- Der Angreifer erhielt sechs Tage vor dem Angriff Administratorzugriff.
- 2,64 Millionen US-Dollar geliehen, nachdem er gefälschte Sicherheiten-Token geprägt hatte.
- Hacken fordert eine Echtzeit-KI-Überwachung für die Sicherheit von DeFi-Wallets.
Der dezentrale Finanzsektor wurde erneut von einem großen Exploit erschüttert – diesmal mit Blick auf CrediX .
Berichten zufolge verlor das Projekt 4,5 Millionen US-Dollar nach einem Angriff, der durch eine Kompromittierung des privaten Schlüssels und Governance-Zugriffsfehler ermöglicht wurde.
Der Angreifer überbrückte Gelder über Netzwerke, nutzte den administrativen Zugriff aus und leerte den CrediX-Pool mit geprägten Sicherheiten-Token.
Der Vorfall hat die wachsende Besorgnis über die Sicherheit von Multisig-Wallets verstärkt, die für den größten Teil der bisherigen Krypto-Verluste in Höhe von 3,1 Milliarden US-Dollar im Jahr 2025 verantwortlich waren.
Gelder, die von Sonic zu Ethereum als Plattform überbrückt wurden, wurden offline genommen
CrediX hat seine Website inzwischen offline genommen, um weitere Einzahlungen zu verhindern.
Die Blockchain-Sicherheitsfirma CertiK bestätigte, dass die gestohlenen Gelder vom Sonic-Netzwerk auf Ethereum überwiesen wurden.
Die Web3-Sicherheitsplattform Cyvers Alerts meldete mehrere verdächtige Transaktionen auf Sonic und verfolgte eine Adresse, die über Tornado Cash auf Ethereum finanziert wurde.
Diese Adresse überbrückte Gelder an Sonic und lieh sich etwa 2,64 Millionen US-Dollar von CrediX.
Diese Gelder wurden wahrscheinlich mit Sicherheiten-Token extrahiert, die der Angreifer geprägt hat, nachdem er sich einen Backdoor-Zugang verschafft hatte.
Exploit für Token-Minting durch Administratorzugriff und aktivierte Bridge-Rechte
Laut SlowMist , einem Anbieter von On-Chain-Sicherheit, wurden dem Angreifer sechs Tage vor dem Exploit Admin- und Bridge-Rollen innerhalb der CrediX Multisig Wallet gewährt.
Diese Rollen wurden mit dem ACLManager des Protokolls zugewiesen.
Mit dem Zugriff auf Bridge-Ebene war der Angreifer in der Lage, Sicherheiten-Token über den CrediX-Pool zu prägen, die dann zum Ausleihen von Vermögenswerten und schließlich zum Leeren des Protokolls verwendet wurden.
Diese Art von Exploit unterstreicht ein kritisches Risiko in dezentralen Governance-Modellen, insbesondere in Bezug auf rollenbasierte Zugriffskontrolle.
Eine unzureichende Aufsicht bei der Zuweisung von Berechtigungen, insbesondere in Multisig-Umgebungen, macht DeFi-Protokolle stark anfällig für interne oder externe Kompromittierungen.
Multisig-Wallets mit den meisten Krypto-Verlusten im Jahr 2025 verbunden
Der CrediX-Vorfall ist Teil eines breiteren Trends in diesem Jahr.
Ein Bericht der Sicherheitsfirma Hacken besagt, dass in der ersten Hälfte des Jahres 2025 3,1 Milliarden US-Dollar an Kryptowährungen verloren gingen, wobei die meisten Fälle Multisig-Wallets betrafen.
Diese Wallets wurden oft durch Social-Engineering-Taktiken, gefälschte Schnittstellen oder falsch konfigurierte Unterzeichner-Setups verletzt.
Der größte bekannte Angriff in diesem Jahr ist nach wie vor der 1,46 Milliarden US-Dollar schwere Bybit-Exploit, bei dem Angreifer Multisig-Unterzeichner über eine gefälschte Schnittstelle täuschten.
Echtzeit-Bedrohungserkennung hat jetzt Priorität, sagt Hacken
Als Reaktion auf die zunehmende Häufigkeit solcher Vorfälle hat Hacken empfohlen, sich von traditionellen einmaligen Sicherheitsaudits zu verabschieden.
Stattdessen setzt sich das Unternehmen für KI-basierte Echtzeit-Sicherheitssysteme ein, die Multisig-Aktivitäten überwachen und abnormales Verhalten sofort kennzeichnen.
Laut Hacken waren mehr als 80 % der Krypto-Verluste in diesem Jahr auf Fehler bei der Zugangskontrolle zurückzuführen.
Das Unternehmen fordert die Plattformen auf, strengere Unterzeichnerschulungen einzuführen, eine strengere regelbasierte Automatisierung durchzusetzen und Schnittstellen und Unterzeichner als integralen Bestandteil der Systemsicherheit zu behandeln.
In der Zwischenzeit hat CrediX angekündigt, die gestohlenen Gelder innerhalb von 24 bis 48 Stunden wiederherzustellen, obwohl zu diesem Zeitpunkt noch keine weiteren Details bekannt gegeben wurden.
