Switchboard stoppt Oracle-Dienste auf vier Move-Netzwerken

Switchboard hat seine Move-basierten Oracle-Dienste auf Aptos, Sui, IOTA und Movement ausgesetzt. Vorausgegangen waren Berichte, wonach die Implementierung möglicherweise kompromittiert worden sein könnte. Der Stopp diente zunächst der Eindämmung des Risikos: Wenn potenziell manipulierte oder veraltete Preisfeeds nicht weiter aktualisiert werden, können weniger DeFi-Transaktionen auf falschen Daten aufbauen. 2433

Das Ausmaß der finanziellen Folgen ist erheblich, aber noch nicht abschließend geklärt. Full Sail bestätigte, dass nach einer mutmaßlichen Kompromittierung des Switchboard-Oracles Gelder aus Sui-Vaults verloren gingen. Das Protokoll pausierte daraufhin Ein- und Auszahlungen, bis die Integrität der Preisfeeds überprüft werden konnte. Eine konkrete Schadenssumme nannte Full Sail nicht. 23

Auf IOTA berichteten mehrere Quellen von einer Manipulation eines Oracle-Preises, durch die der gemeldete Wert eines Tokens auf 10 Millionen US-Dollar gesetzt worden sein soll. In der Folge sollen über Virtue rund 4,94 Millionen VUSD geprägt und 45 Nutzer liquidiert worden sein. Diese Zahlen gelten weiterhin als gemeldete Schätzungen und nicht als abschließend unabhängig bestätigte Gesamtsumme der Verluste. 182425

Welche Dienste betroffen sind

Ausgesetzt wurden Switchboards Move-basierte Bereitstellungen in vier Ökosystemen:

• Aptos
• Sui
• IOTA
• Movement

Switchboard teilte mit, dass seine Mitwirkenden nach den Berichten über einen möglichen Eindringversuch mit den jeweiligen Ökosystem-Teams und Sicherheitsorganisationen koordinierten. Für die Solana-Implementierung habe es keine vergleichbaren Meldungen gegeben. Aus Vorsichtsgründen empfahl Switchboard Nutzern dennoch, vorübergehend auf alternative Oracle-Lösungen umzusteigen. 3334

Warum der Vorfall über einzelne Netzwerke hinausweist

Dass die Dienste auf vier Netzwerken gleichzeitig pausiert wurden, ist besonders relevant: Es deutet auf eine mögliche gemeinsame Fehlerquelle hin. Das Risiko könnte in Switchboards geteilter Move-Implementierung, im Bereitstellungsprozess, in der Konfiguration oder in den betrieblichen Sicherheitsvorkehrungen liegen – und nicht in Aptos, Sui, IOTA oder Movement jeweils für sich.

Diese Unterscheidung ist entscheidend. Die bisherige Berichterstattung belegt weder, dass die Programmiersprache Move selbst betroffen war, noch dass eine der vier Basisschichten kompromittiert wurde. Auch der genaue Angriffsweg ist nicht bestätigt. Einige Medien berichten von einem kompromittierten Schlüssel; anhand der vorliegenden Belege lässt sich jedoch noch nicht feststellen, ob tatsächlich ein Schlüsselangriff, eine Schwäche bei der Verifizierung, ein Konfigurationsfehler oder ein anderes betriebliches Problem die Ursache war. 1825

Wie ein falscher Oracle-Preis DeFi-Protokolle stören kann

Oracles liefern die Preisdaten, anhand derer Smart Contracts entscheiden, ob Transaktionen sicher und zulässig sind. Akzeptiert ein Protokoll einen manipulierten Preis, kann ein Angreifer möglicherweise Kredite gegen überbewertete Sicherheiten aufnehmen, Vermögenswerte zu einer falschen Bewertung prägen, Liquidationen auslösen oder andere preisabhängige Aktionen durchführen.

Wird ein Oracle gestoppt, entsteht das umgekehrte Problem: Den Anwendungen fehlt möglicherweise ein vertrauenswürdiger und aktueller Preis. Protokolle können deshalb unter anderem folgende Funktionen pausieren:

• Bewertung von Sicherheiten und Kreditaufnahme;
• Liquidationen;
• das Eröffnen neuer Positionen;
• Abwicklung von Swaps und Derivaten;
• Einzahlungen, Auszahlungen und Abrechnungen von Vaults; sowie
• weitere Transaktionen, die einen aktuellen Preis benötigen.

Vorsichtige Protokolle lassen solche Funktionen häufig lieber vollständig ausfallen, als einen veralteten oder möglicherweise manipulierten Feed zu verwenden. Das kann weitere Verluste begrenzen, zugleich aber Guthaben einfrieren und den normalen Marktbetrieb unterbrechen. Die von Full Sail pausierten Ein- und Auszahlungen zeigen diesen Zielkonflikt deutlich. 23

Warum mehrere Oracle-Quellen einen Unterschied machen

Protokolle mit unabhängig bezogenen Ersatz-Feeds von Anbietern wie Pyth oder Chainlink waren besser aufgestellt, um den Betrieb fortzusetzen oder schneller wieder aufzunehmen. Mehrere Datenquellen ermöglichen es, Preise zu vergleichen, den Anbieter zu wechseln oder zu vermeiden, dass ein einzelnes Oracle zum zentralen Ausfallpunkt wird.

Redundanz ist allerdings keine vollständige Sicherheitsgarantie. Auch Ersatzanbieter müssen korrekt integriert und konfiguriert werden; zusätzlich braucht es belastbare Governance- und Kontrollmechanismen. Unabhängige Datenquellen können den Schaden eines Ausfalls oder einer kompromittierten Bereitstellung jedoch deutlich begrenzen.

Warum Solana anders behandelt wurde

Switchboards Solana-/SVM-Implementierung ist als separate Bereitstellung dokumentiert und nutzt einen eigenen Aktualisierungs- und Verifizierungsprozess, darunter die Prüfung von Ed25519-Signaturen. 1 Diese architektonische Trennung hilft zu erklären, warum sich die gemeldeten Probleme zunächst auf die Move-basierten Bereitstellungen beschränkten und nicht automatisch auch Solana betrafen.

„Keine vergleichbaren Meldungen“ bedeutet jedoch nicht, dass Solana nachweislich immun war. Die Empfehlung, vorübergehend auf Alternativen auszuweichen, spiegelte die Unsicherheit während der laufenden Untersuchung wider – auch für Nutzer der Implementierung, zu der bislang kein entsprechender Vorfall bekannt war. 3334

Was weiterhin offen ist

Mehrere zentrale Fragen waren in der verfügbaren Berichterstattung noch unbeantwortet:

• Wie genau erfolgte der Eindringversuch oder Exploit?
• Wurde tatsächlich ein privater Schlüssel kompromittiert, oder lag die Ursache in Code, Konfiguration oder betrieblichen Abläufen?
• Welche Anwendungen, Vermögenswerte, Nutzerpositionen und Netzwerke waren über die bisher gemeldeten Fälle hinaus betroffen?
• Wie hoch ist der Gesamtschaden?
• Werden die gemeldeten Prägungs- und Liquidationszahlen vollständig on-chain bestätigt?
• Werden betroffene Nutzer entschädigt, und wann können die Move-basierten Feeds sicher wieder aktiviert werden?

Die vorliegenden Belege rechtfertigen die Einordnung als schwerwiegenden Oracle-Sicherheitsvorfall. Bestätigt sind Verluste bei Full Sail; außerdem gibt es Berichte über die Ausnutzung eines manipulierten IOTA-Feeds. Eine endgültige Schadenssumme oder die Aussage, der Vorfall belege generell eine Zunahme von DeFi-Exploits, lässt sich daraus jedoch nicht ableiten. Dafür braucht es eine abgeschlossene technische Untersuchung und verlässliche, branchenweite Daten.