Kompromittierte Schlüssel, nicht fehlerhafter Code, treiben jetzt den Großteil des Krypto-Diebstahls an, und Nordkorea kassiert die Schecks.
Zusammenfassung
- DeFi-Protokolle haben in den ersten acht Monaten des Jahres 2026 laut Forbes und CertiK mindestens 1,3 Milliarden US-Dollar durch Exploits verloren, wobei kompromittierte private Schlüssel zum ersten Mal überhaupt Smart-Contract-Bugs als häufigsten Angriffsvektor überholt haben.
- Das Drift-Protokoll verlor am 1. April 285 Millionen US-Dollar, nachdem Angreifer monatelang Social Engineering betrieben hatten, um an einen Admin-Schlüssel zu gelangen, und dann das Protokoll in 128 Sekunden leerten. KelpDAO verlor 17 Tage später 290 Millionen US-Dollar durch einen einzigen kompromittierten Verifier auf seiner LayerZero-Brücke.
- Nordkoreas Lazarus-Gruppe (operierend als TraderTraitor) wird für mindestens 575 Millionen US-Dollar der Verluste von 2026 allein durch die Drift- und KelpDAO-Hacks verantwortlich gemacht, was bedeutet, dass ein einziger staatlicher Akteur etwa 44 % der Jahressumme ausmacht.
- Brückeninfrastruktur bleibt der dominierende Fehlerpunkt. AFX Trade (24,15 Millionen US-Dollar), VerusCoin (19,14 Millionen US-Dollar über zwei Exploits) und die Cosmos-EVM-Unterlauf-Kette (20,8 Millionen US-Dollar über MANTRA, TAC und KiiChain) betrafen alle Cross-Chain-Verifizierungsebenen, die auf dieselbe vorhersehbare Weise brachen.
- Der Coldcard-Hardware-Wallet-Exploit (130 Millionen US-Dollar, 30. Juli) bewies, dass das Problem kompromittierter Schlüssel über DeFi-Protokolle hinausgeht. Ein Firmware-Fehler machte Seeds erratbar, und Angreifer erzwangen sich den Zugang zu Tausenden von Wallets, ohne ein einziges Netzwerk zu berühren.
Acht Monate im Jahr, und die Kryptoindustrie hat bereits denselben Fehlermodus oft genug wiederholt, um ein Lehrbuch zu füllen. Die Angriffsfläche hat sich nicht verändert. Protokolle vertrauen weiterhin einer kleinen Anzahl von Schlüsseln, Unterzeichnern und Verifizierungsknoten, und Angreifer stellen weiterhin fest, dass es billiger ist, eine Person zu kompromittieren, als einen Smart Contract zu brechen.
Die Zahlen sind deutlich. CertiKs Hack3d H1 2026 Bericht und Forbes beziffern die gesamten Krypto-Hack-Verluste im ersten Halbjahr auf 1,3 Milliarden US-Dollar. TRM Labs kam zu einer ähnlichen Zahl und stellte fest, dass die Verluste für DeFi allein knapp unter der Milliardengrenze lagen. Das rekt.news-Ranking, das einzelne Exploits über 3 Millionen US-Dollar verfolgt, listet bisher mehr als 30 Vorfälle aus 2026 auf, wobei allein die beiden größten 575 Millionen US-Dollar ausmachen.
Was 2026 von früheren Jahren unterscheidet, ist nicht der Dollar-Betrag. Es ist die Angriffstaxonomie. Die größten Diebstähle des Jahres nutzten keine Reentrancy-Bugs, Flash-Loan-Schleifen oder Oracle-Manipulation aus. Sie nutzten Menschen aus. Social Engineering, Session-Hijacking, Diebstahl von Validator-Schlüsseln und Governance-Übernahme treiben jetzt den Großteil der Verluste nach Dollarwert. Der Code bestand jede Prüfung. Die Menschen darum herum nicht.
Zwei Hacks, ein Drehbuch, 575 Millionen Dollar weg
Der prägende Moment des Jahres ereignete sich in einem 18-Tage-Fenster zwischen dem 1. und 18. April.
Am 1. April leerten Angreifer das Drift-Protokoll um 285 Millionen US-Dollar in 128 Sekunden. Drift war die größte Perpetuals-Börse von Solana. Der Exploit berührte keine einzige Zeile Smart-Contract-Logik. Die Angreifer hatten Monate damit verbracht, sich als quantitatives Handelsunternehmen auszugeben, an Konferenzen teilzunehmen, Drift-Mitarbeiter in mehreren Ländern persönlich zu treffen und die Art von Vertrauen aufzubauen, auf der diese Branche basiert.
Als sie zuschlugen, hatten sie bereits vorab signierte Autorisierung vom Drift-Sicherheitsrat unter Verwendung einer dauerhaften Nonce erhalten, einem legitimen Solana-Feature. Sie whitelisteten einen wertlosen Token namens CVT, hinterlegten 500 Millionen davon als Sicherheit gegen ein gefälschtes Oracle, das sie drei Wochen lang kontrolliert hatten, und zogen 285 Millionen US-Dollar in USDC, SOL und ETH ab.
Neodymes Audit von 2024 hatte genau diesen Mechanismus markiert. Der Bericht stellte fest, dass Admin-Anweisungen wie InitializeSpotMarket ein Oracle-Konto ohne Validierung akzeptierten. Es wurde als informativ eingestuft mit der Begründung, dass nur der Admin es aufrufen könne. Zwei Jahre später war der Admin-Schlüssel in den falschen Händen, und der informative Befund wurde zu einem neunstelligen Abgang.
Siebzehn Tage später, am 18. April, verlor KelpDAO 290 Millionen Dollar durch seine LayerZero-Brücke. Die Methode war völlig anders. Keine Konferenzschaltung, kein gefälschter Handelsschalter. Jemand hat am 6. März einen LayerZero-Labs-Entwickler sozial manipuliert, dessen Sitzungsschlüssel gestohlen und diesen Zugang genutzt, um die RPC-Infrastruktur zu vergiften, die das Verifier-Netzwerk von LayerZero speist. Externe Knoten wurden durch DDoS-Angriffe zum Schweigen gebracht. Die verbleibenden kompromittierten Knoten signierten eine gefälschte Cross-Chain-Nachricht, und die Brücke prägte 116.500 ungedeckte rsETH.
Die gestohlene rsETH ging direkt als Sicherheit an Aave, lieh echtes WETH gegen sich selbst und wurde abgezogen, bevor das Notfall-Multisig genügend Signaturen gesammelt hatte, um zu pausieren. Der Gesamtwert in Aave fiel innerhalb von 48 Stunden um 6,28 Milliarden Dollar. Neun Protokolle froren Märkte ein. Der Sicherheitsrat von Arbitrum nutzte Notfallbefugnisse, um 30.766 ETH aus der Wallet des Angreifers on-chain zu beschlagnahmen, ein Schritt, der die Meinungen fast so sehr spaltete wie der Exploit selbst.
Beide Hacks bestanden ihre Audits. Beide Teams hatten Standard-Sicherheitspraktiken befolgt. Beide verloren alles durch einen einzigen kompromittierten Schlüssel.
Das Lazarus-Fließband
Ermittler führten sowohl Drift als auch KelpDAO auf TraderTraitor zurück, eine Untergruppe der nordkoreanischen Lazarus-Gruppe. Mandiant, CrowdStrike, Elliptic und LayerZero bestätigten gemeinsam die Zuordnung zu KelpDAO. Elliptic verband Drift mit mittlerer bis hoher Sicherheit mit derselben Einheit.
Das ist nicht neu. Lazarus steckte hinter dem 1,5-Milliarden-Dollar-Hack von Bybit im Februar 2025, der innerhalb von Stunden vom On-Chain-Ermittler ZachXBT identifiziert wurde. Zuvor traf dieselbe Gruppe zwischen 2022 und 2024 Radiant Capital, die Ronin Bridge, WazirX und Harmony's Horizon Bridge. Das US-Finanzministerium, das FBI und die CISA haben alle gemeinsame Warnhinweise veröffentlicht, die die Gruppe und ihre Taktiken benennen.
Was sich 2026 geändert hat, ist die Raffinesse der Social-Engineering-Ebene. Die Drift-Angreifer bauten über Monate Beziehungen auf. Die KelpDAO-Angreifer zielten auf die Sitzungsanmeldeinformationen eines bestimmten Entwicklers. In beiden Fällen erfolgte der erste Einbruch durch Vertrauen, nicht durch Technologie. Die technische Ausnutzung begann erst, nachdem die menschliche Ebene bereits kompromittiert war.
CertiKs Ronghui Gu drückte es in einem Interview mit Forbes klar aus: „Ein Protokoll kann ein fehlerfreies Code-Audit bestehen und trotzdem Millionen verlieren, weil ein Admin-Schlüssel kompromittiert wurde.“ Dieses Zitat liest sich jetzt eher wie ein Warnhinweis denn wie eine Beobachtung.
Bybit hat seitdem Nordkorea, seinen Geheimdienst und die Lazarus-Gruppe vor einem US-Bundesgericht verklagt, um Vermögenswerte aus dem 1,5-Milliarden-Dollar-Hack zurückzufordern. Die Rechtstheorie ist neuartig, aber sie unterstreicht, wie wenige Optionen Opfer haben, wenn der Angreifer ein souveräner Staat ist.
Die Rechnung ist unbequem. Drift (285 Millionen Dollar) plus KelpDAO (290 Millionen Dollar) ergibt 575 Millionen Dollar von einem einzigen Bedrohungsakteur in 18 Tagen. Gemessen an einem Gesamtverlust von 1,3 Milliarden Dollar im Jahr 2026 macht Lazarus mindestens 44 % aller gestohlenen Gelder aus. Wenn man den Bybit-Hack von Ende Februar 2025 einbezieht, übersteigt die rollierende 18-Monats-Bilanz der Gruppe 2 Milliarden Dollar.
Brücken brechen weiterhin auf die gleiche Weise
Brücken sind die weiche Unterseite von Krypto. Das sind sie seit dem Ronin-Bridge-Hack 2022 (624 Millionen Dollar), dem Wormhole-Hack (326 Millionen Dollar) und dem Nomad-Hack (190 Millionen Dollar). Vier Jahre später hat sich das Muster nicht geändert.
Im Jahr 2026 umfassen Brücken-Exploits KelpDAO (290 Millionen Dollar, Kompromittierung eines einzelnen Verifiers), AFX Trade (24,15 Millionen Dollar, fünf kompromittierte Validator-Signaturen auf einer Arbitrum-USDC-Brücke) und VerusCoin (19,14 Millionen Dollar bei zwei separaten Exploits derselben Ethereum-Brücke im Mai und Juli). Der Cosmos-EVM-Unterlauf-Bug traf drei Chains in schneller Folge: MANTRA (3,6 Millionen Dollar), TAC (7,5 Millionen Dollar) und KiiChain (9,7 Millionen Dollar), alle durch dieselbe Cross-Shard-Quittungs-Replay-Schwachstelle.
Der gemeinsame Nenner ist die Verifizierung. Brücken müssen bestätigen, dass eine Nachricht oder Transaktion auf einer Kette gültig ist, bevor sie auf einer anderen ausgeführt wird. Diese Bestätigung beruht fast immer auf einer kleinen Gruppe von Unterzeichnern, Validatoren oder Oracle-Knoten. Kompromittieren Sie genug von ihnen, und die Brücke tut genau das, wofür sie entwickelt wurde: Sie gibt Gelder auf der Zielkette frei, basierend auf dem, was sie für eine legitime Anfrage von der Quellkette hält.
AFX Trade ist eine Fallstudie dafür, wie dünn die Margen sind. Am 22. Juli erreichten fünf kompromittierte Validator-Signaturen das Zwei-Drittel-Quorum auf ihrer Arbitrum-Brücke und entzogen 24,15 Millionen USDC. Der Angreifer transferierte die Gelder nach Ethereum, tauschte sie in 12.467,5 ETH um und konsolidierte sie in einer einzigen Wallet. All dies geschah 49 Tage, nachdem AFX stolz ein Sicherheitsaudit von Zellic beworben hatte. Dieses Audit dokumentierte null Testabdeckung und ließ Bestätigungen unkorrigiert. Das Streitfenster auf der Brücke betrug 200 Sekunden. Es bestritt nichts.
Die VerusCoin-Brücke wurde zweimal getroffen: 11,6 Millionen Dollar im Mai, dann 7,54 Millionen Dollar im Juli. Gleiche Brücke, andere Lücke in derselben kaputten Vertrauensgrenze. Beim zweiten Mal gab es keine Stellungnahme, kein Kopfgeldangebot, überhaupt keine Kommunikation.
Die Lösung ist bekannt, wird aber selten angewendet. Multi-Verifier-Konfigurationen, bei denen eine Brücke vor der Freigabe von Geldern eine Bestätigung von mehreren unabhängigen Verifizierungsnetzwerken verlangt, hätten sowohl die KelpDAO- als auch die AFX-Trade-Exploits gestoppt. LayerZero machte KelpDAO öffentlich dafür verantwortlich, ein Single-Verifier-Setup zu betreiben. KelpDAO konterte mit Dune-Daten, die zeigen, dass 47 % aller LayerZero-OApp-Verträge, mehr als 1.200 davon, exakt dieselbe Konfiguration verwenden. Über zweieinhalb Jahre und acht dokumentierte Integrationsgespräche hinweg, so KelpDAO, habe LayerZero sein Setup jedes Mal überprüft und keine Einwände erhoben.
Das ist der eigentliche Skandal. Die Lösung existiert. Die Infrastruktur unterstützt sie. Fast niemand nutzt sie.
Audits prüfen die falsche Oberfläche
Rekt.news veröffentlichte im Juli 2026 einen Leitartikel mit dem Titel „Wrong Attack Surface“, der das kristallisierte, was die Exploits des Jahres geschrien hatten: Die größten Verluste bestanden alle ihre Audits, weil die Prüfer den Code überprüften und der Code in Ordnung war.
CredShields drückte es in ihrem Drift-Post-Mortem direkt aus: Die Angriffsfläche habe sich „nach oben im Stack zu Governance, zu Unterzeichnern und zu den Menschen, die die Protokolle selbst bauen“, verlagert.
Traditionelle Smart-Contract-Audits überprüfen Solidity oder Rust auf Reentrancy-, Überlauf- und Zugriffskontrollfehler. Sie überprüfen nicht die Betriebssicherheitspraktiken, Schlüsselverwaltungsverfahren, Widerstandsfähigkeit gegen Social Engineering oder die Off-Chain-Infrastruktur, die Daten an On-Chain-Verträge liefert. Der KelpDAO-Exploit ereignete sich in der RPC-Infrastruktur von LayerZero, die außerhalb jedes Audit-Umfangs lag. Der Drift-Exploit geschah durch Social Engineering, das einen Admin-Schlüssel kompromittierte, was kein Code-Audit zu erfassen vermag.
Der Coldcard-Exploit ist das extremste Beispiel. Am 30. Juli 2026 begannen Angreifer, Bitcoin-Wallets zu leeren, die durch Coldcard-Hardware-Geräte gesichert waren. Ein Firmware-Fehler hatte den Hardware-Zufallszahlengenerator durch einen vorhersehbaren Software-Fallback ersetzt und die Entropie der Wallet-Seeds auf einen bruteforcebaren Bereich geschrumpft. Kein Phishing, keine Malware, kein gestohlenes Gerät. Angreifer führten die Berechnungen auf ihren eigenen Maschinen durch, leiteten Kandidatenadressen ab, verglichen sie mit der öffentlichen Blockchain und extrahierten die privaten Schlüssel kostenlos.
Galaxy Research führte die erste Welle auf 1.082,65 BTC zurück, die in 41 Minuten von 1.196 Adressen gestohlen wurden. Bis zum 7. August war die hochsichere Zählung auf 1.596 BTC von etwa 7.300 Adressen angewachsen, wobei Schätzungen mit Kandidaten die 2.055 BTC oder etwa 130 Millionen Dollar überschritten. Mehr als 25 separate Angriffsmuster wurden identifiziert. Mindestens 15 unabhängige Angreifer nutzten denselben Fehler aus.
Coinkite, der Hersteller von Coldcard, gab am selben Tag eine vorläufige Warnung heraus und CEO NVK entschuldigte sich öffentlich. Aber ein Firmware-Update konnte Wallets nicht reparieren, deren Seeds bereits mit der kaputten Entropie generiert worden waren. Diese Seeds mussten vollständig ersetzt werden.
Der Coldcard-Vorfall ist kein DeFi-Hack im traditionellen Sinne. Es ist etwas Schlimmeres: ein Beweis dafür, dass das Problem des kompromittierten Schlüssels tiefer reicht als die Protokoll-Governance. Selbst Benutzer, die alles taten, was das Self-Custody-Playbook empfiehlt, Hardware-Wallet, Offline-Signierung, keine Drittanbieter-Verwahrung, verloren Gelder, weil die Schlüsselerzeugung selbst fehlerhaft war.
Was das tatsächlich behebt
Die langweilige Antwort ist die richtige. Das Exploit-Muster von 2026 hat drei Fehlerpunkte, und jeder hat eine bekannte Gegenmaßnahme, die die meisten Protokolle nicht übernommen haben.
Schlüsselverwaltung: Multi-Party-Computation-Wallets (MPC) und Hardware-Sicherheitsmodule (HSMs) mit Threshold-Signaturen eliminieren das Einzelschlüssel-Risiko, das den Drift-Hack ermöglichte. Timelock-Verzögerungen bei Admin-Aktionen, kombiniert mit On-Chain-Überwachung, die alarmiert, wenn privilegierte Transaktionen in die Warteschlange gestellt werden, geben Sicherheitsteams ein Zeitfenster zum Reagieren. Drifts 128-Sekunden-Abfluss funktionierte, weil es keine Verzögerung zwischen Schlüsselkompromittierung und Geldabzug gab.
Bridge-Verifizierung: Multi-Verifier-Konfigurationen, bei denen zwei oder mehr unabhängige Verifizierungsnetzwerke zustimmen müssen, bevor eine Bridge Gelder freigibt, sind die direkte Antwort auf den Einzel-Verifier-Fehler von KelpDAO. LayerZero unterstützt dies nativ. Die Tatsache, dass 47% seiner Anwendungen immer noch Einzel-Verifier-Setups betreiben, ist ein Konfigurationsproblem, kein Technologieproblem.
Betriebssicherheit: Kein Code-Audit kann vor Social Engineering schützen. Protokolle mit einem TVL im neunstelligen Bereich benötigen dedizierte Betriebssicherheitsprogramme: hardwaregestützte Authentifizierung für jeden privilegierten Zugriff, verbindliche Multi-Signatur-Anforderungen, die nicht von einem einzelnen Unterzeichner umgangen werden können, und Sicherheitsschulungen, die Social Engineering als primären Bedrohungsvektor behandeln.
Der Cosmos-EVM-Unterlauf-Bug bietet eine andere Lektion. Cosmos Labs wusste seit April 2026 von dem Bug, unterschätzte jedoch seine Schwere. Als er schließlich im August über MANTRA, TAC und KiiChain ausgenutzt wurde, stoppten alle drei Chains zu spät. Die Gelder waren bereits überbrückt. Verantwortungsvolle Offenlegung funktioniert nur, wenn die Empfänger die Offenlegung mit Dringlichkeit behandeln.
Term Labs' Governance-Angriff (8,5 Millionen US-Dollar, August 2026) weist auf eine weitere Lücke hin. Eine nahezu null Wahlbeteiligung ermöglichte es einer Wallet, die Kontrolle über die Tresore des Protokolls zu minimalen Kosten zu übernehmen und die Governance-Verzögerung vollständig zu umgehen. Wenn niemand abstimmt, ist Governance nur eine weitere Angriffsfläche. Quorum-Anforderungen, Vote-Locking-Zeiträume und Wächtermechanismen, die verdächtige Vorschläge während eines Überprüfungszeitraums ablehnen können, sind Standardwerkzeuge, die Term Labs nicht implementiert hatte.
Was zu beobachten ist
Die zweite Hälfte von 2026 wird bestimmen, ob die Branche diese Fehler als Lehren oder als tolerierbare Kosten des Geschäfts behandelt. Fünf Indikatoren werden die Geschichte erzählen:
Multi-Verifier-Adoptionsrate auf LayerZero: Wenn der Prozentsatz der Einzel-Verifier-OApps bis zum Jahresende deutlich von 47% sinkt, ist die KelpDAO-Lektion angekommen. Wenn er stabil bleibt, erwarte eine Wiederholung.
Timelock-Adoption bei Admin-Schlüsseln: Achte auf Protokolle mit einem TVL über 100 Millionen US-Dollar, die verbindliche Verzögerungen für privilegierte Transaktionen implementieren. Drifts 128-Sekunden-Abfluss sollte dies nicht verhandelbar machen.
Lazarus-Group-Zuschreibungen bei neuen Exploits: Das US-Finanzministerium, Chainalysis und TRM Labs verfolgen alle die Aktivitäten von Lazarus. Jede neue Zuschreibung zu TraderTraitor signalisiert, dass die Social-Engineering-Pipeline der Gruppe weiterhin betriebsbereit ist.
Cosmos-EVM-Patch-Adoption über IBC-Chains: Der Unterlauf-Bug traf drei Chains. Dutzende weitere laufen mit derselben Codebasis. Die Geschwindigkeit des Patching im Cosmos-Ökosystem wird zeigen, ob die kettenübergreifende Koordination verbessert wurde.
Auszahlungen und Kapazität von Versicherungsprotokollen: On-Chain-Versicherungsanbieter wie Nexus Mutual und Sherlock haben in H1 2026 erhebliche Ansprüche absorbiert. Wenn die Underwriting-Kapazität schrumpft oder die Prämien steigen, signalisiert dies, dass der Markt anhaltende Angriffe auf dem aktuellen Niveau einpreist.
Wie viel hat DeFi im Jahr 2026 durch Hacks verloren?
Mindestens 1,3 Milliarden US-Dollar in der ersten Hälfte des Jahres 2026, so der Hack3d-Bericht von CertiK und Forbes. Die rekt.news-Rangliste listet für das Jahr mehr als 30 einzelne Exploits über 3 Millionen US-Dollar auf, wobei die beiden größten, Drift Protocol (285 Millionen US-Dollar) und KelpDAO (290 Millionen US-Dollar), zusammen 575 Millionen US-Dollar ausmachen. Die Gesamtzahl für das Jahr wird weiter steigen, sobald die Verluste aus dem zweiten Halbjahr hinzugerechnet werden.
Was war der größte DeFi-Hack des Jahres 2026?
KelpDAO verlor am 18. April etwa 290 Millionen US-Dollar, als Angreifer die Sitzungsschlüssel eines LayerZero-Entwicklers kompromittierten, die RPC-Infrastruktur vergifteten, die das Verifier-Netzwerk der Brücke speist, und 116.500 ungedeckte rsETH prägten. Die gestohlenen Token wurden als Sicherheiten in Aave eingezahlt, was einen Rückgang des TVL um 6,28 Milliarden US-Dollar über das Kreditprotokoll und Marktstillstände bei neun separaten DeFi-Plattformen auslöste.
Wie funktionierte der Drift-Protocol-Hack?
Angreifer gaben sich als quantitatives Handelsunternehmen aus und bauten über mehrere Monate durch Konferenzen und persönliche Treffen Vertrauen zu den Mitwirkenden des Drift Protocol auf. Sie erhielten vorab signierte Autorisierung vom Sicherheitsrat von Drift unter Verwendung einer dauerhaften Nonce, whitelisteten einen gefälschten Token namens CVT mit einem selbst kontrollierten Oracle, hinterlegten ihn als Sicherheit und zogen 285 Millionen US-Dollar in 128 Sekunden ab. Der Exploit nutzte nur legitime Solana-Funktionen und Administratorrechte, keinen Codefehler.
Steckt Nordkorea wirklich hinter den meisten Krypto-Hacks?
Der Lazarus-Gruppe aus Nordkorea, insbesondere ihrer Untereinheit TraderTraitor, werden mindestens 575 Millionen US-Dollar an DeFi-Verlusten im Jahr 2026 durch die Hacks von Drift Protocol und KelpDAO zugeschrieben. Zusammen mit dem Bybit-Hack in Höhe von 1,5 Milliarden US-Dollar vom Februar 2025 übersteigt die rollierende 18-Monats-Bilanz der Gruppe 2 Milliarden US-Dollar. Mandiant, CrowdStrike, Elliptic, das FBI und das US-Finanzministerium haben alle Zuschreibungen veröffentlicht, die bestimmte Exploits mit Lazarus-Operationen in Verbindung bringen.
Warum werden Krypto-Brücken immer wieder gehackt?
Brücken sind auf eine kleine Gruppe von Validatoren oder Verifikationsknoten angewiesen, um zu bestätigen, dass eine Cross-Chain-Nachricht echt ist, bevor Gelder auf der Zielkette freigegeben werden. Wenn genügend dieser Unterzeichner kompromittiert werden, folgt die Brücke ihren eigenen Regeln und gibt Gelder frei, die sie für eine gültige Anfrage hält. Der KelpDAO-Exploit nutzte einen kompromittierten Verifier. Der AFX-Trade-Exploit nutzte fünf. Das zugrunde liegende Problem ist, dass die meisten Brücken das Vertrauen auf zu wenige Parteien konzentrieren und viele immer noch Einzel-Verifier-Konfigurationen verwenden, obwohl Multi-Verifier-Alternativen verfügbar sind.
Was ist ein Angriff mit kompromittierten Schlüsseln?
Ein Angriff mit kompromittierten Schlüsseln liegt vor, wenn jemand die Kontrolle über einen privaten Schlüssel, Admin-Schlüssel oder eine Signierberechtigung erlangt, die privilegierten Zugriff auf die Gelder oder die Konfiguration eines Protokolls hat. Im Jahr 2026 überholten diese Angriffe Smart-Contract-Exploits als Hauptursache für DeFi-Verluste nach Dollarwert. Der Angreifer muss keinen Codefehler finden. Er muss eine Person finden, sei es durch Social Engineering, Session-Hijacking, Phishing oder Insider-Zugang.
Können Smart-Contract-Audits diese Hacks verhindern?
Nein, zumindest nicht die Art von Audits, die die meisten Protokolle heute in Auftrag geben. Traditionelle Smart-Contract-Audits prüfen den Code auf Fehler wie Reentrancy, Überlauf und Zugriffskontrollschwächen. Sie decken keine Schlüsselverwaltungspraktiken, operative Sicherheit, Widerstandsfähigkeit gegen Social Engineering oder Off-Chain-Infrastruktur ab. Der KelpDAO-Exploit ereignete sich in der RPC-Schicht von LayerZero, außerhalb jedes Audit-Bereichs. Der Drift-Exploit erfolgte durch monatelanges Social Engineering. Beide Protokolle hatten zum Zeitpunkt ihrer Exploits saubere Audits.
Was ist der Coldcard-Hack und wie verhält er sich zur DeFi-Sicherheit?
Am 30. Juli 2026 begannen Angreifer, Bitcoin aus Coldcard-Hardware-Wallets abzuziehen, nachdem sie einen Firmware-Fehler entdeckt hatten, der den Hardware-Zufallszahlengenerator durch einen vorhersehbaren Software-Fallback ersetzte. Seeds wurden bruteforce-angreifbar. Galaxy Research verfolgte mindestens 130 Millionen US-Dollar an Verlusten über Tausende von Wallets. Der Coldcard-Hack ist kein Exploit eines DeFi-Protokolls, aber er beweist denselben Punkt: Wenn der Schlüssel selbst kompromittiert ist, nützt keine noch so große On-Chain-Sicherheit. Das Problem ist nicht auf Smart Contracts oder Brücken beschränkt. Es zieht sich durch den gesamten Stack.
Dieser Artikel dient nur zu Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Investitionen in Kryptowährungen sind mit erheblichen Risiken verbunden. Führen Sie stets Ihre eigene Recherche durch, bevor Sie Anlageentscheidungen treffen. Die Informationen sind zum Stand vom 4. September 2026 korrekt.
