Das Singapurer Krypto-Zahlungsunternehmen Triple-A hat am Wochenende einen unautorisierten Zugriff auf seine Treasury-Wallets bestätigt. Laut Onchain-Analyst Specter stiegen die Verluste bis Sonntag auf rund 11,8 Millionen US-Dollar, nachdem erste Meldungen am Freitag noch von 9,3 Millionen Dollar ausgingen. Besonders brisant ist hier, dass neue Einzahlungen noch 31 Stunden nach den ersten Abflüssen automatisch abgezogen wurden.
Triple-A entdeckte den unautorisierten Zugriff am Samstag und schaltete betroffene Dienste für rund drei Stunden in den Wartungsmodus. Das Unternehmen betont, dass Kundenguthaben nicht betroffen seien, da Triple-A keine digitalen Vermögenswerte im Auftrag von Kunden verwahrt, sondern Kundengelder separat in Treuhandkonten bei Verwahrstellen hält. Betroffen ist also allein die Treasury des Unternehmens selbst.
Dass ausgerechnet dort ein Hot Wallet kompromittiert wurde, zeigt trotzdem, warum “Not your keys, not your coins” für alle gilt, die ihre Coins nicht bei einem Dienstleister, sondern in eigener Verantwortung halten wollen, offline gespeicherte Schlüssel auf einer Hardware-Wallet lassen sich aus der Ferne nicht abgreifen. Wie genau die Wallets kompromittiert wurden, hat Triple-A bislang nicht offengelegt.
Sieben Chains, ein Ziel
Die Angriffsfläche war breit. Laut Specter und Blockchain-Sicherheitsfirma PeckShield erfasste der Drain zunächst Ethereum, TRON, Polygon, Arbitrum, Solana und TON, am Sonntag kamen Bitcoin und weitere TRON-Transaktionen hinzu. Die gestohlenen Assets wurden gebündelt und über Bridges auf Ethereum transferiert, eine einzelne Ethereum-Adresse hielt zwischenzeitlich 5.226,67 ETH im Wert von rund 9,73 Millionen Dollar, verteilt über acht eingehende Transfers zwischen Freitagabend und Samstagmorgen.
Triple-A ist als Major Payment Institution von der Monetary Authority of Singapore lizenziert und verarbeitet Stablecoin-Zahlungen für Händler mit Settlement in Lokalwährung. Die europäische Tochter Paytop SAS hält Lizenzen in Frankreich, in den USA und Kanada ist das Unternehmen zudem als Money Services Business registriert. Nach eigenen Angaben arbeitet Triple-A mit Cybersecurity-Spezialisten, Blockchain-Forensik-Firmen und der Singapore Police Force zusammen.
Der Vorfall reiht sich in eine Woche mit mehreren großen Krypto-Exploits ein. Das Arbitrum-Protokoll AFX Trade verlor am 22. Juli rund 24,15 Millionen Dollar durch einen Angriff auf seine Custody-Bridge, die Verus-Ethereum-Bridge büßte am selben Tag 7,54 Millionen Dollar ein, ihr zweiter Breach seit Mai. Die Juli-Hacks kommen damit laut Onchain-Daten auf fast 97 Millionen Dollar Gesamtschaden.
