Wieder einmal wurde ein DeFi-Protokoll geplündert. Das Wasabi-Protokoll, eine Handelsplattform für Perpetual-Token auf Ethereum, Base, Berachain und Blast, verlor am 30. April zwischen 4.5 und 5.5 Millionen US-Dollar, nachdem ein Angreifer den Administratorschlüssel des Deployers kompromittiert und damit systematisch die Tresor-Verträge auf allen vier Blockchains geleert hatte.
Der Angriff erfolgte schnell und methodisch. Sobald der Angreifer den Administratorschlüssel besaß, rief er die Methode `grantRole` des Wasabi-Berechtigungsvertrags auf, um sich ohne Verzögerung – ohne Zeitlimit, ohne Wartezeit – volle Administratorrechte zu verschaffen. Von dort aus… nach The BlockSie haben die Perp Vaults und den Long Pool des Protokolls auf bösartige Implementierungen aufgerüstet, die einfach die Guthaben leer räumten.
Was wurde getroffen?
Auf Ethereum waren unter anderem die Smart Contracts von Wasabi (wWETH, sUSDC, wBITCON, wPEPE und Long Pool) betroffen. Auf Base wurden die Smart Contracts sUSDC, wWETH, sBTC, sVIRTUAL, sAERO und sBRETT angegriffen. Die Angriffe auf Berachain und Blast trugen zusätzlich zum Gesamtschaden bei.
Das Sicherheitsunternehmen Blockaid meldete den Exploit in Echtzeit, was einigen Nutzern zumindest Zeit zum Reagieren gab. Aufgrund der Natur eines kompromittierten Administratorschlüssels kann das Protokoll selbst jedoch kaum noch etwas ausrichten, sobald dieser Schlüssel in fremde Hände gelangt ist. Der Angreifer kontrollierte den Upgrade-Mechanismus und manipulierte die Smart Contracts.
Die Sicherheitslücke ist beschämend simpel.
Dieser Vorfall ist besonders ärgerlich, da er so leicht zu verhindern gewesen wäre. Die Ursache war weder eine neuartige Zero-Day-Schwachstelle noch ein komplexer Reentrancy-Bug oder ein subtiler Sonderfall in einer kryptografischen Funktion. Es handelte sich um ein einzelnes externes Konto mit vollen Administratorrechten in Wasabis PerpManager – ohne Multisignatur-Anforderung, ohne Timelock und ohne jeglichen Governance-Prozess zum Schutz dieses Zugriffs.
Das ist die Mindestsicherheitsanforderung für jedes Protokoll, das echte Nutzergelder verwaltet. Die Verwendung mehrerer Schlüssel zur Signierung einer privilegierten Aktion oder eine Verzögerung von 24 oder 48 Stunden vor dem Inkrafttreten eines Updates hätte diesen Angriff vollständig verhindert. Allein eine Zeitsperre hätte Nutzern und Sicherheitsforschern genügend Zeit gegeben, die schädliche Transaktion in der Warteschlange zu bemerken und vor ihrer Ausführung zu reagieren.
Wasabi ist nicht das erste Protokoll, das auf diese Schutzmaßnahmen verzichtet und dafür bezahlen muss. Es wird auch nicht das letzte sein. Doch die Häufigkeit, mit der zentralisierte Administratorschlüssel im DeFi-Bereich kompromittiert werden – und die Häufigkeit, mit der die anschließende Analyse zeigt, dass weder Multisignatur noch Timelock jemals implementiert waren – ist zum jetzigen Zeitpunkt der Branchenentwicklung kaum zu erklären.
Kontext: Der schlimmste Monat seit Beginn der Aufzeichnungen
Der Wasabi-Exploit erfolgte Ende April 2026, dem Monat mit den meisten Krypto-Hacks seit Beginn der Aufzeichnungen. DeFiLlama bestätigte 30 separate Vorfälle im April mit Gesamtschäden von über 625 Millionen US-Dollar – das entspricht etwa einem Angriff pro Tag. Zwei Vorfälle stachen besonders hervor: der Social-Engineering-Diebstahl beim Drift Protocol (ca. 285 Millionen US-Dollar) und der LayerZero-Bridge-Exploit bei KelpDAO (292 Millionen US-Dollar). Beide werden von Forschern der nordkoreanischen Lazarus-Gruppe zugeschrieben.
Wasabis Verlust von 5 Millionen Dollar wirkt angesichts dieser Zahlen gering, doch er verdeutlicht, dass die Angriffsfläche nicht auf große Bridge-Verträge und gut finanzierte Protokolle beschränkt ist. Kleinere Perpetual-Plattformen mit echten Nutzereinlagen und einem einzigen ungeschützten Administratorschlüssel sind genauso anfällig – und der wirtschaftliche Anreiz, sie anzugreifen, ist real.
Was Benutzer wissen sollten
Wasabi Protocol hat die betroffenen Tresore vorübergehend gesperrt und den Vorfall in den sozialen Medien bekannt gegeben. Nutzer mit offenen Positionen oder Einlagen in den betroffenen Verträgen sollten ihren Status direkt über die offiziellen Wasabi-Kanäle überprüfen und jeglichen Rückerstattungsangeboten per Direktnachricht skeptisch gegenüberstehen – der Betrug mit gefälschten Rückerstattungen, der nach Sicherheitslücken auftritt, ist fast genauso zuverlässig wie die Sicherheitslücken selbst.
Die wichtigste Lehre aus dem April 2026 ist eine, die die Branche immer wieder aufs Neue lernt: Es spielt keine Rolle, wie gut die Handelsoberfläche ist, wie wettbewerbsfähig die Gebühren sind oder wie viel TVL ein Protokoll angehäuft hat. Wenn der Administratorschlüssel ohne jegliche Sicherheitsvorkehrungen alles in einer einzigen Transaktion abziehen kann, wird ihn früher oder später jemand erlangen. Entsprechend sollte man vorgehen.
---------------
Autor: Alan Ward
Seattle Nachrichtenredaktion
Noch keine Kommentare
Schreiben Sie einen Kommentar