Kurzantwort (Oktober 2026): Am 4. Juni 2026 legte ein Angreifer die Gravity Bridge lahm, die die Cosmos-Chains mit Ethereum verbindet. Er platzierte eine gefälschte Token-Wertzeichenfolge, die die Bridge nicht validieren konnte, und hob anschließend reale Vermögenswerte ab. Es handelte sich um einen Logikfehler, nicht um einen kryptografischen Einbruch. Für Swap-Nutzer gilt: Ein Bridge-Pool legt die Gelder aller Einzahler gleichzeitig offen, während ein Pass-Through-Swap die Gelder nicht bündelt.
Am 4. Juni 2026 verlor die Gravity Bridge, eine Cross-Chain-Bridge zwischen Cosmos-basierten Blockchains und Ethereum, rund 5.4 Millionen US-Dollar an einen Angreifer, der eine Sicherheitslücke in der Token-Verarbeitung der Bridge ausnutzte. Laut rekt.news prägte der Angreifer wertlose Token auf Osmosis, manipulierte das Token-Register mit einer gefälschten Wertangabe und nutzte diese anschließend, um reale Vermögenswerte zu stehlen. Die Summe von 5.4 Millionen US-Dollar ist eine erste Schätzung und kann sich im Zuge der weiteren On-Chain-Analyse noch ändern.
Kurz gesagt: Gravity Bridge wurde nicht durch einen Fehler im Smart Contract angegriffen, sondern durch einen Fehler bei der Validierung der Token-Wertzeichenfolge. Dadurch konnte ein Angreifer mithilfe einer gefälschten Kennung den tatsächlichen Token-Wert abgreifen. Der Fehler lag in der Logik und Konfiguration, nicht in der Kryptografie.
Was geschah wirklich auf der Schwerkraftbrücke?
Gravity Bridge transferiert Assets zwischen Cosmos-Chains und Ethereum. Dazu ordnet es einen Token einer Chain einer Repräsentation auf der anderen Chain mithilfe einer Zeichenkette namens „ Denom“ (kurz für „Denominierung“) zu. Diese Zeichenkette ist die zentrale Informationsquelle der Bridge für die Frage: „Welches Asset ist das und welchen Wert hat es?“
Laut rekt.news prägte der Angreifer auf Osmosis einen wertlosen Token und schleuste anschließend eine gefälschte Währungsangabe in das Register der Bridge ein. Da die Bridge diese Angabe nicht korrekt validierte, behandelte sie die gefälschte Währungsangabe so, als ob sie einem realen, wertvollen Vermögenswert zugeordnet wäre. Der Angreifer hob daraufhin echte Vermögenswerte gegen den gefälschten Eintrag ab und erbeutete so schätzungsweise 5.4 Millionen US-Dollar.
Dies war kein Fehler in den zugrundeliegenden Blockchains oder deren Kryptografie. Es handelte sich um eine Validierungslücke in der Art und Weise, wie die Bridge Denom-Daten akzeptierte und ihnen vertraute – ein Logik- und Konfigurationsproblem. Bridges sind häufige Angriffsziele, da sie gepoolte Assets verwalten und auf Off-Chain- oder Registry-Daten angewiesen sind, die, wenn sie manipuliert werden, gegen den Pool verwendet werden können.
Was das für Nutzer von Swap- und Privacy-Coins bedeutet
Die meisten Menschen betreiben keine direkte Bridge. Sie interagieren indirekt mit einer solchen, wenn eine Börse, ein Wrapper oder ein Routing-Dienst ihre Gelder zwischen verschiedenen Blockchains transferiert und sie – sei es auch nur kurz – in einem gemeinsamen Pool verwahrt. Genau dort konzentriert sich das Risiko.
Wenn Sie Vermögenswerte über eine Cross-Chain-Custodial-Plattform transferieren oder dort verwahren, befinden sich Ihre Gelder zusammen mit denen aller anderen Nutzer in einem Pool, dessen Sicherheiten von der Validierungslogik des Betreibers abhängen. Versagt diese Logik, wie im vorliegenden Fall, sind die gepoolten und während des Transfers befindlichen Gelder gefährdet. Der Vorfall bei Gravity Bridge ist der jüngste in einer langen Reihe von Bridge- und Pool-Custodial-Fehlern, nach Sicherheitslücken in THORChain (2026) und mehreren Datenverlusten im Safe-Modul.
Die praktische Schlussfolgerung betrifft die Architektur , nicht die Schuldzuweisung:
- Die Zusammenlegung von Depots konzentriert das RisikoEin einziger Validierungsfehler kann alle Einzahler gleichzeitig betreffen.
- Brücken schaffen VertrauensbasisJeder einzelne Schritt beim Wrapping, der Registrierung und der Denom-Zuordnung birgt das Risiko einer Fehlkonfiguration.
- Gelder im Transit sind gefährdetJe länger Vermögenswerte in einem gemeinsamen Vertrag verbleiben, desto größer wird das Ziel.
Wie sich ein Non-Custodial-Swap strukturell unterscheidet
Ein Swap ohne Verwahrung und ohne KYC-Prüfung leitet Ihre Vermögenswerte direkt durch diesen Service, anstatt sie in einem gemeinsamen Pool zu parken. Der Unterschied ist struktureller Natur und keine Sicherheitsgarantie; jeder Service hat Angriffsfläche. Es ändert sich jedoch, wer welchen Risiken ausgesetzt ist.
GhostSwap ist eine Kryptobörse ohne KYC-Verfahren: Für den Tausch sind weder ein Konto noch eine E-Mail-Adresse oder eine Identitätsprüfung erforderlich. Die Gelder werden ohne Verwahrung durch GhostSwap transferiert und niemals von diesem verwaltet. Sie geben eine Empfangsadresse und gegebenenfalls eine Rückbuchungsadresse an; der Tausch wird direkt an diese Adresse abgeschlossen.
| Funktion | Non-Custodial Swap (GhostSwap) | Brücke / gemeinsame Verwahrung |
|---|---|---|
| Wo sich die Gelder befinden | Durchgeleitet; an Ihre Adresse weitergeleitet | In einem gemeinsamen Vertrag zusammengefasst |
| Konto / KYC | Nicht erforderlich | Oftmals kontobeschränkt |
| Vertrauensoberfläche | Routing + Gegenpartei | Registry, Denom-Mapping, Pool-Logik |
| Wer wird in einem Abflussrohr bloßgestellt? | Nur während des Transits | Alle Einleger im Pool |
GhostSwap unterstützt über 1,600 Handelspaare in den Netzwerken von BTC, ETH, XMR, SOL und anderen Kryptowährungen. Die Preise basieren auf aggregierter Liquidität führender Kryptomärkte und sind variabel. Die durchschnittliche Swap-Dauer beträgt etwa 8 Minuten, kann aber je nach Auslastung der Blockchain variieren (in Ausnahmefällen kann es bis zu 30 Minuten dauern). Es geht nicht darum, dass Pass-Through-Swaps risikofrei sind, sondern darum, dass Sie Ihre Vermögenswerte nicht in einem Pool hinterlegen müssen, der durch gefälschte Token leicht geleert werden kann.
Wie man tauscht, ohne Gelder in einem Brückenpool zu halten
Wenn Sie zwischen Blockchains wechseln möchten, ohne Gelder in einer Verwahrstelle zu belassen, bietet ein Pass-Through-Swap das einfachere Risikoprofil. Der Ablauf ist kurz:
- Wähle dein Paar, beispielsweise, Tausche BTC in XMR.
- Geben Sie Ihre Empfangsadresse einund eine Rückerstattungsadresse.
- Senden Sie die AnzahlungDer Tauschvorgang läuft über Ihre Adresse und wird dort abgeschlossen.
Sie können über das Tausch-Widget auf der GhostSwap-Homepage auch ohne Konto und E-Mail-Adresse loslegen. Eine Schritt-für-Schritt-Anleitung finden Sie unter „Kryptowährungen kaufen“.
FAQ
F: Wurde Gravity Bridge durch einen Fehler in einem Smart Contract gehackt?
A: Nein. rekt.newsDer Verlust resultierte aus einem Fehler bei der Validierung der Token-Zeichenkette, einer Logik- und Konfigurationslücke, nicht aus einem Fehler in der Kryptografie der Blockchain. Der Angreifer hatte einen Token-Identifikator gefälscht, dem die Bridge vertraute.
F: Wie hoch war der Verlust bei der Gravity Bridge-Attacke?
A: Geschätzte 5.4 Millionen US-Dollar zum 4. Juni 2026. Dies ist eine vorläufige Schätzung; On-Chain-Forensik kann die Schadensschätzungen im Zuge der weiteren Analyse revidieren.
F: Sind meine Gelder bei einem Swap ohne Verwahrung sicherer?
A: Bei einem Non-Custodial-Swap werden die Gelder nicht in einem Pool zusammengeführt, sondern direkt durchgeleitet. Dadurch sind nicht alle Einleger von einem Ausfall eines einzelnen Pools betroffen. Dies ist ein struktureller Unterschied, keine Garantie; jeder Dienst hat ein gewisses Angriffspotenzial.
F: Benötige ich ein Konto, um GhostSwap zu nutzen?
A: Nein. Es gibt kein Konto, keine E-Mail-Adresse und keine Identitätsprüfung, die ausgetauscht werden müsste. Sie geben eine Empfangsadresse und optional eine Rücksendeadresse an; die Gelder werden ohne Verwahrung durch Sie überwiesen.
Tauschen Sie, ohne Ihr Geld in einem Pool anzulegen.
Bridge-Drains belasten immer wieder gepoolte, verwahrende Systeme. Wenn Sie Ihre Vermögenswerte nicht in einem gemeinsamen Vertrag belassen möchten, starten Sie einen No-Account-Swap direkt von der GhostSwap-Homepage.
