Die On-Chain-Sicherheitsorganisation Blockaid hat am 20. Mai einen Angriff auf die plattformübergreifende Bridge-Komponente Butter Bridge V3.1 unter dem MAP Protocol auf Ethereum und BSC überwacht. Der Angreifer nutzte einen Konstruktionsfehler im Smart-Contract-Design und brachte die Bridge-Contracts dazu, dass direkt in eine neu erstellte Adresse illegal etwa 10.000 Billionen (10^13) MAPO geprägt wurden, was ungefähr dem 4,8 Millionenfachen des Werts der im Umlauf befindlichen legitimen Menge von 208 Millionen MAPO entspricht.
Angriffsmechanismus: Smart-Contract-Designfehler im Prozess zur erneuten Validierung von Nachrichten
Blockaid bestätigte, dass die Ursache dieses Angriffs der Smart-Contract-Designfehler im Butter-Bubble-V3.1-Prozess zur erneuten Validierung von Nachrichten ist. Dabei handelt es sich um ein Problem auf Ebene der Vertragsimplementierung, nicht um ein Versagen der zugrunde liegenden Protokollarchitektur des MAP Protocol. Der Angreifer brachte den Contract dazu, einen fehlerhaften Verifizierungs-Pfad auszuführen, sodass der Bridge-Contract die reguläre Prüfung der Cross-Chain-Koordinaten umging und die Token direkt auf der Ethereum-Kette in eine neu gebildete EOA-Adresse prägte.
Technisch müssen Cross-Chain-Bridges gleichzeitig Nachrichten aus zwei unabhängigen Blockchains verifizieren, wobei jede Kette über eigene Konsensmechanismen, Sicherheitsmodelle und Regeln zur Transaktionsfinalität verfügt. Das MAP-Protocol-Design setzt auf ein Peer-to-Peer-Modell und eine Light-Client-Validierung und bietet damit theoretisch eine kleinere Angriffsfläche als Lösungen, die sich auf vertrauenswürdige Dritte-Validatoren stützen. Im vorliegenden Vorfall bot jedoch der Designfehler in der Contract-Logik zur erneuten Ausführung einen verwertbaren Einstieg. Butter Network bestätigte, dass die Arbeit zur Behebung, Prüfung und erneuten Bereitstellung bereits im Gange ist.
Schadensumfang und Marktreaktion für MAPO: Bereits bestätigte Daten
Ausgezahlter Betrag durch den Angreifer: 52,21 ETH (ca. 180.000 US-Dollar), aus dem Uniswap V4 ETH/MAPO-Liquiditätspool
Verbleibende Bestände des Angreifers: rund 9.999,99 Milliarden MAPO, verbleiben in der Geldbörse des Angreifers und stellen weiterhin ein Risiko für alle MAPO-bezogenen Liquiditätspools sowie CEX-Listings dar
Auswirkung auf den MAPO-Preis: Nach dem Verkauf betrug der Ein-Tages-Rückgang etwa 30%
Gesamtmenge der illegal geprägten Token: ca. 10.000 Billionen Einheiten, das 4,8 Millionenfache der legitimen Umlaufmenge (208 Millionen)
Kumulierte Verluste durch Cross-Chain-Bridge-Angriffe im Jahr 2026 (bis Mitte Mai): mehr als 328,6 Millionen US-Dollar
Abhilfemaßnahmen, die von MAP Protocol und Butter Network bestätigt wurden
Die offizielle Erklärung von MAP Protocol bestätigte die folgenden bereits umgesetzten Eindämmungsmaßnahmen: Die Bridging-Verbindung zwischen MAPO ERC-20 und dem MAPO-Mainnet wurde ausgesetzt; es wurde gewarnt, dass Nutzer aktuell keine MAPO-ERC-20-Token auf Uniswap handeln sollen; während der Dauer der Maßnahmen zur Schadensbegrenzung besteht weiterhin ein Risiko für die Liquiditätspools; das Team koordiniert derzeit die Untersuchung mit externen Sicherheitspartnern.
Die offizielle Erklärung von Butter Network bestätigte: ButterSwap hat den gesamten Betrieb ausgesetzt; die Arbeiten zur Behebung, Prüfung und erneuten Bereitstellung laufen; ausstehende Transaktionen werden nach der Wiederherstellung der Sicherheit abgewickelt; die Nutzerfonds erlitten keinen direkten Verlust, und alle betroffenen Transaktionsbestätigungen werden nach der Systemwiederherstellung vollständig verarbeitet.
Häufige Fragen
Handelt es sich bei diesem Angriff um einen Konstruktionsfehler in der Underlay-Protokollarchitektur von MAP Protocol?
Blockaid bestätigte, dass das vorliegende Leck ein Smart-Contract-Designproblem von Butter Bridge V3.1 ist, das konkret im Prozess zur erneuten Validierung von Nachrichten auftritt: ein Defekt auf Ebene der Contract-Implementierung, nicht ein grundlegendes Versagen der Underlay-Peer-to-Peer-Architektur oder des Light-Client-Validierungsmodells von MAP Protocol. Butter Network arbeitet derzeit an der Behebung und an einer erneuten Sicherheitsprüfung dieser Komponente.
Warum stellt der verbleibende Bestand von etwa 9.999 Milliarden MAPO des Angreifers ein fortdauerndes Risiko dar?
Der Angreifer hält weiterhin etwa 9.999,99 Milliarden der illegal geprägten MAPO in seiner Geldbörse – weit über ein Tausendfaches der legitimen Umlaufmenge (208 Millionen). Wenn der Angreifer diese Token in irgendeinen MAPO-Liquiditätspool einbringt oder einen Antrag für ein Listing bei einer zentralisierten Börse stellt, würde das den MAPO-Marktpreis und die Liquidität massiv beeinflussen. In der Ankündigung von Blockaid wurde eindeutig darauf hingewiesen, dass dieser Bestand „ein fortdauerndes Risiko für jeden MAPO-Pool oder CEX-Listing darstellt“.
Warum werden Cross-Chain-Bridges weiterhin zum hochriskanten Angriffsziel im DeFi-Ökosystem?
Cross-Chain-Bridges müssen in ihrer technischen Architektur gleichzeitig Nachrichten aus zwei unabhängigen Blockchains verarbeiten, wobei jede Kette über eigene Konsensmechanismen, Sicherheitsmodelle und Regeln zur Finalität der Transaktionen verfügt. Der Bridge-Contract sperrt typischerweise auf einer der Ketten große Mengen an Vermögenswerten und prägt auf der anderen Kette die entsprechenden Token. Sobald die Bridge-Logik einen Fehler aufweist, können Angreifer die gesperrten Vermögenswerte stehlen oder Token ohne finanzielle Hinterlegung prägen. Historische Beispiele sind unter anderem der Diebstahl von über 186 Millionen US-Dollar beim Nomad Bridge im Jahr 2022 (Fehler bei der Identitätsverifizierung), Angriffe auf Ronin Bridge und Wormhole; bis 2026 belaufen sich die kumulierten Verluste aus solchen Angriffen bislang auf mehr als 328,6 Millionen US-Dollar.
