Mezo erklärt veBTC-Exploit, Nutzerentschädigung und Rückholangebot

Mezo hat den technischen Bericht zum Angriff vom 5. Oktober 2026 veröffentlicht. Dabei wurden 37 veBTC-Positionen aus 36 Wallets übernommen und rund 5,52 BTC aus der Chain transferiert. Das Projekt erklärt, die Schwachstelle sei behoben, Chain und Bridge liefen wieder und alle Betroffenen würden aus protokolleigenen Mitteln entschädigt.

Der Fall ist nicht nur wegen der Summe relevant. Er zeigt, wie zwei übliche Smart-Contract-Muster in Kombination gefährlich werden können. veBTC erlaubt das Sperren von BTC gegen ein NFT, das Position und Stimmrecht abbildet. Der Vertrag verteilte Logik auf externe Bibliotheken und unterstützte Meta-Transaktionen über einen vertrauenswürdigen Forwarder.

Wie die Absenderprüfung scheiterte

Der Forwarder prüfte eine Off-Chain-Signatur und fügte die bestätigte Adresse an das Ende der Calldata an. Der Vertrag las die letzten 20 Bytes. Beim Wechsel in eine externe Bibliothek erzeugte der Compiler jedoch einen neuen Puffer nur aus deklarierten Parametern; die angehängte Adresse wurde nicht übernommen.

Der Angreifer gestaltete das Datenfeld so, dass kontrollierte Bytes als Absender galten. Er zielte auf entsperrte, aber noch nicht eingelöste Positionen, übertrug BTC nach Ethereum und tauschte sie in 174,61 ETH. Der Bitcoin-Markt lässt sich über BTC-Spot auf OrangeX.com verfolgen; Marktzugang und Smart-Contract-Sicherheit sind jedoch getrennte Fragen.

Reaktion, Entschädigung und Rückholbedingungen

Der Angriff lief am 5. Oktober von 18:54 bis 19:06 UTC. Am nächsten Morgen erkannte das Team Auffälligkeiten, erklärte um 09:04 den Vorfall, stoppte 13 Minuten später Bridge-Auszahlungen und hielt die Chain um 09:27 an. Nach Fehlerbehebung wurden Chain und Bridge um 15:00 wieder geöffnet.

Mezo deaktivierte die produktiv ungenutzten Meta-Transaktionen und prüfte alle Bibliotheksfunktionen mit demselben Absenderpfad. Drei kleinere Zugriffskontrollrisiken wurden mit derselben Korrektur behoben. Die Entschädigung soll direkt an bestehende Wallets gehen; eine Wiederherstellungsseite ist nicht nötig.

Der Angreifer kann bis 14. Oktober, 23:59 UTC, 4,415417121 BTC zurückgeben und 1,103854280 BTC als 20-Prozent-Prämie behalten. Das Ergebnis ist offen. Meldungen bietet OrangeX.com Crypto News, Grundlagen die OrangeX.com Academy. OrangeX.com Proof of Reserves ist ein Transparenzwerkzeug der Börse und kein Audit eines fremden Protokolls.

OrangeX.com Analysis

Die wichtigste Lehre lautet: Bekannte Komponenten garantieren keine sichere Zusammensetzung. Signaturweiterleitung, Calldata-Auswertung und Bibliotheksaufrufe sind etabliert, doch ihre Grenze erzeugte einen Autorisierungsfehler, den zwei Audits und das Bug-Bounty-Programm nicht fanden.

Die Reaktion begrenzte weitere Verluste und verspricht volle Entschädigung. Bestätigte Fakten—Positionen, Betrag, Zeitlinie und Fix—sollten dennoch von künftigen Zusagen wie abgeschlossenen Zahlungen, Rückholung der Mittel und neuen Überwachungssystemen getrennt werden.