Solido-Exploit: Wie ein veralteter Preis-Feed 293,7 Millionen SUPRA abfließen ließ
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca. Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca.
Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
90 % der gestohlenen Gelder gehörten der Solido Stiftung selbst, nicht privaten Nutzern.
Nur zwölf Tage zuvor hatte ein ähnlicher Oracle Angriff auf Bonzo Lend einen Schaden von 9,05 Millionen US Dollar verursacht – beide Angriffe nutzten Schwachstellen im Oracle Ökosystem von Supra aus.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
Am 23. Juli 2026 entwendete ein Angreifer 293,7 Millionen SUPRA-Token (damaliger Wert: rund 900.000 US-Dollar) aus dem Kreditprotokoll Solido Money. Es handelte sich nicht um einen komplexen Smart-Contract-Hack, sondern um einen Preisfehler – die eigentliche Ursache war eine falsch zugewiesene Preis-Quote (Oracle-Fehler) im Solido-Cash-Besicherungssystem .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Solido-Exploit: Wie ein veralteter Preis-Feed 293,7 Millionen SUPRA abfließen ließ“?
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca. Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
Was soll ich als nächstes in der Praxis tun?
90 % der gestohlenen Gelder gehörten der Solido Stiftung selbst, nicht privaten Nutzern.
Solido-Exploit: Wie ein veralteter Preis-Feed 293,7 Millionen SUPRA abfließen ließ
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca. Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca.
Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
90 % der gestohlenen Gelder gehörten der Solido Stiftung selbst, nicht privaten Nutzern.
Nur zwölf Tage zuvor hatte ein ähnlicher Oracle Angriff auf Bonzo Lend einen Schaden von 9,05 Millionen US Dollar verursacht – beide Angriffe nutzten Schwachstellen im Oracle Ökosystem von Supra aus.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
Am 23. Juli 2026 entwendete ein Angreifer 293,7 Millionen SUPRA-Token (damaliger Wert: rund 900.000 US-Dollar) aus dem Kreditprotokoll Solido Money. Es handelte sich nicht um einen komplexen Smart-Contract-Hack, sondern um einen Preisfehler – die eigentliche Ursache war eine falsch zugewiesene Preis-Quote (Oracle-Fehler) im Solido-Cash-Besicherungssystem .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Solido-Exploit: Wie ein veralteter Preis-Feed 293,7 Millionen SUPRA abfließen ließ“?
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 23. Juli 2026 lenkte ein Angreifer 293,7 Millionen SUPRA Token (ca. Die Sicherheitslücke war eine fehlerhafte Oracle Zuweisung: Ein nicht mehr aktueller Preis für SOLID Kollateral erlaubte es dem Angreifer, weit mehr zu leihen, als die tatsächliche Sicherheit wert war.
Was soll ich als nächstes in der Praxis tun?
90 % der gestohlenen Gelder gehörten der Solido Stiftung selbst, nicht privaten Nutzern.
Wie der Angreifer einen veralteten Preis-Feed ausnutzte
Die Kernschwachstelle lag in einer fehlerhaften Oracle-Konfiguration im Solido-Cash-Kreditprotokoll: Genauer gesagt wurde ein veralteter oder falsch konfigurierter Preis-Feed für SOLID-Sicherheiten verwendet . Das Protokoll bewertete die SOLID-Sicherheiten auf Basis eines veralteten oder falsch zugeordneten Oracle-Preises, sodass der Wert der Sicherheiten weit über dem tatsächlichen Marktpreis lag . Indem der Angreifer SOLID als Sicherheit zu dieser überhöhten Bewertung hinterlegte, konnte er 293,7 Millionen SUPRA-Token abziehen – weit mehr, als die tatsächliche Sicherheit gedeckt hätte .
Der Angriff erfolgte in zwei separaten Wellen, die beide dieselbe Schwachstelle ausnutzten :
Welle A (18:21:35 UTC): Eine einzige Transaktion verknüpfte mehrere Schritte – Tausch von Token, Hinterlegung als Sicherheit und Prägung neuer CASH – und erbeutete 266.778.767 SUPRA .
Welle B: Der Angreifer wiederholte das gleiche Muster und erhöhte die Gesamtbeute auf rund 293,7 Millionen SUPRA .
Die Sicherheitsfirma PeckShield bestätigte den Angriff und die ungefähre Schadenshöhe .
Besonders wichtig: Rund 90 % der gestohlenen Gelder gehörten der Solido-Stiftung selbst, nicht einzelnen Nutzern. Die Stiftung trug also fast den gesamten Verlust – nicht die privaten Kreditgeber oder Kreditnehmer .
Wohin die Blockchain-Forensik die Gelder verfolgte
Solido Money veröffentlichte einen forensischen Bericht, der die On-Chain-Spur nachzeichnete:
Rund 220 Millionen SUPRA – etwa 84 % der gestohlenen Token – wurden auf eine mutmaßliche Gate.io-Einzahlungsadresse verschoben . Einige Quellen runden diesen Anteil auf „knapp 90 %" der gestohlenen Gelder (220 Mio. von 293,7 Mio.) . Die 84-Prozent-Angabe stammt aus dem eigenen Bericht des Protokolls und wird von mehreren Nachrichtenquellen bestätigt .
Es wird vermutet, dass der Angreifer diese Token bei Gate.io hinterlegt hat, um sie zu liquidieren oder über Ketten hinweg zu transferieren .
Solido bat die Börsen um Unterstützung bei der Einfrierung und Rückholung der Gelder .
Ein breiteres Muster: Zwei Supra-Oracle-Exploits in zwei Wochen
Der Solido-Exploit ist kein Einzelfall. Nur zwölf Tage zuvor, am 11. Juli 2026, verlor das Hedera-basierte Kreditprotokoll Bonzo Lend rund 9,05 Millionen US-Dollar durch einen verwandten Oracle-Exploit .
Bonzo Lend (11. Juli 2026):
Der Angreifer hinterlegte nur 250 SAUCE-Token (im Wert von wenigen Dollar) und reichte dann eine manipulierte SAUCE/wHBAR-Preisaktualisierung ein, die den Token-Wert um 12 Größenordnungen in die Höhe trieb .
Die Schwachstelle war ein BLS-Signatur-Akzeptanzfehler im On-Chain-Verifizierer von Supra. Der Verifizierer akzeptierte einen manipulierten Preis mit einer leeren Signatur und einem leeren öffentlichen Schlüssel als gültig .
In acht Sekunden lieh der Angreifer 6,63 Millionen USDC und 34,5 Millionen wHBAR aus .
Beide Protokolle – Solido Money und Bonzo Lend – verließen sich auf Supra als ihren Oracle-Anbieter. Zwei verschiedene Fehlermodi traten in derselben Infrastruktur auf:
Bonzos Fehler war ein kryptografischer Verifikationsfehler (Zero-Signature-Bypass) im On-Chain-Verifizierer von Supra .
Solidos Fehler war eine falsch konfigurierte/veraltete Preis-Feed-Zuweisung für SOLID-Sicherheiten – eine andere Art von Oracle-Fehler, die aber ebenfalls auf die Art und Weise zurückzuführen war, wie Supra-Preisdaten verarbeitet und validiert wurden .
Die beiden Vorfälle, die innerhalb von zwei Wochen stattfanden, haben das Oracle-Ökosystem von Supra in den Fokus der Kritik gerückt. Sicherheitsexperten fordern strengere Zeitstempel-Prüfungen, eine Normalisierung der Feed-Dezimalstellen und die Aggregation mehrerer Quellen, um ähnliche Angriffe zu verhindern .
Lehren für DeFi-Protokolle
Eine falsche Oracle-Konfiguration ist genauso gefährlich wie ein kryptografischer Fehler. Ein veralteter Preis-Feed kann genauso effektiv ausgenutzt werden wie ein defekter Signaturverifizierer.
90 % der gestohlenen Gelder gehörten der Stiftung des Protokolls – das zeigt, wie eng die Treasury eines Projekts mit dem Protokollrisiko verbunden ist.
Die Abhängigkeit von einem einzigen Oracle schafft systemische Risiken. Sowohl Bonzo als auch Solido verließen sich auf denselben Anbieter (Supra), was zu einer Kaskade von Schwachstellen über mehrere Protokolle hinweg führte.
Blockchain-Forensik ermöglicht Rückverfolgbarkeit. Der forensische Bericht von Solido verfolgte 84 % der gestohlenen Gelder zu einer bestimmten Börsenadresse – ein klares Indiz für die Ermittler.
Der Solido-Exploit unterstreicht eine entscheidende Lektion: Wenn Preis-Feeds ausfallen – sei es durch veraltete Daten oder manipulierte Signaturen – kann der Schaden ein ganzes Ökosystem betreffen.
Wie der Angreifer einen veralteten Preis-Feed ausnutzte
Die Kernschwachstelle lag in einer fehlerhaften Oracle-Konfiguration im Solido-Cash-Kreditprotokoll: Genauer gesagt wurde ein veralteter oder falsch konfigurierter Preis-Feed für SOLID-Sicherheiten verwendet . Das Protokoll bewertete die SOLID-Sicherheiten auf Basis eines veralteten oder falsch zugeordneten Oracle-Preises, sodass der Wert der Sicherheiten weit über dem tatsächlichen Marktpreis lag . Indem der Angreifer SOLID als Sicherheit zu dieser überhöhten Bewertung hinterlegte, konnte er 293,7 Millionen SUPRA-Token abziehen – weit mehr, als die tatsächliche Sicherheit gedeckt hätte .
Der Angriff erfolgte in zwei separaten Wellen, die beide dieselbe Schwachstelle ausnutzten :
Welle A (18:21:35 UTC): Eine einzige Transaktion verknüpfte mehrere Schritte – Tausch von Token, Hinterlegung als Sicherheit und Prägung neuer CASH – und erbeutete 266.778.767 SUPRA .
Welle B: Der Angreifer wiederholte das gleiche Muster und erhöhte die Gesamtbeute auf rund 293,7 Millionen SUPRA .
Die Sicherheitsfirma PeckShield bestätigte den Angriff und die ungefähre Schadenshöhe .
Besonders wichtig: Rund 90 % der gestohlenen Gelder gehörten der Solido-Stiftung selbst, nicht einzelnen Nutzern. Die Stiftung trug also fast den gesamten Verlust – nicht die privaten Kreditgeber oder Kreditnehmer .
Wohin die Blockchain-Forensik die Gelder verfolgte
Solido Money veröffentlichte einen forensischen Bericht, der die On-Chain-Spur nachzeichnete:
Rund 220 Millionen SUPRA – etwa 84 % der gestohlenen Token – wurden auf eine mutmaßliche Gate.io-Einzahlungsadresse verschoben . Einige Quellen runden diesen Anteil auf „knapp 90 %" der gestohlenen Gelder (220 Mio. von 293,7 Mio.) . Die 84-Prozent-Angabe stammt aus dem eigenen Bericht des Protokolls und wird von mehreren Nachrichtenquellen bestätigt .
Es wird vermutet, dass der Angreifer diese Token bei Gate.io hinterlegt hat, um sie zu liquidieren oder über Ketten hinweg zu transferieren .
Solido bat die Börsen um Unterstützung bei der Einfrierung und Rückholung der Gelder .
Ein breiteres Muster: Zwei Supra-Oracle-Exploits in zwei Wochen
Der Solido-Exploit ist kein Einzelfall. Nur zwölf Tage zuvor, am 11. Juli 2026, verlor das Hedera-basierte Kreditprotokoll Bonzo Lend rund 9,05 Millionen US-Dollar durch einen verwandten Oracle-Exploit .
Bonzo Lend (11. Juli 2026):
Der Angreifer hinterlegte nur 250 SAUCE-Token (im Wert von wenigen Dollar) und reichte dann eine manipulierte SAUCE/wHBAR-Preisaktualisierung ein, die den Token-Wert um 12 Größenordnungen in die Höhe trieb .
Die Schwachstelle war ein BLS-Signatur-Akzeptanzfehler im On-Chain-Verifizierer von Supra. Der Verifizierer akzeptierte einen manipulierten Preis mit einer leeren Signatur und einem leeren öffentlichen Schlüssel als gültig .
In acht Sekunden lieh der Angreifer 6,63 Millionen USDC und 34,5 Millionen wHBAR aus .
Beide Protokolle – Solido Money und Bonzo Lend – verließen sich auf Supra als ihren Oracle-Anbieter. Zwei verschiedene Fehlermodi traten in derselben Infrastruktur auf:
Bonzos Fehler war ein kryptografischer Verifikationsfehler (Zero-Signature-Bypass) im On-Chain-Verifizierer von Supra .
Solidos Fehler war eine falsch konfigurierte/veraltete Preis-Feed-Zuweisung für SOLID-Sicherheiten – eine andere Art von Oracle-Fehler, die aber ebenfalls auf die Art und Weise zurückzuführen war, wie Supra-Preisdaten verarbeitet und validiert wurden .
Die beiden Vorfälle, die innerhalb von zwei Wochen stattfanden, haben das Oracle-Ökosystem von Supra in den Fokus der Kritik gerückt. Sicherheitsexperten fordern strengere Zeitstempel-Prüfungen, eine Normalisierung der Feed-Dezimalstellen und die Aggregation mehrerer Quellen, um ähnliche Angriffe zu verhindern .
Lehren für DeFi-Protokolle
Eine falsche Oracle-Konfiguration ist genauso gefährlich wie ein kryptografischer Fehler. Ein veralteter Preis-Feed kann genauso effektiv ausgenutzt werden wie ein defekter Signaturverifizierer.
90 % der gestohlenen Gelder gehörten der Stiftung des Protokolls – das zeigt, wie eng die Treasury eines Projekts mit dem Protokollrisiko verbunden ist.
Die Abhängigkeit von einem einzigen Oracle schafft systemische Risiken. Sowohl Bonzo als auch Solido verließen sich auf denselben Anbieter (Supra), was zu einer Kaskade von Schwachstellen über mehrere Protokolle hinweg führte.
Blockchain-Forensik ermöglicht Rückverfolgbarkeit. Der forensische Bericht von Solido verfolgte 84 % der gestohlenen Gelder zu einer bestimmten Börsenadresse – ein klares Indiz für die Ermittler.
Der Solido-Exploit unterstreicht eine entscheidende Lektion: Wenn Preis-Feeds ausfallen – sei es durch veraltete Daten oder manipulierte Signaturen – kann der Schaden ein ganzes Ökosystem betreffen.
