher im selben Jahr, FTX-nahe Kollapse, mehrere Bybit-Ära-Beispiele), die die gleiche Lektion auf der von verbundenen Geschäften gemeinsam genutzten Infrastruktur-Schicht illustrierten: Wenn ein Betreiber die Bridge, die Börse und die Chain betreibt, kann eine einzige Key-Management-Kompromittierung alle drei gleichzeitig stürzen. Die branchenübliche Mitigation — hardware-isolierte Key-Stores pro Service, ohne geteilte Signing-Autorität — wurde nach dieser Periode sichtbar häufiger in Operator-Playbooks.