Hacker verdienen über 1 Million Dollar für 28 Zero-Day-Sicherheitslücken beim Pwn2Own in Berlin

Pwn2Own, der jährliche Computer-Hackathon, wurde kürzlich auf der OffensiveCon-Konferenz in Berlin, Deutschland, abgeschlossen, die vom 15. bis 17. Mai 2025 stattfand. Die Veranstaltung, organisiert von Trend Micros Zero Day Initiative (ZDI), markierte die erste europäische Ausgabe des renommierten Hack-Wettbewerbs.

In einer bemerkenswerten Demonstration von Cybersecurity-Fähigkeiten haben Forscher bei Pwn2Own Berlin 2025 insgesamt 1.078.750 $verdient, indem sie 28 zuvor unbekannte Schwachstellen, die als Zero-Day-Exploits bekannt sind, in mehreren Kategorien gefunden und ausgenutzt haben, darunter Virtualisierung, Webbrowser, Unternehmensanwendungen, Server, lokale Privilegieneskalation (EoP), Cloud/Container, Automobil und KI.

Was ist Pwn2Own?

Pwn2Own ist ein Hacker-Wettbewerb, bei dem ethische Hacker, Cybersicherheits-Experten und mehrere andere Teilnehmer die neuesten und am häufigsten verwendeten mobilen Geräte ins Visier nehmen, um ihre Fähigkeit zu demonstrieren, kritische Zero-Day-Sicherheitsanfälligkeiten aufzudecken und auszunutzen.

Diejenigen, die erfolgreich sind, erhalten nicht nur Geldprämien, sondern dürfen auch die Geräte behalten, die sie kompromittiert haben.

Nach dem Hacking-Vorfall haben Technologieanbieter 90 Tage Zeit, um die gemeldeten Sicherheitsanfälligkeiten zu beheben. Nach Ablauf dieser Frist veröffentlicht ZDI die Schwachstellen öffentlich, unabhängig davon, ob ein Patch veröffentlicht wurde.

Höhepunkte aus dem Wettbewerb

Tag 1

Am ersten Tag von Pwn2Own Berlin 2025 wurden mehrere erfolgreiche Exploits demonstriert, die den Forschern insgesamt 260.000 Dollar einbrachten. Die höchste Einzelbelohnung des Tages von 60.000 Dollar sowie 6 Master of Pwn-Punkte gingen an Billy und Ramdhan von STAR Labs, die einen UAF-Bug nutzten, um aus Docker Desktop auszubrechen und Code auf dem zugrunde liegenden System auszuführen.

Darüber hinaus nutzte das Team Prison Break einen Integer-Überlauf, um aus Oracle VirtualBox zu entkommen und Code auf dem Host-Betriebssystem auszuführen, was ihnen 40.000 $und 4 Master of Pwn-Punkte einbrachte.

Tag 2

Tag 2 von Pwn2Own Berlin sah insgesamt 435.000 Dollar, die für verschiedene erfolgreiche Exploits vergeben wurden, wodurch der Gesamtsumme des Wettbewerbs 695.000 Dollar erreichte. Der Tag bot 20 einzigartige 0-Day-Sicherheitsanfälligkeiten, wobei Nguyen Hoang Thach von STARLabs SG Pwn2Own-Geschichte schrieb, indem er einen einzigen Integer-Overflow nutzte, um VMware ESXi auszunutzen, und damit die höchste Auszahlung des Tages von 150.000 Dollar sicherte.

Darüber hinaus demonstrierte Viettel Cyber Security eine leistungsstarke Kombination aus Authentifizierungsumgehung und unsicherer Deserialisierung, um Microsoft SharePoint zu kompromittieren, und verdiente 100.000 US-Dollar.

Tag 3

Am Tag 3 von Pwn2Own Berlin 2025 lieferten mehrere Teams erfolgreiche Exploits über verschiedene Plattformen hinweg und trugen somit zu insgesamt 383.750 US-Dollar an Belohnungen bei. Corentin BAYET von REverse Tactics erhielt die höchste Einzelbelohnung des Tages - 112.500 US-Dollar - sowie 11,5 Master of Pwn-Punkte für einen teilweise kollidierenden ESXi-Exploit, der einen einzigartigen Ganzzahlenüberlauf beinhaltete.

Ähnlich verdienten Thomas Bouzerar und Etienne Helluy-Lafont von Synacktiv 80.000 $und 8 Master of Pwn Punkte für die Nutzung eines heap-basierten Pufferüberlaufs, um VMware Workstation auszunutzen.

Überblick über Pwn2Own Berlin 2025

Der dreitägige Pwn2Own Berlin 2025 Hacking-Wettbewerb sah vor, dass die Teilnehmer 28 einzigartige Zero-Day-Exploits enthüllten - sieben davon kamen aus der KI-Kategorie - und insgesamt 1.078.750 $gewannen.

STAR Labs SG dominierte den Wettbewerb und sicherte sich den Titel Master of Pwn, was ihnen 320.000 Dollar an Preisgeld und insgesamt 35 Punkte für ihre Leistungen einbrachte. Viettel Cyber Security belegte den zweiten Platz mit einem Preisgeld von 155.000 Dollar und 15,5 Punkten.

Sie wurden von Reverse Tactics verfolgt, die den dritten Platz auf der Bestenliste belegten und einen Gesamtbetrag von 112.500 $sowie 11,25 Punkte erhielten.