Ein Hacker verdiente 1,2 Millionen Dollar mit einem einzigen Tweet über den CEO-Account von Robinhood.

Am Donnerstag drang jemand in Vlad Tenevs X-Konto ein und nutzte es, um eine gefälschte Memecoin zu erstellen. Bis der Betrug bemerkt wurde, hatte der Angreifer bereits rund 650 ETH erbeutet, was etwa 1,2 bis 1,3 Millionen US-Dollar entspricht.

Der Beitrag behauptete, ein Token namens Vladhood (VLAD) sei das „offizielle Maskottchen“ der Robinhood Chain, dem Ethereum-Layer-2-Netzwerk des Unternehmens, das am 1. Juli live ging. Außerdem hieß es, VLAD würde in der Robinhood-App gelistet. Beides war falsch. Innerhalb von 20 Minuten hatte der Beitrag über 175.000 Aufrufe, und die ersten Käufe begannen. Das Handelsvolumen des Tokens auf Uniswap erreichte innerhalb weniger Stunden 22 Millionen US-Dollar – ein deutliches Zeichen dafür, wie schnell sich Krypto-Twitter-Trends entwickeln, wenn ein „verifizierter“ Account eine Smart Contract-Adresse veröffentlicht.

Das Raffinierte daran ist nicht der Hack selbst. Kontoübernahmen, bei denen gefälschte Token verbreitet werden, gibt es schon seit Jahren – Sydney Sweeney, 50 Cent, die üblichen Verdächtigen. Der Unterschied liegt hier in der Art und Weise, wie das Geld abfloss. VLAD wurde über Pons eingeführt, eine Launchpad-Plattform, die zwar die Liquidität sperrt, aber demjenigen, der den Token bereitgestellt hat, weiterhin die Handelsgebühren ermöglicht. Es gab also keinen klassischen Rug Pull, kein plötzliches Leeren des Pools. Der Angreifer rief einfach wiederholt die Gebührenabhebungsfunktion auf und ließ so ETH abfließen, während der Token im Hintergrund weitergehandelt wurde. Bis Robinhoods Kommunikationskonto eine Warnung veröffentlichte und der Tweet gelöscht wurde, war das Geld bereits weg. Der Explorer der Robinhood Chain hat den Vertrag daraufhin als Betrugsversuch eingestuft.

Tenev hat seinen Account zurückbekommen und den Leuten gesagt, er warte noch auf Details von X, und – was auch immer das zu diesem Zeitpunkt von Bedeutung ist – Robinhood hat noch keine eigene Kryptowährung herausgegeben.

Die zeitliche Abfolge wirkt etwas befremdlich. Robinhood hat diese Blockchain entwickelt, um tokenisierte Aktien und reale Vermögenswerte anzubieten. Stattdessen haben Memecoins sie praktisch übernommen. Das Netzwerk verzeichnet täglich Millionen von Transaktionen, und die meisten davon betreffen keine realen Vermögenswerte.

Tenevs Konto war an diesem Tag nicht einmal das schlimmste. Lookonchain meldete drei separate Sicherheitslücken innerhalb von etwa 24 Stunden: AFX Trade, Verus und B² Network. Der Gesamtschaden belief sich auf 35,55 Millionen US-Dollar. Die Arbitrum-Bridge von AFX Trade verlor 24,15 Millionen US-Dollar in USDC, nachdem die Signaturschlüssel des Validators kompromittiert worden waren. Verus wurde erneut getroffen – die Ethereum-Bridge verlor 7,54 Millionen US-Dollar, nur zwei Monate nach einer nahezu identischen Sicherheitslücke im Mai, die einen Schaden von 8 Millionen US-Dollar verursachte. Laut Blockaid nutzten beide Angriffe denselben Smart Contract, denselben Einstiegspfad und denselben Fehler. Dieser wurde beim ersten Mal nicht behoben. B² Network verlor rund 3,86 Millionen US-Dollar in seinem eigenen Token, der auf der BNB Chain schnell abverkauft wurde.

Manche nennen es halb im Scherz „Hackertag“. Vier Vorfälle, vier verschiedene Mechanismen: ein gehacktes Konto, zwei Bridge-Exploits, ein Token-Dump. Nicht wirklich eine zusammenhängende Geschichte. Aber das Muster ist jedes Mal dasselbe: Man findet etwas, das niemand genau genug beobachtet – einen privaten Schlüssel, ein Validator-Set, eine Launchpad-Gebührenfunktion – und schlägt zu.