Schwachstelle Zentralisierung 

Vergleichsweis einfach sind derartige Angriffe umzusetzen, wenn das betreffende Netzwerk nicht genügend auf Dezentralität achtet. So waren bei der Multi-Signature-Wallet von Horizon nur zwei von insgesamt vier Signaturen nötig, um die Coins abzuheben. Bei Ronin wurden vier von insgesamt fünf für die Transaktionsvalidierung notwendigen Validator Nodes zum Zeitpunkt des Angriffs von der Spielerentwicklerfirma Sky Mavis verwaltet. An die Daten für den fünften Node gelangten die Angreifenden durch Zufall ebenfalls über das Netzwerk von Sky Mavis. Die Hackerinnen und Hacker mussten also lediglich auf ein System Zugriff bekommen, um genügend Validator Nodes unter ihre Kontrolle zu bringen.

Laut dem Blockchain-Sicherheitsunternehmen Certik war ein Großteil der Blockchain-Hacks im Jahr 2021 auf Zentralisierungsprobleme zurückzuführen. So erbeuteten Hackerinnen und Hacker im vergangenen Jahr dank mangelnder Dezentralität in 44 Fällen insgesamt 1,3 Milliarden US-Dollar. Das entspricht mehr als einem Drittel aller erfolgreichen Hacks in dem Jahr. Nach dem Missmanagement von Private Keys stellen fehlerhafte Ereignisaufträge die zweithäufigste Schwachstelle dar – gefolgt von nicht gesperrten Compiler-Versionen und Code-Zeilen ohne ordnungsgemäße Eingabevalidierung. Meist erfolgen die Angriffe über Drittanbieter. Dazu gehören vor allem sogenannte „Hot Wallets“, die sich auf dem Smartphone befinden oder vom DeFi-Anbieter gehostet werden und mit dem Internet verbunden sind und auch die Betreiber vieler Blockchain-Bridges.

Schwachstelle Blockchain-Bridge

Derzeit kristallisiert sich heraus, dass sogenannte „Bridges“ zum Hauptangriffspunkt von Hackerinnen und Hackern werden. 80 Prozent des gesamten Vermögens, das im ersten Quartal dieses Jahres aus Blockchain-Netzwerken gestohlen wurde, wurde über Bridges entwendet. Blockchain-Bridges sind Smart Contracts, die die Kommunikation zwischen unterschiedlichen Blockchain-Netzwerken ermöglichen. Das Grundprinzip von Bridges funktioniert so, dass auf einer von zwei Blockchains, zwischen denen der Austausch stattfinden soll, Token in eine Wallet der Bridge verschoben werden. Sobald mithilfe der Bridge die Informationen über diesen Transfer an die zweite Blockchain übermittelt wurden, erzeugt die Bridge auf der zweiten Blockchain sogenannte „synthetische Token“ beziehungsweise „Wrapped Token“ („verpackte Token“). Die Token von Blockchain 1 wurden somit quasi auf Blockchain 2 transferiert. Um die ursprünglichen Token auf Blockchain 1 zurückzuerhalten, müsste eine Userin oder ein User zuerst die Wrapped Token auf Blockchain 2 zurückgeben. Hackerinnen und Hacker versuchen in der Regel, Schwachstellen in den Smart Contracts der Bridges auszunutzen. Bei der Blockchain-Bridge Wormhole gelang es ihnen beispielsweise mittels gefälschter eingespeister Daten, „Wrapped Token“ zu entnehmen, ohne zuvor an anderer Stelle „echte“ Token hinterlegt zu haben.

Ausblick: Ist das Ende der Bridges schon gekommen?

Angesichts der Schäden, die Angriffe auf Blockchain-Bridges in letzter Zeit immer wieder angerichtet haben, ist sich die Blockchain-Community uneins über die Zukunft von Bridges als technologischem Bestandteil des künftigen Web 3.0. Ethereum-Gründer Vitalik Buterin sieht in Bridges ein erhöhtes Sicherheitsrisiko für die Blockchain-Ökonomie und hält die Technologie für den falschen Weg. Fest steht jedoch auch: Visionen wie das Web 3.0 und das Metaverse – also einer neuen, dezentralen Form des Internets, in der reale und virtuelle Welt ineinandergreifen – haben nur eine Zukunft, wenn die zahlreichen Blockchains, die bis dahin entwickelt wurden und werden, miteinander kommunizieren können. Entwicklerinnen und Entwickler wie der Harmony-COO Li Jiang setzen daher trotz aktueller Risiken weiterhin auf Blockchain-Bridges als Lösung. Ein Grund dafür ist, dass sich die Technologie noch am Anfang befindet. Wie bei jeder Technologie müssen Sicherheitslücken ausfindig gemacht und geschlossen und so die Technik langfristig weiterentwickelt werden.