Market-ID-Kollisions-Exploit bei Injective

Am 31. August 2026 wurde die Layer-1-Blockchain Injective angegriffen, als ein Angreifer ihre erlaubnisfreie Erstellung von Binäroptionsmärkten und einen Fehler in der Generierung von Market-Identifikatoren ausnutzte und dabei rund 4,9 Millionen US-Dollar entwendete. Die Chain stand rund drei Stunden und 42 Minuten still, um den Angriff zu stoppen; die abgezogenen Mittel wurden nach Ethereum gebrückt, wo etwa 1.980 ETH (~4,88 Mio. USD) in einer einzigen Adresse gebündelt wurden.

Was geschah

Injective bildete den Identifikator jedes Marktes durch die Verkettung von Oracle-Parametern — Typ, Ticker, Quote-Denomination, Symbol und Anbieter — ohne Trennzeichen oder Längenpräfixe. Das erlaubte dem Angreifer, eine Kollision zwischen einem INJ-denominierten Versicherungsfonds und einem USDC-denominierten Binäroptionsmarkt herbeizuführen. Über rund 19 Stunden erstellte der Angreifer 299 Instant-Binäroptionsmärkte, jeder an ein selbst kontrolliertes Oracle gekoppelt, das nie einen Preis liefern sollte, und mit Ablauf- und Abwicklungszeitstempeln, die nur Sekunden auseinanderlagen. Über selbst gematchte Trades quer über mehrere Subkonten löste der Angreifer den „No-Price-Refund"-Pfad aus, der USDC-Fehlbeträge mit INJ-Guthaben zu decken versuchte und minimale INJ-Bestände als ausreichende Deckung für dollar-denominierte Defizite behandelte. In einem dokumentierten Zyklus erzeugten rund 105.000 USDC an Einzahlungen Auszahlungen von über 204.000 USDC — also etwa eine Verdopplung des Einsatzes pro Iteration.

Konsequenzen

Injectives Validatoren stoppten die Chain von Block 181.027.006 (16:10 UTC) bis Block 181.027.007 (19:52 UTC) und rückten über die Naht hinweg um genau einen Block vor, sodass ausgeführte Trades erhalten blieben statt zurückgerollt zu werden. Injective erklärte, Konsens, natives INJ und gestakte Mittel seien nie kompromittiert worden, und stellte die Pause als Upgrade dar. Zum Zeitpunkt der Berichterstattung hatte das Protokoll keine Abhilfeerklärung abgegeben und die rund 1.980 ETH lagen unbewegt in der Adresse des Angreifers, weshalb der Status hier stolen ist. Kommentatoren merkten an, dass der Angreifer den Bug aus öffentlichen SDK-Dokumenten, alten kompilierten Binärdateien und dem Live-Testnet rekonstruierte, obwohl Injective seine Kern-Repositories von GitHub entfernt hatte.

Warum es wichtig ist

Wie der Maya-Protocol-Exploit früher im August lebte dieser Angriff nicht in einem einzelnen Kreditvertrag, sondern in der eigenen Abwicklungs- und Buchhaltungslogik einer app-spezifischen Chain, wo eine einzige fehlerhafte Annahme — hier, dass ein Market-Identifikator eindeutig sei — zu fabriziertem Wert kaskadiert. Erlaubnisfreie Markterstellung in Kombination mit einem Refund-Pfad, der INJ- und USDC-Buchhaltung vermischte, verwandelte eine Namens-Abkürzung in eine Gelddruckmaschine. Der Vorfall erinnert daran, dass Identifikator-Konstruktion, erlaubnisfreies Listing und denominationsübergreifende Abwicklung ebenso sicherheitskritisch sind wie jede Swap-Funktion, und dass „Security through Obscurity" — das Verstecken von Quellcode — gegen einen entschlossenen Angreifer wenig ausrichtet.