Tendril-Exploit entzieht nach Fehler im Sell-Hook etwa $555K in USDT
Machine translatedView English original
Reading sizeRead report ↓
Loading image
Der Exploit unterstreicht die dringende Notwendigkeit gründlicher Audits und sicherer Programmierpraktiken in DeFi, um Schwachstellen in der Logik benutzerdefinierter Token zu verhindern.
Foto: crazy motions / Pexels
Ein Angreifer nutzte einen Fehler in der Verkaufslogik des TENDRIL-Tokens aus, um nahezu alle USDT aus dessen PancakeSwap-V2-Pool auf der BNB Chain abzuziehen
Do., 5. Nov. 2026 · 02:31 EST · 3 Min. Lesezeit
In Krypto
Teilen
Ein kleiner Token auf der BNB Chain hat gerade eine teure Lektion über benutzerdefinierten Code gelernt. Ein Fehler im Sell-Hook von TENDRIL ermöglichte es einem Angreifer, fast alle USDT abzuziehen, die den Token absicherten, was zu einem Nettoverlust von etwa $555,000 führte.
Der Exploit traf am 5. November 2026 den TENDRIL/USDT-Liquiditätspool auf PancakeSwap V2.
Wie der TENDRIL-Angriff ablief
Die Schwachstelle lag in der Verkaufslogik des Tokens. Viele Tokens auf der BNB Chain fügen ein benutzerdefiniertes Verhalten hinzu, das bei jedem Verkauf ausgelöst wird, etwa Gebühren, Burns oder Anpassungen der Reserven. Dieser zusätzliche Code wird üblicherweise als Hook bezeichnet.
Sicherheitsforscher führten den Angriff auf Funktionsaufrufe einschließlich PoolControl.sellToken zurück, kombiniert mit einer kontrollierten Burn-Operation. Den Offenlegungen zufolge nutzte der Angreifer diesen Burn, um die Reserven des Tokens zu manipulieren, bevor externe Transfers vollständig ausgeführt waren.
Der Vertrag ermöglichte es dem Angreifer, die Zahlen zu ändern, auf die sich der Pool bei der Preisbildung stützte, während ein Verkauf noch lief. Nachdem diese Reserven verzerrt waren, behandelte der Pool TENDRIL im Verhältnis zu USDT als weit wertvoller, als es hätte sein dürfen.
Automatisierte Market Maker wie PancakeSwap bewerten Vermögenswerte anhand des Verhältnisses der im Pool befindlichen Token. Verkleinert man eine Seite künstlich, wirkt die andere Seite plötzlich günstig für eine Abhebung. Der Angreifer nutzte diese Lücke, um nahezu das gesamte USDT-Guthaben abzuziehen.
Ein Detail sticht aus den On-Chain-Daten hervor. Während des Exploits schickte der Angreifer 30k USDT an eine fest im Code hinterlegte Begünstigtenadresse.
Die Zahlen stimmen nicht ganz überein
Die Verlustschätzungen variieren je nachdem, wer die Zählung vornimmt. Die Schlagzeile nennt einen Nettoverlust von etwa $555,000, während Forschungsberichte insgesamt rund $550,000 in USDT als abgezogen angeben.
Erste Warnmeldungen zeichneten ein kleineres Bild. Der Überwachungsdienst TenArmorAlert bezifferte die Verluste zunächst auf etwa $309,000.
Die Diskrepanz spiegelt unterschiedliche Ansätze bei der Berechnung von Nettoverlusten gegenüber Angreifergewinnen wider. Der insgesamt abgezogene Saldo eines Pools, der Erlös des Angreifers nach Abzug der Kosten und der Nettoverlust der Opfer können aus denselben Transaktionen jeweils unterschiedliche Summen ergeben.
Die Sicherheitsteams von ExVul und ScaleBit veröffentlichten am 5. November 2026 öffentliche Warnungen zu dem Angriff. Ihre Offenlegungen umfassten den verwundbaren Token-Vertrag, die betroffene Paaradresse und die relevanten Transaktionsdaten, wodurch andere Forscher eine Spur zur Nachverfolgung erhielten.
Hintergrund: eigene Token, eigene Risiken
TENDRIL war vor diesem Vorfall kaum bekannt. Das Muster ist auf der BNB Chain vertraut. Entwickler setzen Steuer-, Burn- oder Reflection-Logik auf Standard-Token-Vorlagen auf, um eine unverwechselbare Tokenomics-Geschichte zu schaffen. Jede Modifikation fügt Codepfade hinzu, die auf eine Weise mit dem AMM interagieren, die die ursprünglichen Vorlagen nie vorgesehen hatten.
Wenn diese Pfade es einem Nutzer ermöglichen, die Pool-Reserven mitten in einer Transaktion zu verändern, schützt die Preismathematik des AMM die Liquiditätsanbieter nicht mehr.
CertiK verfolgt Vorfälle wie diesen weiterhin im Rahmen seines Web3-Sicherheits-Dashboards, das Verluste, Angriffsvektoren und Risiken auf Chain-Ebene über die Quartale hinweg überwacht. Der TENDRIL-Drain fließt nun in diese laufende Bilanz für die zweite Hälfte des Jahres 2026 ein.
Was das für DeFi-Nutzer und -Entwickler bedeutet
Für TENDRIL-Halter ist das unmittelbare Problem die Liquidität. Da nahezu das gesamte USDT abgezogen wurde, ist auf der anderen Seite des Pools kaum noch etwas übrig, um Verkäufe aufzufangen.
Für Liquiditätsanbieter allgemein gilt: Eine gut geprüfte Börse kann einen Pool nicht vor einem Token schützen, der seine eigenen Reserven umschreibt.
Für Entwickler ergibt sich eine klarere Lehre. Sell-Hooks und Burn-Funktionen, die Pool-Guthaben berühren, erfordern eine strikte Reihenfolge, sodass Zustandsänderungen erst nach Abschluss der Transfers erfolgen. Der TENDRIL-Exploit scheint genau auf diesem Sequenzierungsfehler zu beruhen – eine Art von Problem, die unabhängige Prüfungen aufdecken sollen.
Offenlegung: Dieser Artikel wurde von John Chen redigiert. Weitere Informationen darüber, wie wir Inhalte erstellen und prüfen, finden Sie in unserer Redaktionsrichtlinie.