SwissBorg Kiln-API SOL Earn-Drain

Am 8. September 2025 verlor die Schweizer Krypto-Vermögensverwaltungsplattform SwissBorg rund 193.000 SOL — etwa 41,5 Millionen Dollar — aus ihrer SOL Earn-Staking-Strategie. Die Kompromittierung war nicht bei SwissBorg selbst: Die API bei SwissBorgs Staking-Anbieter Kiln wurde gebrochen, und die Angreifer manipulierten Requests, um SOL aus den von Kiln verwalteten SwissBorg-Earn-Einlagen abzuziehen.

Was geschah

SwissBorg bot Nutzern ein SOL Earn-Produkt an, bei dem Einlagen auf Solana über Kiln gestakt wurden, einen großen Staking-Infrastruktur-Anbieter. Kiln betrieb die Validator-Infrastruktur und Signing-Keys; SwissBorgs App handhabte die nutzerorientierte Schicht.

Die Angreifer kompromittierten Kilns API — wahrscheinlich durch Anmeldedaten-Diebstahl oder Backend-Exploitation; der genaue Vektor wurde nicht im vollen Detail öffentlich offengelegt. Mit API-Zugriff konnten sie Staking-bezogene Transaktionen im Namen der SwissBorg-Einlagen ausstellen, in einer Weise, die letztlich Gelder an vom Angreifer kontrollierte Adressen auf Solana leitete.

Der Drain traf eine Wallet, die auf Solscan als „SwissBorg Exploiter" bezeichnet wurde, und betraf weniger als 1 % von SwissBorgs gesamter Nutzerbasis — nur jene, die sich für das SOL-Earn-Produkt über die Kiln-gestützte Strategie entschieden hatten.

Nachwirkungen

• SwissBorg pausierte Solana-Staking sofort.
• SwissBorg-CEO Cyrus Fazel verpflichtete sich öffentlich, etwaige Fehlbeträge aus der Unternehmens-Treasury zu decken, sodass kein Nutzer einen Verlust absorbieren würde — auch wenn Wiederherstellungsbemühungen scheiterten.
• Die Plattform partnerte mit Fireblocks, der Solana Foundation und Whitehat-Ermittlern, um gestohlene Mittel zu verfolgen. Mehrere angreifer-verbundene Transaktionen wurden an großen Börsen-Engpässen blockiert.
• Kiln gab eine eigene Post-Mortem heraus und verschärfte API-seitige Kontrollen.

Warum es zählt

SwissBorg ist der kanonische 2025er Fall für Vendor-API-Risiko in Retail-Krypto-Produkten. Das nutzerseitige Produkt gehörte SwissBorg, die Vertrauensbeziehung war mit SwissBorg, aber die tatsächliche Sicherheitsgrenze verlief durch Kilns API-Oberfläche. Als diese Oberfläche kompromittiert wurde, war der Verlust real, und die Last der Kundenerstattung fiel auf SwissBorg — auch wenn der Bruch beim Anbieter geschah.

Die strukturelle Lehre, zunehmend relevant, je reifer das Staking-Infrastruktur-Ökosystem wird:

• Frontfacing-Plattformen sind für die Sicherheitslage jedes Anbieters in ihrem Staking-Stack verantwortlich — operativ, reputationell und (gemäß SwissBorgs Antwort) finanziell.
• API-basierte Vendor-Beziehungen benötigen dieselbe Prüfung wie Direct-Key-Custody-Beziehungen, einschließlich Penetrationstests, Audits Dritter über die Kontrollen des Anbieters und vertraglicher Bestimmungen zur Offenlegung von Sicherheitsverletzungen.
• Cyrus Fazels „kein Nutzer wird verlieren"-Antwort ist zunehmend das erwartete Playbook für etablierte Consumer-Plattformen — und eines, das bedeutsame Kapitalimplikationen für neuere Marktteilnehmer hat, die keine Treasury-Tiefe haben, um 40-Mio.-$+-Verluste aus eigener Tasche zu absorbieren.