Am 6. Februar 2025 entdeckte Zilliqa einen Exploit auf X-Bridge, der eine Schwachstelle in einem der kürzlich eingeführten Token-Manager-Verträge der Plattform ausnutzte.
Dieser Exploit ermöglichte es dem Angreifer, die mit Zilliqa überbrückten Versionen nativer Währungen auf Ethereum und Binance Smart Chain (BSC) zu prägen, ohne die entsprechende Menge an Vermögenswerten in diesen Netzwerken zu sperren.
Durch diese Sicherheitslücke generierte der Angreifer 531 Zilliqa-bridged ETH (zETH) und 2,2133 Zilliqa-bridged BNB (zBNB). Nach diesem Verstoß wurden die folgenden Transaktionen ausgeführt:
123.116 zETH wurde über X-Bridge zurück zum Ethereum-Netzwerk übertragen.
2.2133 zBNB wurde über X-Bridge zurück zur BSC übertragen.
Der Angreifer verkaufte 140.3780 zETH auf ZilSwap für USDT 42.000 $ und 0.0718 zWBTC, die anschließend zurück zu Ethereum übertragen und liquidiert wurden.
Nach der Entdeckung dieses Exploits ergriff Zilliqa sofort Maßnahmen, um weitere Risiken zu mindern:
Der Brücken-Relayer wurde abgeschaltet und alle damit verbundenen Token-Manager-Verträge wurden pausiert.
Switcheo, der Betreiber von ZilSwap, wurde umgehend über das Problem informiert, das seinen zETH-Pool betrifft.
Zilliqa gab eine öffentliche Mitteilung heraus, in der der Exploit angekündigt und die Benutzer vor dem Handel mit zETH auf ZilSwap gewarnt wurden. Eine Sicherheitswarnung wurde auch über die X-Bridge-Benutzeroberfläche ausgegeben.
Switcheo hat die zETH-Pools auf ZilSwap deaktiviert.
Korrekturmaßnahmen und Minderung
Zilliqa implementiert eine Reihe von Korrekturmaßnahmen, um X-Bridge sicher wieder online zu bringen und die Auswirkungen der kompromittierten zETH- und zBNB-Verträge zu mindern.
Zunächst wird der betroffene zETH-Token außer Betrieb genommen, und ein neuer zETH-Token wird implementiert, der legitime Token-Bestände ab der Blocknummer 4465720 des Zilliqa-Hauptnetzwerks (erzeugt um 08:49 am 18. Februar 2025) beibehält, während die ungültigen Tokens entfernt werden, die mit dem Angreifer verbunden sind.
Das bedeutet, dass diejenigen, die nicht am Angriff teilgenommen haben und die zETH nicht nach der Ankündigung des Vorfalls (veröffentlicht um 22:48 am 6. Februar 2025) gekauft haben, nicht betroffen sein werden, da ihr neuer zETH-Token-Bestand mit ihrem alten zETH-Bestand zu dieser Blocknummer vorausgefüllt wird.
Diejenigen, die zETH nach dem Auftreten des Exploits, aber vor der Ankündigung des Problems mit dem zETH-Pool auf ZilSwap (veröffentlicht um 00:06 am 7. Februar 2025) gekauft haben, sollten sich mit ihren Transaktionsdetails an das Zilliqa-Team unter enquiries@zilliqa.com wenden, wenn es ein Problem mit ihrem zETH-Bestand gibt.
Betrieb von X-Bridge in eingeschränkter Kapazität
Implementiert zur Kompatibilität mit dem alten Zilliqa-Netzwerk als Ergebnis der Stilllegung von ZilBridge, wurde X-Bridge erweitert, um die Übertragung von zuvor auf ZilBridge gelisteten Tokens zu unterstützten Netzwerken vor der Migration zur robusten Cross-Chain-Infrastruktur zu ermöglichen, die in Zilliqa 2.0 eingeführt wurde.
Nach diesem Exploit werden die betroffenen X-Bridge-Verträge aktualisiert, um strengere Bilanzprüfungen vor der Prägung von übertragenden Vermögenswerten durchzusetzen und die unbefugte Token-Erstellung zu verhindern.
Kurzfristig wird X-Bridge in eingeschränkter Kapazität wieder online gebracht, wobei Einschränkungen gelten, um die Sicherheit und Zuverlässigkeit der Infrastruktur zu gewährleisten.
Das bedeutet, dass es einige Zeit dauern kann, bis Brücken-Transaktionen verarbeitet werden, und die Benutzer sollten mit Verzögerungen rechnen, während wir daran arbeiten, die volle Funktionalität in einer sicheren Umgebung wiederherzustellen. Eine kleine Anzahl legitimer X-Bridge-Transaktionen steckt derzeit fest und wurde noch nicht verarbeitet. Diese werden bearbeitet, sobald X-Bridge wieder in Betrieb ist.
Wir erwarten, dass X-Bridge in naher Zukunft den Betrieb wieder aufnehmen wird, und wir werden die Benutzer benachrichtigen, sobald die Plattform reaktiviert wird.
Zilliqa bleibt der Sicherheit und Integrität seines Ökosystems verpflichtet. Wir schätzen die Geduld und Unterstützung unserer Community, während wir daran arbeiten, die Auswirkungen dieses Exploits zu mindern und einen robusten Schutz gegen zukünftige Schwachstellen zu gewährleisten.
Für weitere Updates zur Rückkehr von X-Bridge in den eingeschränkten Betrieb, bleiben Sie bitte über unsere offiziellen Kanäle informiert und folgen Sie uns auf X.