Raydium Legacy-AMM-V3 Fake-LP-Exploit

Am 10. Juni 2026 verlor Raydium — eine der größten dezentralen Börsen auf Solana — rund 1,34 Millionen US-Dollar, nachdem ein Angreifer fünf inaktive AMM-V3-Liquiditätspools leerräumte, die seit 2021 brachgelegen hatten. Die Schwachstelle steckte vollständig in veraltetem Code: Aktive Pools, das CLMM und Raydiums neuere AMM-Versionen blieben unberührt, und kein aktueller Nutzer hätte die betroffenen Pools über die Benutzeroberfläche erreichen können.

Was geschah

Die ausgenutzten Pools gehörten zu Raydiums Legacy-AMM-V3-Programm, das das Protokoll nach dem Zusammenbruch des Serum-On-Chain-Orderbuchs auslaufen ließ. Die fünf betroffenen Pools waren Sollet USDT–RAY, Sollet ETH–RAY, SRM–RAY, USDC–RAY und RAY–SOL.

Die Grundursache war eine unzureichende Validierung der LP-Mint-Adresse im stillgelegten Programm. Da der veraltete Code nie bestätigte, dass der vorgelegte LP-Token der echte Mint des Pools war, erstellte der Angreifer einen gefälschten LP-Mint, gab ihn als den echten aus und umging die Proportionsprüfungen, die regeln, wie viel ein Abhebender entnehmen kann. Mit diesen kurzgeschlossenen Prüfungen entzog der Angreifer rund 150.177 RAY, 5.603 SOL und 893.700 USDC. Raydiums aktuelle Mainnet-Programme nutzen einen Mechanismus mit virtuellem Angebot und verifizieren LP-Mints zusammen mit anderen Kontodaten, was diese Angriffsklasse verhindert.

Folgen

• Raydium erklärte, alle Verluste aus seiner Treasury zu decken, sodass die betroffene Liquidität (längst in veralteten Pools gestrandet) entschädigt würde, statt von den Nutzern getragen zu werden.
• Die On-Chain-Ermittler PeckShield und Specter verfolgten den Angreifer: Die Wallet wurde zunächst über KuCoin finanziert und überbrückte die Erlöse dann von Solana nach Ethereum.
• Von Ethereum aus zahlte der Angreifer 810 ETH in Tornado Cash ein und sandte 7 ETH an FixedFloat, ein Geldwäschemuster, das zu einem Akteur passt, der die On-Chain-Spur verwischen will. Die gestohlenen Mittel selbst wurden nicht zurückerlangt.

Warum es wichtig ist

Der Raydium-Exploit ist ein klares Beispiel für ein wiederkehrendes Katalogthema: Veraltete Verträge bleiben lange nach ihrer Aufgabe eine aktive Angriffsfläche. Dieselbe Dynamik trieb den 1inch-Resolver-Bug an, bei dem ein veralteter Fusion-v1-Vertrag der Einstiegspunkt war, sowie den Aevo-Vorfall. Code, der in einem Front-End nicht mehr auftaucht, ist nicht dasselbe wie Code, der nicht mehr ausnutzbar ist — solange das Programm bereitgestellt ist und Wert hält, kann ein Angreifer, der den Quellcode liest, es weiterhin direkt aufrufen.

Es ist zudem Raydiums zweiter katalogisierter Vorfall, nach dem Admin-Key-Trojaner vom Dezember 2022, der 4,4 Mio. USD aus seinen Pools entwendete. Die beiden teilen technisch wenig — der eine war ein gestohlener privater Schlüssel, dieser eine Validierungsschwäche — doch zusammen unterstreichen sie, wie viel Legacy-Oberfläche sich um eine langlebige DEX ansammelt. Der Geldwäscheweg über Tornado Cash ist inzwischen das Standard-Drehbuch für Ausnutzer von Beträgen unter 10 Mio. USD, dieselbe Route wie nach Cetus, und genau deshalb war die Treasury-Entschädigung, nicht die On-Chain-Rückgewinnung, hier das einzige realistische Mittel.