Das dreiköpfige Governance-Gremium von X 100 Global, intern als „Senat“ bezeichnet, wurde kompromittiert. Für das Projekt stehen nach ersten Angaben Verluste von mehreren Millionen Dollar im Raum. Der Vorfall lenkt den Blick erneut auf Multisignatur-Verfahren, konzentrierte Zugriffsrechte und die Absicherung von Projektmitteln im Kryptomarkt.
Nach dem derzeit bekannten Stand war nicht ein gewöhnliches Nutzerkonto betroffen, sondern das zentrale dreiköpfige Gremium. Da dieses über Projektentscheidungen oder Funktionen zur Verwaltung von Vermögenswerten verfügte, könnte die Übernahme seiner Sitze den Zugriff auf Gelder und weitere kritische Berechtigungen ermöglicht haben. Die genaue Schadenssumme, die übertragenen Vermögenswerte, die Identität der Angreifer und die Zieladressen der Gelder sind bislang nicht offengelegt.
Dreiköpfiger „Senat“ im Mittelpunkt des Vorfalls
X 100 Global setzte auf eine dreisitzige Governance-Struktur nach dem Vorbild eines „Senats“. Solche Modelle verlangen bei wichtigen Aktionen üblicherweise die Zustimmung mehrerer Administratoren. Dadurch soll der Einfluss eines einzelnen kompromittierten Kontos oder eines individuellen Fehlers begrenzt werden. Werden jedoch gleichzeitig die Mehrheit oder sämtliche Sitze beziehungsweise die damit verbundenen Signaturrechte kontrolliert, können diese Sicherungen eines Multisignatur-Systems wirkungslos werden.
Im Zentrum steht daher die Frage, ob die Kontrolle über die Governance-Ebene vollständig übernommen wurde und ob die Angreifer dadurch Vermögenswerte bewegen konnten. Eine Änderung an einer Governance-Seite, einem Konto oder Stimmrechten belegt für sich genommen noch nicht, dass sämtliche Projektmittel übertragen wurden. Die endgültige Schadenssumme muss anhand von On-Chain-Transaktionen, Projektmitteilungen und den Guthaben der betroffenen Wallets ermittelt werden.
Verluste von mehreren Millionen Dollar nicht bestätigt
Öffentliche Angaben beziffern den Schaden bislang lediglich mit „mehreren Millionen Dollar“. Eine unabhängig bestätigte Summe liegt nicht vor. Bei einem Kryptoprojekt kann die Bewertung mehr umfassen als direkt aus Wallets transferierte Token. Einbezogen werden könnten auch Vermögenswerte in Liquiditätspools, Treasury-Bestände, gestakte Positionen und spätere Verbindlichkeiten, die durch Änderungen an den Governance-Rechten entstanden sind.
Marktteilnehmer dürften vor allem drei Datenbereiche prüfen: die Entwicklung der Wallet-Guthaben vor und nach der Kompromittierung, mögliche On-Chain-Transfers an Börsen oder bislang nicht identifizierte Adressen sowie die Frage, ob das Projekt Auszahlungen weiterhin abwickeln und Smart-Contract-Funktionen normal ausführen kann. Solange diese Informationen fehlen, lässt sich von außen nur schwer beurteilen, ob der Mittelabfluss beendet ist oder weitere Übertragungen möglich bleiben.
Zugriffsrechte und Nutzervermögen unter Beobachtung
X 100 Global muss noch erläutern, welchen Umfang die Befugnisse der drei Governance-Sitze hatten, wann die ungewöhnlichen Aktivitäten begannen, welche Verträge und Wallets betroffen sind und ob die entsprechenden Rechte inzwischen ausgesetzt wurden. Falls die Sitze Treasury-Adressen ändern, Verträge aktualisieren oder Parameter der Mittelverwaltung anpassen konnten, wäre zudem zu klären, ob Zugriffe eingefroren oder widerrufen und Vermögenswerte auf neue Wallets verschoben wurden.
Für Nutzer steht vor allem im Vordergrund, ob Auszahlungen möglich sind, welche Vermögenswerte betroffen sind und ob das Projekt seine Bestandsaufnahme sowie mögliche Entschädigungsregelungen abgeschlossen hat. Angaben zu individuellen Nutzerverlusten, zum Status der Auszahlungen und zum Wiederherstellungsplan sind weiterhin unvollständig. Sobald weitere Wallet-Adressen und Governance-Aufzeichnungen öffentlich werden, dürften sich das Ausmaß des Vorfalls und die Zuordnung der Verantwortung genauer bestimmen lassen.