Ein Archiv von Sicherheitsvorfällen im Kryptobereich — Hacks, Exploits, Bridge-Ausfälle und Rug Pulls, dokumentiert mit On-Chain-Belegen.
Ein Buchhaltungsfehler in den gemeinsam genutzten Vesting-V2-Verträgen von UNCX Network ließ einen Angreifer und Nachahmer rund 1,49 Millionen US-Dollar an gesperrten Token über vier Chains abziehen.
Ein Angreifer prägte auf Base über Autheos Hyperlane-Cross-Chain-Route 19 Millionen ungedeckte THEO und tauschte sie gegen rund 700 ETH, was den Token um etwa 92 % abstürzen ließ.
Ein Angreifer setzte einen frischen Vertrag auf die Whitelist eines nicht identifizierten Base-Vaults und lieh gegen dessen Aave-V3-Position, um rund 1.783 wstETH (etwa 6 Mio. USD) abzuziehen.
Ein Abrechnungsfehler im Shared-Unlock von GoldPesas Uniswap-v4-Hook ließ einen Angreifer eine Phantom-USDC-Schuld gegen die Rebalancing-Auszahlung verrechnen und rund 114.900 USD auf Base abziehen.
Angreifer missbrauchten einen Fehler in Limit Breaks Payment Processor mit veralteten Magic-Eden-Freigaben, um Token und NFTs von mindestens 2,8 Millionen US-Dollar zu stehlen.
Ein Angreifer blähte den Preis des illiquiden MAMO-Tokens auf, um gegen die überbewertete Position echte Assets aus Moonwells Kreditmärkten auf Base zu leihen, und entwendete dabei rund 8,7 Mio. USD.
Ein Angreifer speiste dem Allbridge-Router auf Base eine gefälschte Circle-CCTP-Nachricht ein und zog mithilfe eines Aave-Flash-Loans rund 190.000 USD in USDC ab.
Ein Angreifer entwendete Hinkal rund 820.000 USD in USDC — nahezu die gesamte chainübergreifende TVL — über ungeprüfte 'proofless'-Einzahlungen und wusch die Beute über Tornado Cash und THORChain.
Ein per Flash-Loan finanzierter Angreifer blähte den internen wGOOGLx-Wechselkurs von Edel Finance um das ~78-Fache auf und lieh gegen Schein-Sicherheiten rund 403.000 USD als Bad Debt aus.
Eine Confused-Deputy-Schwachstelle im Drittanbieter-Modul SquidRouterModule ermöglichte den Diebstahl von rund 3,8 Mio. USD aus 88 Gnosis-Safe-Wallets auf Ethereum, Base und Arbitrum.
~10,8 Mio. $ aus THORChain-Asgard-Vaults über neun Chains entleert via GG20-TSS-Schwachstelle, ausgenutzt von einem böswilligen Node-Operator.
Wasabi Protocols Perp-Vaults auf 4 Chains verloren 5 Mio. $: Kompromittiertes Deployer-EOA mit alleiniger ADMIN_ROLE erlaubte UUPS-Upgrades.
1 Mrd. gebridgte DOT auf Hyperbridge gemintet, nachdem ein fehlender Bounds-Check in VerifyProof MMR-Proof-Fälschung erlaubte; realer Verlust ~2,5 Mio. $.
~1,78 Mio. $ aus Moonwell auf Base abgezogen, nachdem ein neu gelisteter Markt einen Preisfeed mit Dezimal-Mismatch nutzte, was Sicherheiten falsch bewertete.
Eine Hot-Wallet-Kompromittierung über 7 Chains entzog BtcTurk 48 Mio. USD, ihr zweiter großer Hack in 14 Monaten. Cold Storage blieb unangetastet.
7,5 Mio. $ aus KiloEX-Perps auf Base, opBNB und BSC abgezogen: MinimalForwarder übersprang Signatur-Checks; Positionen bei 100 $ auf, bei 10.000 $ geschlossen.
Reentrancy im Withdraw-Pfad von Clober DEXs Rebalancer auf Base ließ Angreifer vor LP-Settlement re-entrieren – 500K USD an Überschuss entzogen.
Grand Base, ein RWA-Projekt auf Base, verlor 2 Mio. $ durch kompromittierten Deployer-Key; Angreifer mintete unbegrenzt GB und leerte den Pool.
54,7 Mio. $ aus KyberSwap Elastic abgezogen, nachdem ein Rundungsfehler in Concentrated-Liquidity-Math Pools doppelte Liquidität erkennen ließ.
869.000 $ aus RocketSwap auf Base abgezogen, nachdem ein Server-Einbruch sowohl die verschlüsselten Privatschlüssel als auch das Decryption-Skript lieferte.
Der Entwickler des BALD-Memecoins zog auf Coinbases Base-Testnet Liquidität ab: 5,9 Mio. USD Dev-Profit, 23 Mio. USD Anlegerverlust – Rug Pull bestritten.