ZetaChain wurde Berichten zufolge um 87 Dollar gehackt. Nicht Millionen. Dollar.

Die Kryptowelt hatte dieses Jahr schon einige Tiefpunkte, aber dieser hier hat einen überraschenden Unterton. Laut einem Beitrag von Kreig_DK auf X wurde ZetaChain „gestern“ gehackt, und der Gesamtschaden belief sich auf 87 US-Dollar. KuCoin griff dies am 23. Oktober im Newsfeed unter dem Titel „Meme des Tages“ auf.

Siebenundachtzig Dollar. Eine überhöhte Tauschgebühr an einem ruhigen Nachmittag würde mehr Schaden anrichten.

Nun zum langweiligen Teil. Stand 24. Oktober kann ich nichts davon bestätigen. Ich habe weder eine Stellungnahme von ZetaChain noch eine Warnung von PeckShield oder CertiK gefunden, und dem Beitrag ist auch kein Transaktions-Hash beigefügt. Aktuell handelt es sich um eine Behauptung mit einer merkwürdigen Zahl, nicht um einen verifizierten Vorfall.

Der April-Hack war kein Scherz.

Der eigentliche Angriff auf ZetaChain ereignete sich im April, und niemand lachte darüber. Am 27. April gab das Team auf X bekannt, dass der GatewayEVM-Smart-Contract angegriffen worden war, dass aber nur interne Team-Wallets betroffen waren und Cross-Chain-Transaktionen pausiert wurden. SlowMist lokalisierte die Ursache in der Call-Funktion von GatewayZEVM, die weder Zugriffskontrolle noch Eingabevalidierung aufwies. Die Namen der Smart Contracts unterscheiden sich in den beiden Aussagen.

Die ersten Schadensschätzungen gingen weit auseinander. The Block nannte DefiLlama einen Schaden von 300.000 US-Dollar, während Cryptopolitan von weniger als 10.000 US-Dollar ausging. Die Analyse ergab einen Schaden von 333.868 US-Dollar, verteilt auf neun Transaktionen auf Ethereum, Arbitrum, Base und der BNB Smart Chain. Alle Transaktionen stammten aus den Wallets von drei verschiedenen Teams. Selbst beim Datum des Angriffs herrscht Uneinigkeit: The Block nennt den 24. April, crypto.news hingegen Sonntag, den 26. April.

Der Angreifer hatte seine Hausaufgaben gemacht. Die Wallet wurde drei Tage zuvor über Tornado Cash aufgeladen, ein spezieller Smart Contract zum Abgreifen der Token wurde eingesetzt und vor dem Abgreifen der Token eine Address-Poisoning-Kampagne durchgeführt, wie crypto.news berichtete. Das Abgreifen der Token nutzte zudem unbegrenzte Token-Genehmigungen aus, die niemand widerrufen hatte. Die Sicherheitslücke war ZetaChain bereits über deren Bug-Bounty-Programm bekannt geworden, wo die ersten Meldungen als beabsichtigtes Verhalten abgetan wurden.

Dieses letzte Detail kann ich nicht einfach ignorieren. 334.000 Dollar aus der Teamkasse zu verlieren, ist eine teure Lektion. Im Voraus über das Loch informiert zu werden und es als „absichtlich geplant“ abzutun, ist eine ganz andere Art von Peinlichkeit.

Der Verlust im April war etwa 3.800 Mal größer als 87 Dollar.

Eine Kette auf dem absteigenden Ast

Für alle, die es aus den Augen verloren haben: ZetaChain startete 2021 als Interoperabilitätsschicht 1 und versprach eine einzige Blockchain, die mit Bitcoin, Ethereum und allen anderen Kryptowährungen kommunizieren kann. Laut Cointelegraph sammelte das Unternehmen 2023 27 Millionen US-Dollar von Investoren wie Blockchain.com, Jane Street Capital, Human Capital und Sky9 Capital ein.

Diese Strategie hat sich weitgehend erledigt. Laut TokenRadar kündigte ZetaChain am 1. Juni an, die Cross-Chain-Funktionen einzustellen, um sich auf Anuma, eine private KI-App, zu konzentrieren. Am 20. September stimmten die Token-Inhaber mit 99,4% Zustimmung bei einer Wahlbeteiligung von 58% und einem Quorum von 40% für Vorschlag 68. Der Plan: ZETA soll im Verhältnis 1:1 als SPL-Token auf Solana transferiert und die L1-Kette schließlich abgeschaltet werden. Laut CryptoRank hat Anuma bereits über 300.000 Nutzer.

Die Abstimmung hat nichts beendet. Ein zweiter Vorschlag muss noch den Snapshot, das Auszahlungsfenster und das Aussetzungsdatum festlegen, daher läuft der L1-Workflow weiter. ZETA notierte auf der KuCoin-Seite bei etwa 0,0407 US-Dollar, ein Minus von rund 1,7% im Tagesverlauf. Ende April lag der Kurs laut Cryptopolitan bei etwa 0,054 US-Dollar.

ZetaChain ist nicht die einzige Blockchain, die den Betrieb einstellt. BounceBit hat seine eigenständige Blockchain im August abgeschaltet, nachdem ein Autorisierungsfehler das Unternehmen rund 3 Millionen US-Dollar an BB-Token gekostet hatte. Harmony schlug am 6. September die Abschaltung seiner eigenen Layer-1-Blockchain vor, wenige Wochen nachdem durch eine Sicherheitslücke unautorisierte ONE-Token geschaffen worden waren, wie Cointelegraph berichtete.

Wozu dienten also die 87 Dollar?

Ich weiß es nicht, und soweit ich weiß, hat sich auch niemand öffentlich dazu geäußert. Meine Vermutung – und das ist wirklich nur eine Vermutung – lautet: übriggebliebene Token-Genehmigungen. Nach April forderte ZetaChain alle Nutzer der Gateway-Verträge auf, ihre ERC-20-Berechtigungen zu widerrufen, und Blockaid hatte am 27. April dieselbe Empfehlung ausgesprochen und auf Revoke.cash verwiesen. Einige haben das sicherlich nicht befolgt. Ein Tool, das veraltete Genehmigungen von ehemaligen Nutzern einer sterbenden Blockchain einsammelt, würde vermutlich Dollar einbringen – und zwar nicht Dollar mit Kommas.

Die anderen Optionen sind weniger interessant: eine winzige Testtransaktion oder ein Tracker, der Dust als Hack kennzeichnet. Suchen Sie sich Ihre Lieblingsoption aus.

Zum Vergleich: PeckShield zählte im September, dem bisher schlimmsten Monat des Jahres 2026, 55 größere Vorfälle und einen Diebstahlschaden von rund 766,5 Millionen US-Dollar. CertiK verzeichnete laut Bitbase 97 Vorfälle und einen Schaden von 768,4 Millionen US-Dollar; der Gesamtschaden für 2026 beläuft sich auf 2,68 Milliarden US-Dollar bei 656 Vorfällen. Die 87 US-Dollar werden in keinem der Dashboards erfasst.

Falls Sie jemals die Gateway-Verträge von ZetaChain genehmigt haben, gehen Sie zu Revoke.cash und löschen Sie diese. Das dauert nur eine Minute und kostet in der Regel weniger als die 87 Dollar, über die wir alle gelacht haben.