Mixin Network verlor 200 Mio. USD bei einer Cloud-Datenbank-Panne – Nutzer sollten die Hälfte tragen

In den frühen Morgenstunden des 23. September 2023 drangen Angreifer in die Datenbank des Cloud-Dienstleisters von Mixin Network ein und erbeuteten rund 200 Millionen USD an Mainnet-Vermögenswerten. Mixin – ein Cross-Chain-Transfernetzwerk, das eine Million Nutzer, etwa 1 Milliarde USD an verwahrten Vermögenswerten und Unterstützung für 48 Blockchains beansprucht – setzte alle Ein- und Auszahlungen aus und zog Google sowie das Sicherheitsunternehmen SlowMist hinzu.

Die Reaktion zeichnete die tatsächliche Struktur des Unternehmens nach. Eine On-Chain-Nachricht bot dem Dieb eine Prämie von 20 Millionen USD für die Rückgabe der Beute, und Gründer Feng Xiaodong erklärte den Nutzern in einem Livestream auf Mandarin, Mixin werde bis zu 50 % der gestohlenen Gelder erstatten, während der Rest in Anleihetoken umgewandelt werde, die das Unternehmen später zurückzukaufen versprach. Kritiker bemerkten die Ironie, dass „dezentrale“ Infrastruktur an einer einzigen Cloud-Datenbank scheiterte.

Die Panne fiel in die schlimmste Phase des Jahres 2023 für Angriffe auf Krypto-Drittanbieter: Wenige Tage zuvor hatte Elliptic die Lazarus-Gruppe Nordkoreas für den Diebstahl von 54 Millionen USD bei CoinEx verantwortlich gemacht, und Mixin war innerhalb einer Woche das dritte Krypto-Unternehmen, das über einen Dienstleister getroffen wurde, nach OpenSea und Nansen. Mixins Bilanz konnte einen Verlust in Höhe eines Fünftels seines Kapitals nicht so absorbieren wie die einer großen Börse – also wurde die Hälfte davon als Papier auf die Bücher der Nutzer verschoben.

Etwa 200 Mio. USD an Nutzer-Krypto – rund 20 % des Kapitals des Unternehmens; Ein- und Auszahlungen eingefroren; Nutzern wurde die Hälfte ihres Geldes zurück angeboten, die andere Hälfte als Schuldscheine

Die Verwahrung hinter einer einzigen Cloud-Dienstleister-Datenbank stellte genau den zentralen Punkt wieder her, den ein dezentrales Protokoll beseitigen soll.

Eine Prämie von 20 Millionen USD auf 200 Millionen USD Beute räumte ein, dass das Unternehmen die Gelder technisch nicht zurückholen konnte und hoffte, der Dieb werde verhandeln.

Das Versprechen der 50-prozentigen Erstattung plus Anleihetoken verwandelte einen operativen Fehler in eine von den Nutzern getragene Schuld, während das Unternehmen am Leben blieb.

Dienstleister-Pannen bei OpenSea, Nansen und CoinEx im selben Monat zeigten, dass Drittanbieter-Infrastruktur Teil der Angriffsfläche ist und nicht außerhalb davon liegt.

Ein Protokoll kann sich dezentral nennen, während das Geld seiner Nutzer hinter einer einzigen Cloud-Datenbank liegt. Wenn die Verwahrung zentralisiert ist, treffen die Verluste diejenigen mit dem schwächsten Anspruch – meist die Nutzer.

Ein- und Auszahlungen blieben ausgesetzt, während Mixin an den Behebungen der Schwachstellen arbeitete; der Livestream des Gründers und die On-Chain-Prämiennachricht dienten als öffentliche Abrechnung des Unternehmens. Der Plan aus 50-prozentiger Erstattung plus Anleihetoken legte die fehlende Hälfte des Nutzergeldes auf deren eigene Bücher, bis Mixin die Schuldscheine zurückkaufen konnte. Die Panne beschloss ein brutales Quartal für Krypto-Drittanbieter-Infrastruktur: OpenSea und Nansen über Dienstleister kompromittiert, CoinEx um 54 Millionen USD erleichtert bei einem Raubzug, den Elliptic Lazarus zuschrieb, und fast 240 Millionen USD aus fünf Hacks in den 104 Tagen, bevor Mixin fiel.