Wasabi-Protokoll verliert über 5 Millionen Dollar durch Admin-Key-Exploit

Was geschehen ist

Das On-Chain-Protokoll für Perpetual Futures, Wasabi, wurde am 30. April 2026 gehackt. Laut Berichten der Blockchain-Sicherheitsfirma PeckShield entwendeten die Angreifer über 5 Millionen US-Dollar über die Netzwerke Ethereum, Base, Berachain und Blast.

Der Angreifer erlangte die ADMIN_ROLE über die Deployer-Wallet des Protokolls – identifiziert als wasabideployer.eth, die einzige Adresse, die diese Rolle im PerpManager AccessManager von Wasabi innehatte. Anschließend wurden die Vaults auf eine bösartige Implementierung aktualisiert, die die Guthaben der Nutzer absaugte. Nach ersten Zählungen wurden etwa 4,55 Millionen US-Dollar extrahiert; die Untersuchungen dauern noch an.

Wasabi bestätigte den Vorfall auf X und forderte die Nutzer auf, das Protokoll während der laufenden Ermittlungen nicht zu verwenden. Zudem wurde bestätigt, dass professionelle On-Chain-Sicherheitsdienste, darunter SEAL 911 und Blockaid, eingeschaltet wurden.

Wie der Angriff ausgeführt wurde

Der Angriff erfolgte über einen Mechanismus, der als UUPS-Upgrade-Exploit bekannt ist. Nach der Kompromittierung des Deployer-Kontos initiierte der Angreifer ein Vertrags-Upgrade, das sicheren Code durch eine bösartige Logik ersetzte und Gelder aus Vaults und Liquiditätspools auf eigene Adressen umleitete. Da das Protokoll über keinen Timelock-Mechanismus verfügte, wurden die Änderungen sofort umgesetzt – Entwicklern oder Nutzern blieb kein Zeitfenster zum Eingreifen.

Wichtige technische Details der Sicherheitsverletzung:

• Der Angreifer rief grantRole auf der Deployer-EOA ohne Verzögerung auf und wandelte seinen Orchestrator-Vertrag sofort in einen Admin um.
• Wasabi- und Spicy LP-Share-Token aus den betroffenen Vaults wurden als kompromittiert markiert; ihr Rücknahmewert nähert sich Null.
• Blockaid stellte fest, dass dieselbe Angreiferadresse, derselbe Orchestrator-Vertrag und derselbe Strategie-Bytecode diesen Vorfall mit früheren Aktivitäten gegen Wasabi in Verbindung bringen.
• Es gab keine Sicherheitsvorkehrungen wie Multi-Signatur-Autorisierung oder Zeitverzögerungen, um die sofortige Ausführung bösartiger Aktionen zu verhindern.

April 2026: Der bisher schlimmste Monat für DeFi

Der Wasabi-Exploit war kein Einzelfall. Der Hack krönt einen verheerenden Monat für den DeFi-Sektor, der von zwei großen Exploits und über zwanzig kleineren Vorfällen geprägt war. Der ehemalige Leiter für DeFi bei Monad merkte auf X an, dass der April 2026 zu Verlusten von etwa 635 Millionen US-Dollar bei insgesamt 28 Vorfällen innerhalb von 30 Tagen führte.

Die zwei größten Vorfälle des Monats waren:

• Drift Protocol – Am 1. April verzeichnete die auf Solana basierende Börse für Perpetuals Abflüsse von rund 270 Millionen US-Dollar, die mehr als 15 verschiedene Token-Arten umfassten. Es wurde berichtet, dass es sich um eine staatlich gesteuerte Operation aus Nordkorea handelte, die sechs Monate lang vorbereitet wurde.
• Kelp DAO – Am 18. April nutzte ein vermutlich nordkoreanisch unterstützter Angreifer eine LayerZero-Bridge aus und fälschte eine Cross-Chain-Nachricht, die das Prägen von 116.500 rsETH ermöglichte, ohne dass auf der Quellseite Vermögenswerte gesperrt waren. Der Angreifer hinterlegte die ungedeckten rsETH anschließend als Sicherheit bei Aave und lieh sich etwa 236 Millionen US-Dollar in echten WETH.

Die Reaktion auf den Kelp-Vorfall beinhaltete eine beispiellose kollektive Anstrengung von DeFi-Protokollen und Einzelpersonen unter dem Namen „DeFi United“, bei der über 300 Millionen US-Dollar gesammelt wurden, um die Deckung von Kelps rsETH wiederherzustellen.

Die KI-Hacker-Theorie

Die Häufigkeit und Präzision jüngster Exploits hat die Debatte über die von Angreifern verwendeten Werkzeuge neu entfacht. Der Entwickler Vitto Rivabella äußerte öffentlich die Theorie, dass Nordkorea ein internes KI-Modell mit jahrelang gestohlenen DeFi-Daten trainiert hat. Er suggerierte, dass dieses Modell nun als autonomer Exploiter fungiert, der Protokolle schneller leert, als menschliche Prüfer Patches bereitstellen können. Obwohl unbestätigt, spiegelt diese Hypothese die wachsende Besorgnis in der Sicherheits-Community über den asymmetrischen Vorteil wider, den Angreifer gegenüber den Verteidigungsteams von Protokollen haben könnten.

Was Nutzer jetzt tun sollten

Sicherheitsteams fordern betroffene Personen dringend auf, als ersten kritischen Schritt alle mit dem Protokoll verbundenen Smart-Contract-Berechtigungen zu widerrufen (Revoke). Tools wie Revoke.cash können dabei helfen, zuvor erteilte Zugriffe auf kompromittierte Verträge zu entfernen. Nutzer sollten Interaktionen mit verdächtigen Links oder inoffiziellen Wiederherstellungsprogrammen vermeiden und ausschließlich verifizierte offizielle Ankündigungen verfolgen.

Unabhängig davon, ob KI die aktuelle Welle von Exploits beschleunigt, macht der Wasabi-Vorfall ein strukturelles Problem unmissverständlich deutlich: Single-Key-Admin-Architekturen ohne Timelocks oder Multi-Signatur-Kontrollen gehören nach wie vor zu den am leichtesten ausnutzbaren Schwachstellen im heutigen DeFi-Sektor.

Veröffentlicht von Coinplurk.com