Projekt 0 verspricht Rückerstattungen nach GitHub-Kompromittierung, die Phishing-Angriff auf DeFi-Nutzer auslöst

In einer Warnung von Project 0 (P0) Gründer MacBrennan Peet verpflichtete sich die Führungskraft, bestätigte Verluste vollständig zu erstatten, nachdem Angreifer in das System eingedrungen waren, um Benutzerbesuche auf die Website zu einer Krypto-stehlenden Seite umzuleiten.

Der Beitrag von MacBrennan bestätigte, dass mindestens ein Benutzer 1.000 $ verlor, als er die neue Seite „aus Neugier" ausprobierte.

Der Kontosicherheitsvorfall gegen Project 0 verstärkt Rekordmengen an Krypto-Diebstählen durch böswillige Akteure, die das Fusaka-Upgrade ausnutzen, das Transaktionsgebühren für Ethereum-Netzwerkbenutzer zur Nebensache machen sollte, und ergänzt ein Muster von Angriffen auf liquiditätsreiche Plattformen.

Project 0 meldet die neueste DeFi-Domain-Übernahme

Laut der Offenlegung von MacBrennan erhielten Angreifer Zugriff auf das GitHub-Konto eines Anwendungsteammitglieds, was es ihnen ermöglichte, Benutzerbesuche zwischen 21:45 Uhr und 22:19 Uhr umzuleiten. 

Obwohl er seine Zeitzone nicht angab, wurden Benutzer, die versuchten, die Website von Project 0 innerhalb des 40-minütigen Angriffsfensters zu besuchen, zu einer anderen Website weitergeleitet, was zu einem Verlust von mindestens 1.000 $ führte. 

Laut Defillama-Daten hält Project 0, ein DeFi-natives Prime Brokerage, das Benutzern ermöglicht, gegen ihr gesamtes DeFi-Portfolio über mehrere Plattformen hinweg zu leihen, derzeit fast 90 Millionen $ an Gesamter gesperrter Wert (TVL), mit einem Höchststand von über 110 Millionen $ seit Beginn der Verfolgung Ende 2025. Das Projekt behauptet auch Unterstützung von Multicoin, Pantera und Solana Ventures. 

Dieses Maß an Aktivität und Status ist zwar für Benutzer attraktiv, aber auch ein Leuchtfeuer für Angreifer, die nach hochwertige Zielen suchen. 

Cryptopolitan berichtete, dass OpenEden und BonkFun ähnliche Angriffe erlitten, als Angreifer auf die Projekte registrierte Domains kompromittierten. 

In beiden Fällen beeinträchtigte der Angriff weder Projekttresore noch Benutzerpositionen, da der Schaden bei dieser Art von Angriffen typischerweise auf Website-Besucher während des Exploit-Fensters beschränkt ist, was normalerweise schnell von reaktionsfähigen Teams behoben wird. 

Während der genaue verlorene Betrag noch unbestätigt ist, hat sich MacBrennan verpflichtet, die Rückerstattung auf alle anderen verifizierten Kundenverluste während des Angriffs auszudehnen. 

Ethereum-Benutzer werden Ziele von Adressvergiftungsangriffen

Als Ethereum-Entwickler das Fusaka-Upgrade im Dezember 2025 durchsetzten, priesen sie das Upgrade als den „Endgegner" bei der Erschwinglichkeit von Mainnet-Transaktionen an. 

Was sie nicht kommen sahen, war, dass es zum letzten Puzzlestück für Angreifer werden würde, die hochwertige Ziele im liquiditätsreichen Ethereum-Ökosystem verfolgen, das fast 60 Milliarden $ über DeFi-Protokolle und über 160 Milliarden $ an Stablecoin-Marktkapitalisierung hält.  

Das offizielle Etherscan-Konto auf X wies in seinem Artikel „Adressvergiftungsangriffe nehmen auf Ethereum zu" auf die wachsende Bedrohung hin. Der Bericht zitierte eine Studie aus 2025, die Vergiftungsversuche vor und nach dem Fusaka-Upgrade verglich, um die Zunahme dieser Angriffe seit dem Dezember-Upgrade hervorzuheben. 

Staub-Transfers, das sind kleine Einzahlungen (unter 0,01 $), die dazu dienen, Adressen in der Transaktionshistorie der Benutzer durch von den Angreifern kontrollierte Wallets zu ersetzen, folgten dem Trend, da die Transaktionsaktivität im Ethereum-Mainnet in den 90 Tagen nach dem Fusaka-Upgrade um etwa 30 % zunahm, mit einer begleitenden Zunahme von 78 % bei der Erstellung neuer Adressen. 

Tabelle zum Vergleich der Rate von Adressvergiftungsangriffen vor und nach dem Fusaka-Upgrade. 

Es ist ein Zahlenspiel

Cryptopolitan hat berichtet mehrere hochkarätige Verluste durch die neue Plage der Ethereum-Benutzer, wobei der Verlust von 50 Millionen $ im Dezember die größte Schlagzeile machte. Offenbar sendete das Opfer bei diesem Vorfall tatsächlich 50 $ in einer Testtransaktion, um sicherzustellen, dass es die richtige Adresse hatte. 

In der Zeit, die benötigt wurde, um die Adresse zu testen und die eigentliche Überweisung von 50 Millionen $ zu initiieren, hatten böswillige Akteure jedoch die Transaktionshistorie des Absenders mit ihren eigenen Staub-Transfers durchsetzt, was letztendlich zum Verlust führte. 

Dieser Vorfall verdeutlicht das Ausmaß und die Geschwindigkeit dieser Operationen, da Angreifer tatsächlich darum wetteifern, die Adressen potenzieller Opfer zu übervergiften. Wie Etherscan betonte, lösten „nur zwei Stablecoin-Überweisungen" eines Benutzers seines Dienstes „mehr als 89 Adressüberwachungs-Alarm-E-Mails" aus. 

Nur etwa 1 von 10.000 Versuchen ist erfolgreich, aber wenn man die 79 Millionen $ an bestätigten Verlusten über 17 Millionen Versuche vergleicht, die etwa 1,3 Millionen Benutzer ins Visier nahmen, geht die Rechnung für diese Angreifer auf, die bei jedem Versuch weniger als 1 $ aufwenden. 

Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.