WAX-Bridge: Exploit durch gebührenfreie Abhebungen

Am 22. Oktober 2026 wurde die Multi-Chain-Bridge von WAX für rund 90.500 $ ausgenutzt. Eine fehlende Gebührenprüfung in der eth.token::withdraw-Funktion der Bridge ließ einen Angreifer gemappte Token auf der WAX-Seite abheben, ohne die vom Buchhaltungsmodell erwartete Deckung abzugeben, während die Bridge-Contracts auf Solana und Ethereum die entsprechenden Assets dennoch freigaben.

Was geschah

WAX (Worldwide Asset eXchange) betreibt eine Multi-Chain-Bridge, die "gemappte" Repräsentationen von Assets ausgibt, die auf anderen Netzwerken verwahrt werden. Die Monitoring-Firma Blockaid meldete am 22. Oktober 2026 einen aktiven Exploit: Der Angreifer legte ein frisches WAX-Konto an und begann rund eine Stunde später, den Withdraw-Pfad der Bridge aufzurufen. Da die eth.token::withdraw-Funktion die Abhebungsgebühr nicht durchsetzte, lief die Operation kostenlos durch — der Angreifer zog gemappte Token auf der WAX-Seite ab, ohne die von der Buchhaltung angenommenen Assets zu bezahlen, während die Bridge-Contracts auf Solana und Ethereum die passenden Token weiterhin freigaben.

Über fünf Transaktionen entwendete der Angreifer rund 52.986 USDC, 21.558 USDT, 840 DAI, 2,55 WETH und 0,11 WBTC. Erste Schätzungen bezifferten die Beute auf nahezu 75.000 $; eine aktualisierte Rechnung, die die WETH- und WBTC-Posten einpreiste, hob die Schätzung auf etwa 90.500 $ an.

Nachwirkungen

Blockaid und SlowMist machten den Vorfall öffentlich, während er sich noch entwickelte. Zum Zeitpunkt der Erstellung hatte WAX weder eine formelle Nachanalyse veröffentlicht noch Wiederherstellungsbemühungen offengelegt, und in der öffentlichen Berichterstattung war keine Angreiferidentität, kein Wallet-Label und keine On-Chain-Adresse bestätigt. Ermittler warnten, dass das volle Ausmaß — und ob die Verluste noch wuchsen — noch zu verifizieren sei. Die Dollarsumme ist nach Maßstäben des Katalogs gering, doch der Mechanismus ist der gefährliche Teil: Ein einziger ungeschützter Gebührenpfad brachte die zweiseitige Buchführung der Bridge aus dem Gleichgewicht.

Warum es zählt

Eine Bridge ist nur so sicher wie die Invariante, dass auf einer Chain freigegebene Assets vollständig durch auf der anderen gesperrte oder belastete Assets gedeckt sind. Der WAX-Exploit ist ein Lehrbuchfall von Buchhaltungs-Desynchronisation: Die Freigabeseite zahlte weiter aus, obwohl die Quellseite nicht wie vorgesehen belastet wurde. Er ähnelt Alephiums TokenBridge, bei der gefälschte Freigaben Verwahrreserven freischalteten, und den wiederholten Drains der Verus-Ethereum-Bridge, die einen ungeprüften Import-/Verifizierungspfad ausnutzten — sowie, in weitaus größerem Maßstab, Ronin, dessen Bridge Mittel auf Grundlage einer Stimmgewichts-Invariante freigab, die stillschweigend auf null belassen worden war. In jedem Fall rührte der Verlust nicht von gebrochener Kryptografie her, sondern von einer fehlenden Prüfung im Code, der beide Hälften des Hauptbuchs ehrlich halten soll. Kleine Bridges mit echter chainübergreifender Verwahrung bleiben ein wiederkehrendes weiches Ziel, gerade weil solche Gebühren- und Validierungspfad-Bugs leicht zu übersehen und sofort zu Geld zu machen sind.