Poloniex Hot-Wallet-Drain

Am 10. November 2023 schlugen die Blockchain-Sicherheitsfirmen PeckShield und Cyvers Alarm wegen eines koordinierten Drains der Poloniex-Hot-Wallets. Die Gesamtverluste stabilisierten sich bei 114 Millionen $ auf Ethereum plus etwa 42 Millionen $ auf Tron — was den kumulierten Verlust auf rund 156 Millionen $ über zwei Chains brachte, die mit Justin Suns Betrieb verbunden waren.

Was geschah

Die Ethereum-seitige "Poloniex-Hacker"-Adresse führte 357 Transaktionen in schneller Folge aus und zog über 100 Mio. $ aus von der Börse kontrollierten Hot Wallets ab. Parallel bewegte eine Tron-seitige Adresse etwa 42 Mio. $ an eine separate Gruppe von Zielen.

Justin Sun und Poloniex charakterisierten den Einbruch öffentlich als Private-Key-Kompromiss — die Schlüssel, die die Hot Wallets kontrollierten, waren in Poloniex' internen Systemen gespeichert worden und wurden vom Angreifer extrahiert, der dann Privilegien eskalierte und Mittel in einem einzigen koordinierten Fenster bewegte.

Folgen

• Poloniex pausierte Auszahlungen innerhalb von Stunden; Einzahlungen wurden Tage später wieder aufgenommen, Auszahlungen Wochen später, nach Schlüsselrotation und Audit.
• Justin Sun verpflichtete sich öffentlich zu 100 % Nutzererstattung aus Unternehmensreserven und bot dem Angreifer eine 5 % White-Hat-Belohnung für die Rückgabe der Mittel an, mit einer 7-Tage-Frist, bevor Strafverfolgungsbehörden eingeschaltet würden. Die Frist verstrich.
• Dieselbe Operator-Infrastruktur war zwei Wochen später am HECO-Bridge / HTX-Drain am 22. November beteiligt — ein verwandter Kompromiss, der andere mit Justin Sun verbundene Plattformen betraf.

Warum es wichtig ist

Poloniex ist die eine Hälfte eines eng gekoppelten Paares von Vorfällen (die andere Hälfte ist HECO/HTX zwei Wochen später), die die geteilte Schlüsselmanagement-Exposition über Justin Suns angeschlossene Infrastruktur aufdeckten. Wenn ein Betreiber eine Börse, eine Bridge und ein L1 betreibt, kollabiert die Sicherheitsgrenze des gesamten Portfolios zur operativen Sicherheit des zentralen Schlüsselmanagement-Systems.

Die Lektion — strikte Per-Geschäfts-HSM-Isolation, keine geteilte Signaturbefugnis — hat den modernen Drang zu enclave-basierten Per-Service-Schlüsselmanagern im Betreiber-Playbook angetrieben.