TesseraDAO Unauthorized Mint Exploit

Am 1. Juni 2026 wurde TesseraDAO um etwa 2,5 Millionen US-Dollar erleichtert, als ein Angreifer, der die Kontrolle über die privilegierten Mint-Rechte erlangt hatte, 99 Millionen TSR-Token aus dem Nichts auf der BNB Chain erzeugte und sie sofort verkaufte, wodurch der Token-Preis um fast 99% einbrach.

Was geschah

Der Exploit beruhte auf der Kontrolle über die privilegierte Mint-Autorität des Vertrags und nicht auf einem Logikfehler im Token selbst. Laut PeckShield führte der Angreifer um 11:38 UTC einen nicht autorisierten Mint von rund 99 Millionen TSR durch und stieß dann den gesamten Bestand in einem einzigen Verkaufsschwall in die Liquidität des Projekts ab. Da die geprägten Token keinerlei Deckung hatten, entzog der Abverkauf rund 2,5 Millionen USDT an echter Liquidität, während der notierte TSR-Preis auf Bruchteile eines Cents abstürzte. Die klassische Infinite-Mint-Signatur — eine plötzliche, vom Eigentümer kontrollierte Angebotsausweitung gefolgt von einem sofortigen Ausstieg — gleicht der Ankr / Helio-Kaskade, bei der ein gestohlener Entwicklerschlüssel 60 Billionen aBNBc prägte.

Folgen

Der Angreifer verschob die Erlöse in Tornado Cash, den von der OFAC sanktionierten Mixer, und konsolidierte rund 1.285 ETH, um die Spur zu verwischen — ein deutliches Zeichen für einen vorsätzlichen Diebstahl und keine White-Hat-Aktion. TesseraDAO veröffentlichte unmittelbar danach keine detaillierte Aufarbeitung oder einen Wiederherstellungsplan, und die Inhaber blieben mit einem Token zurück, der binnen Stunden fast seinen gesamten Wert verloren hatte.

Warum es wichtig ist

TesseraDAO ist eine weitere Erinnerung daran, dass die Mint-Autorität eines Projekts dessen gefährlichstes Privileg ist: Wird ein Schlüssel oder eine Admin-Rolle kompromittiert, die das Angebot steuert, verhindert keine noch so gut auditierte Token-Logik, dass ein Angreifer Token druckt und abstößt. Das Muster wiederholt sich bei den Private-Key-Vorfällen der BNB Chain im Katalog, und der sofortige Sprung in Tornado Cash unterstreicht, wie schnell Angreifer heute Erlöse aus Small- und Mid-Caps waschen, bevor ein Einfrieren greifen kann.