Troves xWBTC-Vault: Exploit durch veraltete Berechtigungen

Am 31. Oktober 2026 meldete Troves — eine Yield-Strategie-Plattform auf Starknet —, dass ihr xWBTC/WBTC-Vault mit einem vorläufigen Verlust von etwa 8,6 BTC, rund 0,7 Mio. US-Dollar, angegriffen worden sei. Ursache war ein veralteter Rebalancing-Vertrag, der bereits ersetzt worden war, aber weiterhin aktive Berechtigungen über den Vault behielt.

Was geschah

Troves betreibt tokenisierte Strategie-„Vaults", die eingezahlte Vermögenswerte automatisch neu gewichten; ein eigens dafür vorgesehener Rebalancing-Vertrag hält die Rechte, die nötig sind, um Mittel im Namen des Protokolls zwischen Positionen zu verschieben. Laut Troves wurde bei einem Upgrade dieses Rebalancers dem veralteten Vertrag nie die Berechtigung über den xWBTC/WBTC-Vault entzogen. Der Angreifer missbrauchte diese verbliebenen, zu weit gefassten Rechte, um den veralteten Vertrag aufzurufen und rund 8,6 BTC an Wrapped Bitcoin aus dem Vault abzuziehen. Der Fehler war somit ein Zugriffskontroll- bzw. Stale-Authorization-Bug und keine Schlüsselkompromittierung oder Preis-Manipulation: Die Vault-Logik selbst war einwandfrei, doch eine stillgelegte Komponente behielt die Befugnis, Nutzergelder zu bewegen. Troves erklärte, die Aktivität erkannt und innerhalb von etwa 40 Minuten den problematischen Vertrag widerrufen sowie alle Rebalancing-Berechtigungen von seinen Liquid-Staking-Token-Vaults entfernt zu haben.

Folgen

Vorsichtshalber pausierte Troves drei Vaults — xWBTC/WBTC, xSTRK/STRK und xstrkBTC/strkBTC — und erklärte, seine übrigen Vaults zeigten keine Auswirkungen. Das Team sandte dem Angreifer eine On-Chain-Nachricht mit dem Angebot einer Whitehat-Prämie von 1 WBTC für die Rückgabe der verbleibenden Mittel und erklärte, Sicherheitspartner verfolgten die gestohlenen Vermögenswerte nach. Troves kündigte an, eine Post-Mortem-Analyse zu veröffentlichen und Optionen für betroffene Einleger darzulegen, sobald die Erkenntnisse verifiziert seien. Zum Zeitpunkt der Berichterstattung waren keine Mittel zurückgegeben, keine Identität des Angreifers oder Transaktions-Hash veröffentlicht, und die Zahl von 8,6 BTC blieb eine vorläufige Schätzung, die revidiert werden könnte.

Warum es wichtig ist

Der Vorfall ist ein Musterbeispiel für ein Stale-Permission-Versagen: Ein Upgrade lieferte eine neue Komponente aus, ließ aber die alte mit aktiven Rechten zurück und machte so aus einem ausgemusterten Vertrag eine offene Tür. Er erinnert an andere Starknet-DeFi-Verluste wie zkLend und Nostra und untermauert eine umfassendere Katalog-Lehre — dass der Entzug von Berechtigungen ebenso wichtig ist wie korrekter Code. Gründliche Audits der Vault-Mathematik nützen nichts, wenn eine stillgelegte Adresse die Befugnis behält, Mittel zu bewegen; jedes Upgrade, das einen privilegierten Vertrag austauscht, muss den Zugriff des Vorgängers als Teil derselben Migration ausdrücklich widerrufen. Das Tempo der Reaktion von Troves — Widerruf der Berechtigungen innerhalb von rund 40 Minuten — begrenzte den Schaden wahrscheinlich weit unter das, was eine langsamere Reaktion zugelassen hätte.