DeFi-Protokoll Fluid gehackt: Berichte über Diebstahl von FLUID- und GHO-Token
Der Angreifer nutzte eine Schwachstelle im Merkle-Belohnungsverteilungssystem aus und stahl 163.706 FLUID-Token und 49.526 GHO. Das Protokollteam erklärte, dass das Kernprotokoll und die Benutzergelder nicht betroffen seien und alle Verluste gedeckt würden.
Fluid-Hack: Warum der Merkle-Tree-Angriff schlimmer war als die gestohlenen 215.000 $
Der Kern: Was wirklich passiert
Wenn das Fluid-Team behauptet, dass „das Kernprotokoll nicht betroffen“ und „Benutzergelder sicher“ seien, ist das nur die halbe Wahrheit. Ja, die Kreditpools, DEX und Tresore bleiben unberührt. Aber das eigentliche Problem ist ein anderes: Der Angriff zeigte, dass das Belohnungsverteilungssystem, das auf zwei privaten Schlüsseln mit Zwei-Faktor-Genehmigung aufbaute, zusammenbrach, weil BEIDE Schlüssel unter die Kontrolle eines einzigen Angreifers gerieten. Das ist kein Smart-Contract-Hack – es ist ein operativer Sicherheitsfehler auf Unternehmensebene.
Der Angreifer nutzte den Merkle-Listen-Mechanismus aus: Ein Schlüssel schlug eine Liste von Adressen für Belohnungen vor, und der zweite Schlüssel genehmigte sie. In einem normalen Szenario schützt dies vor der Kompromittierung eines einzelnen Schlüssels. Wenn jedoch beide Schlüssel durchsickern oder ursprünglich am selben Ort gespeichert werden, wird das Schema zur Farce. Der Hacker erstellte einfach eine Liste, in der alle Belohnungen an seine Wallet gingen, genehmigte sie und hob über einen leeren Beweis (ein technisches Detail, das die Überprüfung umgeht) 112.883 FLUID, 47.903 GHO und etwas cbBTC ab.
Warum ist das für den Markt relevant? Weil Fluid kein randständiges Protokoll ist. Es ist eines der am stärksten integrierten DeFi-Projekte auf Ethereum, das Kredite, Tresore und DEX in einer einzigen Liquiditätsschicht vereint. Sein Total Value Locked (TVL) wurde zum Zeitpunkt des Angriffs auf rund 380 Millionen $ geschätzt. Hätte der Angriff die Kernverträge betroffen, wären die Folgen katastrophal gewesen. Aber selbst ohne das könnte der Vertrauensverlust in die Belohnungsinfrastruktur einen Liquiditätsabfluss aus Pools auslösen, die von FLUID-Staking abhängen.
Zeitstrahl und Kontext
Nachfolgend eine Zeitleiste der Ereignisse, die zeigt, wie schnell sich der Angriff entwickelte und wie das Team reagierte. Beachten Sie die Lücke zwischen der technischen Behebung und der öffentlichen Kommunikation:
| Datum und Uhrzeit (UTC) | Ereignis | Konsequenz |
|---|---|---|
| 30. Mai 2026, ~14:00 | Angreifer erlangt Kontrolle über zwei Merkle-Listen-Verwaltungsschlüssel | Zwei-Faktor-Genehmigungssystem kompromittiert |
| 30. Mai, ~14:30 | Hacker erstellt und genehmigt eine gefälschte Belohnungsliste für seine Adresse | Abfluss aus drei Belohnungsverteilern beginnt |
| 30. Mai, ~15:00 | 112.883 FLUID, 47.903 GHO und cbBTC an die Adresse des Angreifers übertragen | Direkte Verluste ~215.000 $ |
| 30. Mai, ~16:00 | Gestohlene Vermögenswerte in ETH umgewandelt | Nachverfolgung wird schwieriger |
| 30. Mai, ~17:00 | ETH über Tornado Cash gesendet | Gelder werden unauffindbar |
| 30. Mai, ~23:00 (9 Stunden später) | Fluid-Team entdeckt den Hack, ersetzt kompromittierte Schlüssel, bringt verbleibende Belohnungsgelder in Sicherheit | Weiterer Abfluss gestoppt |
| 31. Mai, ~10:00 (20 Stunden später) | Fluid veröffentlicht erste Nachricht – nur über das Anhalten der Belohnungsverteilung | Keine Erwähnung des Schlüssellecks oder des tatsächlichen Schadens |
| 1. Juni, ~18:00 (52 Stunden später) | Nach Untersuchungen von BlackHart und ChainCatcher tauchen Details zu den privaten Schlüsseln auf | Reputationsschaden wächst aufgrund unvollständiger Transparenz |
Was fehlt in dieser Tabelle? Die Hauptfrage: WIE hat der Angreifer beide Schlüssel bekommen? Es gibt drei Möglichkeiten, von denen keine gut für das Team aussieht. Erstens: Die Schlüssel wurden auf demselben Server oder in derselben Cloud gespeichert – ein grober Verstoß gegen das Prinzip der Aufgabentrennung. Zweitens: Social Engineering – der Hacker erlangte Zugang zu Konten von zwei verschiedenen Mitarbeitern, was für einen 215.000 $-Angriff unwahrscheinlich ist. Drittens: Einer der Schlüssel wurde erraten oder durch eine Schwachstelle in einer Wallet oder einem Repository kompromittiert. Das erste Szenario ist am wahrscheinlichsten – ein klassischer operativer Sicherheitsfehler in Projekten, die zu schnell gewachsen sind.
Beachten Sie die FLUID-Preisdynamik. Zum Zeitpunkt der Datenveröffentlichung von Bybit (9. Juni 2026) wurde der Token bei 0,8937 $ gehandelt, ein Rückgang von 37,83 % gegenüber vor 30 Tagen. Andere Quellen zeigten einen Preis um 1,06 $ mit einem wöchentlichen Rückgang von 23 %. In jedem Fall ist der Trend abwärtsgerichtet, und die Hack-Nachrichten haben den Druck nur verstärkt. GHO, als Aaves Stablecoin, blieb nahe seiner Bindung bei 0,9991-0,9994 $, was zu erwarten ist, da der Diebstahl von 47.903 GHO ein Tropfen auf den heißen Stein ist (GHO-Marktkapitalisierung zu diesem Zeitpunkt 583 Millionen $).
Wer gewinnt und wer verliert
Größte Verlierer: Langzeit-FLUID-Halter. Ihr Token verlor nicht nur an Preis, sondern auch an Nutzen. Wenn sich das Belohnungssystem als anfällig erwiesen hat, werden zukünftige Verteilungen entweder verzögert oder überarbeitet. Das bedeutet, dass Staker die erwartete APY nicht erhalten werden. Viele FLUID-Halter sind dem Treueprogramm genau wegen dieser Belohnungen beigetreten – jetzt ist ihre Rendite fraglich.
Verlierer Nr. 2: Privatanwender, die ihre Gelder nicht rechtzeitig aus den Belohnungsverträgen abgezogen haben. Ja, das Team sagte, Benutzergelder seien nicht betroffen. Aber Belohnungsverträge sind auch Benutzergelder, nur nicht im primären Verwahrungsmodell. Die Tatsache, dass 215.000 $ aus drei Verteilern gestohlen wurden, bedeutet, dass jemand sie nicht erhalten hat. Das Team versprach, Verluste zu decken, aber aus welchen Mitteln? Aus der Treasury? Aus FLUID-Reserven? Oder durch neue Token-Ausgabe, die bestehende Halter verwässert?
Gewinner: Fluids Konkurrenten im DeFi-Super-App-Segment. Projekte wie Aave, Compound oder Morpho Blue können diesen Vorfall im Marketing nutzen: „Unser Belohnungssystem basiert auf kampferprobten Smart Contracts, nicht auf zwei Schlüsseln in der Cloud.“ Indirekt gewinnt Aave selbst, da GHO sein Stablecoin ist. Die Tatsache, dass GHO gestohlen, aber sofort in ETH umgewandelt und an Tornado Cash gesendet wurde, bestätigt GHOs Liquidität und Fungibilität – für einen Stablecoin ist das paradoxerweise ein positives Signal.
Unauffälliger Gewinner: Tornado Cash. Jeder große Hack, bei dem Gelder durch einen Mischer gehen, ist kostenlose Werbung für einen Dienst, der unter OFAC-Sanktionen steht. Im Jahr 2026 operiert Tornado Cash weiterhin um Blöcke herum, und der Fluid-Vorfall beweist, dass Hacker es immer noch als zuverlässiges Geldwäschewerkzeug betrachten. Dies erzeugt zusätzlichen regulatorischen Druck auf DeFi insgesamt, da Gesetzgeber fragen: „Warum können 2026 gestohlene Token immer noch durch einen Mischer gewaschen werden?“
Was die Medien nicht sagen
Erstens: Das Problem ist nicht Fluid; es sind Merkle-Bäume. Eine im August 2025 veröffentlichte akademische Studie warnte bereits vor Schwachstellen in Merkle-Proof-basierten Airdrops, einschließlich sekundärer Preimage-Angriffe. Fluid verwendete eine weniger sichere Implementierung: Ein Schlüssel schlug die Belohnungsliste vor, ein anderer genehmigte sie, und der Proof konnte leer sein. In einer ordnungsgemäßen Implementierung muss der Proof streng überprüfbar sein, nicht auf Treu und Glauben. Aber das Team sparte aus Gründen der Gas-Effizienz – und zahlte den Preis.
Zweitens: Der Fluid-Vorfall ist im Jahr 2026 kein Einzelfall. Einen Monat zuvor, im April-Mai, verlor das Drift-Protokoll auf Solana etwa 285 Millionen $ aufgrund einer Kompromittierung von Admin-Schlüsseln. Auch das war ein Angriff auf privilegierten Zugriff, kein Smart-Contract-Bug. Der Trend ist klar: Hacker verlagern sich von der Suche nach Code-Fehlern zur Jagd nach privaten Schlüsseln von Admins und Betreibern. Denn es ist einfacher, schneller und garantiert Ergebnisse. Fluid ist die zweite Warnung innerhalb von anderthalb Monaten. Die dritte könnte verheerend sein.
Drittens: Die Reaktion des Teams spaltete die Community. Fluid veröffentlichte eine vage Erklärung über das „Anhalten der Belohnungsverteilung“, ohne weder die Schlüsselkompromittierung noch die tatsächliche Schadenshöhe zu erwähnen. Informationen über 215.000 $ und zwei gestohlene Schlüssel kamen erst 52 Stunden nach dem Angriff durch unabhängige Untersuchungen von BlackHart und ChainCatcher ans Licht. In dieser Zeit haben möglicherweise einige Benutzer weiterhin FLUID gestaked, ohne zu wissen, dass das Belohnungssystem kompromittiert war. Dies ist ein Vertrauensbruch, der nicht so schnell vergessen wird.
Prognose: Nächste 30 Tage und 90 Tage
Nächste 30 Tage (bis Mitte Juli 2026):
FLUID wird weiter korrigieren. Die technische Analyse zeigt, dass der Token die Unterstützung bei 0,95 $ durchbrochen hat und 0,87 $ testet. Die nächste Unterstützungszone liegt bei 0,80 $. Wenn das Team keinen detaillierten Post-Mortem-Bericht veröffentlicht, der das Schlüsselleck erklärt, und einen Plan zur Verschärfung der operativen Sicherheit vorlegt, wird der Verkaufsdruck anhalten. Das FLUID-Handelsvolumen stieg nach dem Angriff (auf Bitget 2,47 Millionen $ pro Tag), aber es ist Panikvolumen, nicht Akkumulation.
GHO wird nahe seiner Bindung bei 0,998-1,002 $ bleiben. Aave als Emittent ist nicht direkt betroffen. Sollte sich jedoch herausstellen, dass die Merkle-Baum-Schwachstelle in Fluid mit der GHO-Integration zusammenhing (z. B. über Brücken oder Facilitators), könnte Aave die GHO-Nutzung in Drittanbieter-Protokollen vorübergehend aussetzen. Solche Informationen gibt es noch nicht.
Nächste 90 Tage (bis Mitte September):
Fluid wird gezwungen sein, sein gesamtes Schlüsselverwaltungssystem von den Top-3-Firmen (Trail of Bits, Sigma Prime, Halborn) prüfen zu lassen. Ohne dies werden institutionelle Nutzer nicht zurückkehren. Die Kosten für ein solches Audit betragen 300.000-500.000 $, was signifikant, aber für ein Projekt mit einer Marktkapitalisierung von 83-88 Millionen $ nicht fatal ist. Die Frage ist, ob die DAO diese Mittel bereitstellt oder das Team versucht, Geld zu sparen.
Im gesamten DeFi-Markt wird die Nachfrage nach Versicherungsprotokollen wie Nexus Mutual und InsurAce steigen. Nach dem Drift-Hack und jetzt Fluid werden Institutionen verlangen, dass alle Belohnungsverträge versichert sind. Dies könnte ein Wachstumstreiber für den DeFi-Versicherungssektor werden, der derzeit unterbewertet ist. Ich erwarte innerhalb von 3 Monaten einen Zufluss von 50-100 Millionen $ in Versicherungspools.
Langzeit-FLUID-Halter, die in den kommenden Wochen nicht aussteigen, könnten eine Entschädigung durch neue Token-Ausgabe erhalten. Dies wird bestehende Halter um 2-5 % verwässern und weiteren Preisdruck erzeugen. Die Freischaltung dieser Token wird in 6-12 Monaten erwartet – bereiten Sie sich auf eine weitere Verkaufswelle vor.
Redaktionelle Prognose
Asset: FLUID (Fluid). Richtung: Abwärts. Erwartete Spanne 24-72 Stunden (bis 17. Juni): 0,78–0,85 $. Konfidenzniveau: Hoch (75 %), da die Nachrichten bereits teilweise eingepreist sind, aber das Fehlen eines transparenten Post-Mortems weiterhin auf dem Preis lastet. Technisches Niveau 0,87 $ gebrochen, nächster Halt 0,80 $. Hauptrisiko für die Prognose: Sollte das Fluid-Team unerwartet einen detaillierten Bericht veröffentlichen, der Fehler eingesteht und einen konkreten Entschädigungsplan vorlegt, könnte der Markt dies als „Tiefpunkt“ sehen und eine Erholung auf 0,92-0,95 $ beginnen. Aber selbst dann ist ein Aufwärtstrend in den nächsten 3 Tagen unwahrscheinlich – die Erinnerung an die Geheimniskrämerei des Teams ist zu frisch. Diese Prognose ist eine redaktionelle Meinung, keine Anlageberatung.
— Editorial Team
