YieldBlox Stellar Single-Trade-Orakel

Am 4. Februar 2026 verlor YieldBlox' DAO-verwalteter Lending-Pool — gebaut mit Blend auf der Stellar-Blockchain — rund 10,2 Millionen Dollar durch eine lehrbuchartige Single-Trade-Orakel-Manipulation. Der Angreifer platzierte ein einzelnes Verkaufsangebot für USTRY zu 501 USDC pro USTRY während eines 15-Minuten-Fensters, in dem kein anderer USTRY-Handel stattgefunden hatte, und definierte den Preis des Reflector-Orakels für das gesamte Fenster. 7,2 Millionen Dollar wurden anschließend von Stellar-Tier-1-Validatoren eingefroren.

Was geschah

YieldBlox' Lending-Pool akzeptierte USTRY (ein US-Treasury-Yield-Token) als Sicherheit, mit Preisen geliefert vom Reflector-Orakel — Stellars nativer Orakel-Infrastruktur. Die Reflector-Bepreisung für das USTRY/USDC-Paar basierte auf On-Chain-Trades innerhalb rollender Zeitfenster.

Die fatale Kombination:

1. USTRY/USDC hatte extrem niedrige Liquidität auf Stellar — der Markt sah nur sporadische Trades.
2. Keine Trades fanden in den 15 Minuten vor dem Angriff statt — was bedeutete, dass der nächste Trade den vom Orakel gemeldeten Preis für das gesamte Fenster definieren würde.
3. Reflectors Preis-Ableitungslogik erforderte kein Mindestvolumen oder mehrere Trades, um den Preis eines Fensters zu validieren; ein einziger Trade reichte.

Der Angriff:

1. Der Angreifer platzierte ein Verkaufsangebot für USTRY zu 501 USDC pro USTRY — weit über dem echten Marktpreis (USTRY handelt nahe dem zugrunde liegenden Treasury-Yield, typischerweise nahe 1 $ pro Token).
2. Jemand (der Angreifer selbst oder jemand, der auf das sichtbare Angebot reagierte) führte selbst einen winzigen Trade zum angebotenen Preis aus — und etablierte den Preis für das Reflector-Orakel-Fenster.
3. Mit dem Orakel, das nun USTRY mit 501 USDC pro Token meldete, hinterlegte der Angreifer eine kleine Menge USTRY als Sicherheit und borgte alles Verfügbare aus YieldBlox' Pool gegen die aufgeblähte Bewertung.
4. Verschwand, ohne zurückzuzahlen, und ließ YieldBlox mit wertlosem aufgeblähtem-Wert-USTRY als einziger Deckung für die gestohlenen Darlehen zurück.

Gesamtextraktion: rund 10,2 Millionen $ in USDC, XLM und anderen Pool-Vermögenswerten.

Nachwirkungen

• Stellar-Tier-1-Validatoren froren rund 7,2 Millionen $ der gestohlenen Vermögenswerte innerhalb der Wallets des Angreifers ein — mit Stellars Account-Einfrierfähigkeit, die der kleine, koordinierte Validator-Satz des Netzwerks ausüben kann.
• YieldBlox pausierte den betroffenen Pool und bot dem Angreifer eine 10%-Bounty mit einer 72-Stunden-Deadline an. Der Angreifer antwortete nicht.
• Das Protokoll koordinierte mit der Stellar Development Foundation zur Validator-Einfrier-Antwort.
• Die eingefrorenen ~7,2 Mio. $ lieferten eine Basis für teilweise Nutzererstattung; die verbleibenden ~3 Mio. $ blieben unwiederhergestellt.

Warum es zählt

YieldBlox ist einer der saubersten Fälle dafür, wie Orakel-Aggregation Mindestvolumen- und Quellen-Anzahl-Garantien für jeden als Sicherheit verwendeten Vermögenswert erfordern muss. Der Angriff erforderte nur eine kleine Menge Angreifer-Kapital, um die Manipulation zu konstruieren — die Kosten waren die Differenz zwischen dem aufgeblähten Angebot und der eventuellen Abrechnung, die der Angreifer oft selbst erfassen konnte.

Die defensiven Muster, die YieldBlox' Verlust verhindert hätten:

1. Mindestliquiditäts-Schwellen, bevor ein Vermögenswert als Sicherheit akzeptiert wird — Märkte mit zu dünnem Handel qualifizieren sich nicht.
2. Volumenanforderungen pro Orakel-Fenster — ein einzelner Trade zu beliebigem Preis sollte nicht ausreichen, um den kanonischen Preis zu setzen.
3. Multi-Source-Aggregation — selbst wenn das primäre Orakel des Lending-Protokolls lokal ist, fängt ein Sanity Check gegen einen externen Feed (z. B. Chainlink für dasselbe Paar auf einer anderen Chain) offensichtliche Manipulation ab.
4. Circuit Breakers — automatische Pause, wenn gemeldete Preise außerhalb erwarteter Bereiche pro Zeiteinheit gehen.

Das Stellar-Validator-Einfrieren von 7,2 Mio. $ ist eine bemerkenswerte Demonstration dafür, was möglich ist, wenn Chains kleine, koordinierte Validator-Sätze haben, die bereit sind, Einfrieraktionen zu ergreifen. Dieselbe Fähigkeit — ausgeübt bei Sui (Cetus) und Terra (Astroport) — ist wertvoll für Incident Response, ist aber strukturell inkompatibel mit den „glaubwürdigen Neutralitäts"-Ansprüchen, die Dezentralisierungs-Maximalisten für große Chains stellen. Der Trade-off ist real und chain-spezifisch; Stellars Validator-Satz ist klein genug, um zu koordinieren, und das ist, was die Wiederherstellung möglich machte.