Ein Fehler in der Share-Buchhaltung des gemeinsamen Ethereum-Vesting-Pools von UNCX ermöglichte einen Exploit im Umfang von rund 86.000 US-Dollar. Als die Sicherheitsfirma Blockaid den Angriff am 14. Oktober 2026 identifizierte, befanden sich noch etwa 3,25 Millionen Dollar im betroffenen Smart Contract.
Das Wichtigste im Überblick:
- Ein Buchhaltungsfehler im UNCX-VestingManager ermöglichte den Zugriff auf Token anderer Nutzer.
- Zunächst waren fünf Token gemeldet, später bestätigte UNCX zehn betroffene Token auf vier Blockchains.
- UNCX beschränkte neue Vesting-Positionen; die endgültige Schadenshöhe war zunächst offen.
UNCX schränkt neue Positionen nach dem Exploit ein
Blockaid machte den Vorfall am 14. Oktober öffentlich. Nach der von news.bitcoin.com wiedergegebenen Analyse von Exvul lag die Ursache nicht in gestohlenen privaten Schlüsseln, sondern in einer fehlerhaften Berechnung von Anteilen im Vertrag. Dadurch konnte eine Position auf Token zugreifen, die Einlagen anderer Nutzer absicherten.
Zu Beginn wurden fünf betroffene Token genannt: EDGEN, ZC, PEPECOIN, LO0P und PAAL. In einem späteren Update erhöhte UNCX die Zahl auf zehn und erklärte, der Vorfall betreffe Token auf vier Blockchains: Ethereum, Base, BNB Chain und Robinhood Chain.
UNCX stoppte neue Vesting-Positionen im betroffenen Vertrag, während das Team Transaktionen und Schadensumfang prüfte. Später erhöhte das Netzwerk nach eigener Darstellung die Pauschalgebühren auf mehr als 1.000 ETH pro Sperre, setzte Token-Gebühren von fünf Prozent fest und schloss Wege, mit denen sich diese Gebühren umgehen ließen. Das Unternehmen betonte zugleich, dass seine Liquiditäts-Locker und älteren Vesting-Verträge nicht betroffen seien.
Der Vorfall reiht sich in eine breitere Reihe von DeFi-Sicherheitsproblemen ein, bei denen fehlerhafte Vertragslogik die Integrität von Kontoständen und Transaktionen gefährden kann. Auch beim Tectonic-Exploit auf Cronos standen die Folgen eines Angriffs für Ledger-Daten und die Zuverlässigkeit von Transaktionen im Mittelpunkt.
Wie die fehlerhafte Share-Buchhaltung den Zugriff ermöglichte
UNCX, früher unter dem Namen Unicrypt bekannt, bietet seit 2020 Werkzeuge, mit denen Projekte Liquidität sperren und Token nach festgelegten Zeitplänen verteilen können. In einem gemeinsamen Vesting-Pool nutzen mehrere Projekte dieselbe Smart-Contract-Infrastruktur. Ihre Positionen haben zwar eigene Salden und Freigabepläne, die Berechnung der Ansprüche läuft jedoch über die gemeinsame Vertragslogik.
Laut der von news.bitcoin.com wiedergegebenen Exvul-Analyse lag die Schwachstelle im VestingManager-Vertrag. Wenn Token freigegeben wurden, verringerte die Funktion _totalTokenShares, ohne die freigegebenen Anteile entsprechend aus dem Positionsdatensatz _depositedShares zu entfernen.
Wurde die Position später storniert, zog der Vertrag Anteile anhand der ursprünglichen Einzahlung ab. Damit wurde die Verringerung der Anteile rechnerisch ein zweites Mal berücksichtigt. Eine zusätzliche Token-Spende verzerrte die Berechnung weiter: Eine kleine Restposition konnte dadurch Ansprüche auf Vermögenswerte erhalten, die eigentlich die Einlagen anderer Nutzer abdeckten.
Blockaid beschrieb die Abfolge als Kombination aus dem Anlegen von Vesting-Positionen, der Freigabe einer größeren Position, einer Token-Einzahlung in den Pool und der anschließenden Stornierung einer aufgefüllten Position. So konnte nach Darstellung der Sicherheitsfirma eine kleine Restposition fremde gesperrte Token abziehen. Der kritische Punkt war demnach nicht der Zugriff auf ein Nutzerkonto, sondern die Berechnung im gemeinsam genutzten Vertrag.
Rückzahlungen und endgültige Verluste noch offen
UNCX erklärte, dass weder der ursprüngliche Angreifer noch Nachahmer gestohlene Mittel zurückgegeben hätten. Die Vermögenswerte befanden sich zunächst weiterhin bei den Angreifern; die endgültige Schadenshöhe war noch nicht geklärt.
Das Netzwerk kontaktierte betroffene Projekte und riet davon ab, die betroffenen Token in den entsprechenden Pools zu handeln. Außerdem bereitete UNCX einen umfassenden Vorfallsbericht mit finanzieller Aufstellung und einem vorgeschlagenen Wiederherstellungsplan vor. Nach Angaben des Unternehmens arbeiteten die Verantwortlichen zudem mit Strafverfolgungsbehörden und SEAL 911 an der Untersuchung.
Warum Sie 99Bitcoins vertrauen können
99Bitcoins wurde 2013 gegründet und verfügt über ein Team von Experten, deren Erfahrung bis in die Anfänge der Kryptozeit zurückreicht.
Wöchentliche Recherche
100k+Monatliche Leser
Experten
2000+Krypto-Projekte unter die Lupe genommen
