Munchables Insider-Exploit

Am 26. März 2024 verlor das Blast-NFT-Spiel Munchables 17.413 ETH — etwa 62,8 Millionen $ zu dieser Zeit — an einen seiner eigenen Entwickler. Nach Verhandlungen gab der Angreifer jeden Cent ohne Lösegeldforderung zurück.

Was geschah

Monate zuvor hatte Munchables vier Entwickler eingestellt, um seine Smart Contracts zu schreiben. Der On-Chain-Ermittler ZachXBT zeigte später starke Beweise dafür, dass alle vier Entwickler-Personas dieselbe Person waren — wahrscheinlich ein nordkoreanischer Agent, der unter mehreren Aliasen arbeitete, am bemerkenswertesten der GitHub-Nutzer Werewolves0493.

Der Entwickler hatte den lock-Vertrag des Spiels geschrieben, der Nutzereinzahlungen hielt, und behielt entscheidenderweise die Fähigkeit, ihn zu aktualisieren. Monate nach dem Deployment tat er genau das — und brachte ein Upgrade ein, das sich selbst einen hinterlegten Saldo von 1.000.000 ETH zuwies, weit mehr als der Vertrag tatsächlich enthielt. Sie hoben dann den vollen Pool-Saldo von 17.413 ETH gegen diesen gefälschten Saldo ab.

Folgen

• Munchables' Gründer verhandelten öffentlich mit dem Angreifer über On-Chain-Nachrichten. Innerhalb von etwa 24 Stunden gab der Entwickler alle privaten Schlüssel zurück, die die gestohlenen Mittel kontrollierten — kein Lösegeld gezahlt.
• Munchables pausierte den Betrieb, schloss ein Notfall-Vertrags-Audit ab und migrierte zu einem neu gestalteten Lock-Vertrag.
• Die Episode bestätigte langjährige Verdachtsmomente über nordkoreanische Agenten, die sich als Remote-Entwickler in Krypto-Projekten einschleusen. ZachXBT dokumentierte ähnliche Engagements bei einem halben Dutzend anderer Protokolle, wobei mehrere andere Teams später leise die Verbindungen zu verdächtigen Auftragnehmern kappten.

Warum es wichtig ist

Munchables kristallisierte das Insider-Entwickler-Bedrohungsmodell für Krypto. Offenes Einstellen, anonyme Mitwirkende und Remote-First-Workflows sind Kern dafür, wie sich die Industrie schnell bewegt — und sie sind genau die Bedingungen, unter denen eine geplante Langzeit-Infiltration am schwersten zu erkennen ist. KYC für Auftragnehmer mit privilegiertem Commit-Zugang ist seitdem häufiger geworden, insbesondere für Entwickler, die Vertrags-Upgrades ausliefern können.