Taiko wurde um 1,7 Mio. Dollar gehackt. Daraufhin stieg der Wert des Tokens um das Neunfache.

Am 22. Juni hat jemand 1,7 Millionen Dollar aus der Ethereum-L2-Brücke von Taiko abgezogen. Nicht, indem er einen raffinierten Fehler im Smart Contract aufgedeckt hat, sondern indem er einen privaten Schlüssel gefunden hat. Ein RSA-3072-Schlüssel namens „enclave-key.pem“, der sich in Taikos öffentlichem GitHub-Repo (taikoxyz/raiko) befand und von jedem mit einem Konto kostenlos heruntergeladen werden konnte. Dieser Schlüssel hätte eigentlich in einer Intel-SGX-Enklave gesperrt bleiben sollen, wo er Nachweise signiert, die der Bridge bestätigen : „Ja, diese Auszahlung ist echt.“ Stattdessen schnappte sich der Angreifer den Schlüssel, registrierte seine eigene gefälschte Hardware als vertrauenswürdigen Prüfer und fälschte Auszahlungsnachweise, an denen die Bridge keinen Grund hatte, zu zweifeln. Die Blockproduktion wurde eingestellt. Das Team forderte alle auf, ihre Gelder unverzüglich aus allen Brücken im Netzwerk abzuziehen.

Zehn Tage später, am 2. Juli, wurde die Bridge wieder geöffnet. Laut einer eigenen Ankündigung von Taiko wurden alle betroffenen Nutzer aus der Kasse entschädigt. Und dann wurde es seltsam.

TAIKO erholte sich nicht nur – der Kurs schoss in die Höhe. Von einem Allzeittief von rund 0,058 US-Dollar am 29. Juni stieg der Token innerhalb von 24 Stunden auf bis zu 0,52 US-Dollar – eine etwa 9-fache Steigerung –, bevor er sich wieder auf etwa 0,13–0,14 US-Dollar einpendelte. Das ist immer noch etwa doppelt so viel wie der Kurs unmittelbar nach dem Hack. CoinDesk verzeichnete den Anstieg auf bis zu 136% in einer einzigen Sitzung; CoinGecko gibt einen Anstieg von 114% über die Woche an. Das Handelsvolumen explodierte an einem Tag auf über 100 Millionen US-Dollar für einen Token mit einer Marktkapitalisierung von 27 Millionen US-Dollar.

Vor einem Jahr sah das Muster so aus: Ein Shitcoin wird von einer Börse delistet, der Kurs schießt in die Höhe, niemand kann erklären, warum – außer mit „weniger Verkaufsdruck, weniger vernünftige Beobachter“. Nun scheint es offenbar so zu sein, dass das Durchsickern des Signaturschlüssels auf GitHub und der Verlust eines siebenstelligen Betrags denselben Effekt haben. Vielleicht sind es Erleichterungskäufe: Die Korrektur hat funktioniert, alle wurden zurückgezahlt – warum also nicht mitmachen? Vielleicht handelt es sich einfach um einen Token mit geringem Umlauf, bei dem jede Schlagzeile, ob gut oder schlecht, ausreicht, um ihn in die Höhe schnellen zu lassen. Wahrscheinlich beides.

Was hier tatsächlich passiert ist, sollte man sich jedoch vor Augen halten. Es handelte sich nicht um einen Fehler im Smart Contract. Taikos gesamtes Multi-Prover-Setup – SGX plus ZK-Backends – war so konzipiert, dass ein Angreifer zwei unabhängige Systeme gleichzeitig knacken müsste. All das spielte jedoch keine Rolle, da der Schlüssel die Enklave gar nicht erst hätte verlassen dürfen, landete aber an einem Ort, an dem jedes Skript ihn finden konnte. Das ist kein kryptografisches Versagen. Das ist ein „.gitignore“-Versagen. PeckShield beziffert das Gesamtvolumen der Bridge-Hacks im Jahr 2026 auf über340 Millionen Dollar bei mindestens 14 Vorfällen, und der rote Faden bei den meisten davon ist nicht fehlerhafte Mathematik, sondern dass jemand vergessen hat, eine Tür abzuschließen.

Taiko kündigt eine umfassende Nachbetrachtung an. Bis dahin gilt: Die Bridge funktioniert, die Nutzer haben ihr Geld zurückbekommen, und auf dem Diagramm sieht es so aus, als wäre gar nichts Schlimmes passiert.