Laut den nachträglichen Offenlegungen und Diskussionen in der Community wurde ein Exploit, der ZetaChain letztendlich 334.000 US-Dollar kostete, bereits früher durch das eigene Bug-Bounty-Programm des Projekts entdeckt, jedoch als erwarteter Designstandard eingestuft. Die Sicherheitslücke, die im Cross-Chain-Gateway-Vertrag von ZetaChain gefunden wurde, hat neue Ängste darüber aufkommen lassen, wie Web3-Protokolle Sicherheitswarnungen testen und auf Frühwarnsignale reagieren, die für sich genommen unwichtig erscheinen mögen.<h2>Bug-Bounty-Bericht wurde gemeldet, aber nicht bearbeitet</h2>Das ZetaChain-Team erklärte in seinem Post-Mortem am Mittwoch, dass die in dem Angriff ausgenutzte Schwachstelle bereits vor dem Angriff von einem Sicherheitsforscher gemeldet worden war. Sie wurde jedoch zuvor nicht als Fehler angesehen, da der Entwickler sie als beabsichtigtes Verhalten des Systems interpretierte. Das System hat nun signalisiert, dass das Ereignis einen internen Prozess zur Neubewertung der Methode für die Meldung von Sicherheitsvorfällen ausgelöst hat, insbesondere in Bezug auf komplexere Arten von Schwachstellen und mehrstufige Exploit-Ketten. Jede der einzelnen Schwachstellenarten mag für sich genommen harmlos erscheinen, aber sie können kollektiv zusammen mit anderen Systemverhaltensweisen und Cross-Chain-Interaktionen genutzt werden.<h3>334.000 US-Dollar Diebstahl über mehrere Chains verteilt</h3>Am Sonntag starteten Angreifer einen synchronisierten Exploit, der etwa 334.000 US-Dollar aus von ZetaChain kontrollierten Wallets entwendete. Der Angriff konzentrierte sich auf die Cross-Chain-Gateway-Infrastruktur des Protokolls. Basierend auf den Berichten wird angenommen, dass der Exploit über neun Transaktionen in vier großen Netzwerken stattfand (Die Netzwerke sind nicht spezifiziert): EthereumArbitrumBaseBNB Smart Chain Dieses Ereignis hat auch deutlich gemacht, dass alle Benutzergelder unberührt blieben. Der Verlust beschränkte sich auf Vermögenswerte, die unter der Kontrolle des Protokolls standen.<h3>Community-Kritik wegen ignorierter Warnung</h3>Fast unmittelbar nach der Ankündigung entstand in den sozialen Medien eine Welle der Diskussion, die den Zustand von Bug-Bounty-Programmen in der Welt von DeFi kritisierte. Eine Person auf X bemerkte, dass der Bericht frühzeitig eingereicht und ignoriert worden war, da Anreizmechanismen in bestimmten Protokollen derzeit dazu führen, Frühwarnungen vor Fehlverhalten zu ignorieren.<h3>Der Benutzer fügte hinzu:</h3>So funktionieren Bug-Bounty-Programme für diese Protokolle im Moment generell: Sie belohnen den Verlust für das Protokoll, den Total Value Locked und das Benutzerguthaben, anstatt den Forscher dafür zu bezahlen, dass er den Fehler gefunden und behoben hat. Solche Kommentare repräsentieren natürlich frustrierte Gemeinschaften. Sie zeigen auch eine wichtige Spannung in vielen Web3-Sicherheitsmodellen auf: ob es sich bei dem Anliegen um ein theoretisches Risiko oder eine tatsächliche Schwachstelle handelt.<h2>Das Problem der „gültigen, aber ignorierten“ Schwachstellen </h2>Wie der ZetaChain-Vorfall zeigt, handelt es sich hierbei um ein endemisches Problem bei Blockchain-Sicherheitssystemen. Die meisten Exploits sind nicht auf unentdeckte Fehler zurückzuführen, sondern auf unerwartete Grenzfälle, die während der Überprüfung ignoriert oder übersehen werden. Ein wiederkehrendes Thema in Berichten von Sicherheitsforschern ist, dass ein Angriff mehrere Annahmen oder verkettete Bedingungen erfordert, um erfolgreich zu sein. Während Entwickler diese tendenziell als undurchführbar bezeichnen, tut der Rest der Welt dies manchmal. Dies schafft einen Graubereich, in dem: Entwickler von Netzwerkausrüstung Fehlalarme und Überreaktionen nicht als gewünschte Eigenschaft betrachten. Forscher Schwierigkeiten haben, Worst-Case-Kombinationen zu identifizieren Angreifer die Differenz zwischen den beiden Interpretationen nutzen Laut ZetaChain wird der Überprüfungsprozess geändert: Nach dem Exploit kündigte ZetaChain an, seine Prozesse für Bug-Bounty-Einreichungen zu überprüfen, insbesondere wenn diese mehrstufige oder systemübergreifende Fehler betreffen. Der Schwerpunkt der Überprüfung wird voraussichtlich Folgendes umfassen: Genauere Klassifizierung von verketteten Angriffsvektoren Bessere Eskalationsverfahren für Grenzfälle in Berichten Verbesserte Kommunikation und Zusammenarbeit zwischen Entwicklern und Sicherheitsforschern Ermöglicht eine schnellere Neubewertung zuvor abgelehnter Probleme. Obwohl keine unmittelbaren strukturellen Änderungen detailliert ausgearbeitet wurden, räumte das Verfahren ein, dass es das Risiko, das von der offengelegten Schwachstelle ausging, nicht ausreichend berücksichtigt hatte.<h2>Allgemeinere Implikationen für die DeFi-Sicherheit </h2>Dies ist eine weitere Ergänzung zu einer Liste von Exploits im dezentralen Finanzwesen, bei denen Warnungen weitgehend ignoriert oder nicht mit großer Wichtigkeit behandelt wurden. Es lädt auch dazu ein, darüber nachzudenken, ob die bestehenden Bug-Bounty-Frameworks für Cross-Chain-Protokolle ausreichen. Da Protokolle mehrere Netzwerke umfassen und eine stärker zusammensetzbare Infrastruktur bereitstellen, ist es schwierig, ihre Sicherheit isoliert zu bewerten. Eine einzige übersehene Interaktion kann sogar manchmal zu kaskadierenden Effekten über mehrere Chains hinweg führen, wie in diesem Beispiel. Vorerst erinnert uns der ZetaChain-Exploit einmal mehr daran, dass in der Blockchain-Sicherheit der Unterschied zwischen einem theoretischen Fehler und einem tatsächlichen Exploit nur Sekunden betragen kann und wie clever ein Hacker sein kann.

ZetaChain verlor 334.000 $ durch eine Cross-Chain-Sicherheitslücke. Das Problem wurde zuvor in seinem Bug-Bounty-Programm gemeldet, jedoch als erwartetes Verhalten abgetan, was Sicherheitsbedenken im DeFi-Bereich aufwirft.

Ignorierte Bug-Bounty-Warnung führt zu 334.000 $ ZetaChain Cross-Chain-Exploit

/media/contribution/car7cca855be207479089c0bed33c804071/7kd_0507185414303.stxt

Kast stellt ehemalige SEC-Beamtin Stephanie Allen als Leiterin der Politikkommunikation ein

/media/contribution/card85f52cd0bf24832967ff7558a9232a6/z5v_0507172850487.stxt

Ein schneller Anfängerleitfaden zum Futures-Handel auf LBank

/media/contribution/car53657f5df81a46aaa62c15253631838b/sx5_0507185810735.stxt

Die Wahrheit über Krypto und Ihr Steuergeld – Was Scott Bessent gerade dem Kongress mitgeteilt hat, wird Bitcoin schockieren

/media/contribution/car7e267414288c4f769119384d4a45d799/vyg_0507171334069.stxt

Cathie Woods ARK prognostiziert eine Marktkapitalisierung von Bitcoin von 16 Billionen US-Dollar

/media/contribution/car3aa8526cbadd4b0a8d33b1cde0a142eb/rlh_0507175511954.stxt

Nexo steigert Liquidität mit 0%-Zins-Kreditlinien für Solana und XRP

/media/contribution/car2acdab889f754524b9eacb348740c80e/yxp_0507173441989.stxt