Taiko blev udsat for et hackerangreb, hvor der blev stjålet 1,7 mio. dollar. Derefter steg tokenens værdi 9 gange.

Den 22. juni blev der stjålet 1,7 millioner dollar fra Taikos Ethereum L2-bro. Ikke ved at finde en eller anden snedig fejl i et smart kontrakt, men ved at finde en privat nøgle. En RSA-3072-nøgle ved navn enclave-key.pem, der lå i Taikos offentlige GitHub-repo (taikoxyz/raiko), hvor den frit kunne downloades af alle med en konto. Den nøgle skulle egentlig være låst inde i en Intel SGX-enklave, hvor den underskriver beviser, der fortæller broen : »Ja, denne udbetaling er ægte.« I stedet snuppede angriberen den, registrerede sin egen falske hardware som en betroet bevisgiver og forfalskede udbetalingsbeviser, som broen ikke havde nogen grund til at betvivle. Blokproduktionen blev standset. Teamet opfordrede alle til straks at trække deres midler ud af alle broer på netværket.

Ti dage senere, den 2. juli, genåbnede broen. Alle berørte brugere fik deres midler erstattet fra kassen, ifølge Taikos egen meddelelse. Og det var dér, det blev underligt.

TAIKO kom sig ikke bare – den skød i vejret. Fra et historisk lavpunkt på omkring 0,058 $ den 29. juni steg tokenet til hele 0,52 $ inden for 24 timer – en stigning på omkring 9 gange – før det faldt tilbage til omkring 0,13–0,14$. Det er stadig omkring det dobbelte af, hvad den blev handlet til lige efter hacket. CoinDesk registrerede stigningen til op til 136% på en enkelt handelsdag; CoinGecko angiver en stigning på 114% i løbet af ugen. Handelsvolumenet eksploderede til over 100 millioner dollar på en dag for en token med en markedsværdi på 27 millioner dollar.

For et år siden var mønsteret: en shitcoin bliver fjernet fra en børs, shitcoinen stiger voldsomt, og ingen kan forklare hvorfor, bortset fra »mindre salgspres, færre fornuftige mennesker, der følger med«. Nu ser det ud til, at det at få sin signeringsnøgle lækket på GitHub og miste et syvcifret beløb har samme effekt. Måske er det lettelseskøb – løsningen virkede, alle fik deres penge tilbage, så hvorfor ikke hoppe med på vognen? Måske er det bare et token med lavt antal i omløb, hvor enhver overskrift, god eller dårlig, er nok til at sende kursen i vejret. Sandsynligvis begge dele.

Det er dog værd at huske, hvad der faktisk skete her. Dette var ikke en fejl i smart kontrakten. Hele Taikos multi-prover-opsætning – SGX plus ZK-backends – var designet således, at en angriber ville være nødt til at bryde igennem to uafhængige systemer på én gang. Intet af det havde nogen betydning, fordi nøglen slet ikke skulle have forladt enklaven i første omgang, og den endte et sted, hvor ethvert script kunne finde den. Det er ikke en kryptografisk fejl. Det er en.gitignore-fejl. PeckShield anslår, at det samlede beløb for bridge-hacks i 2026 ligger på over340 millioner dollars fordelt på mindst 14 hændelser, og den røde tråd i de fleste af dem er ikke fejl i matematikken, men at nogen har glemt at låse en dør.

Taiko siger, at der er en fuldstændig efteranalyse på vej. Indtil da: broen fungerer, brugerne har fået deres penge tilbage, og grafen ser ud, som om der slet ikke er sket noget dårligt.