Crypto Long & Short: Was die diesjährigen Krypto-Hacks über 972 Millionen US-Dollar wirklich über Sicherheit aussagen

Die meisten der 2026 gestohlenen Krypto-Assets verlassen das System über kompromittierte Schlüssel, Signer und Governance-Mechanismen und nicht über Smart-Contract-Fehler, schreibt Mitchell Amador, Gründer und CEO von Immunefi. Er erklärt, warum „wir wurden geprüft“ nie dasselbe war wie „wir sind sicher“.

Was die Krypto-Hack-Zahlen des ersten Halbjahres wirklich über Sicherheit sagen

Von Mitchell Amador, Gründer und CEO von Immunefi

In diesem Monat gab ein Angreifer etwa 4 Millionen US-Dollar aus, um rund 20 Millionen US-Dollar aus der BonkDAO-Treasury abzuziehen. Kein Smart Contract versagte. Der Angreifer kaufte genug Tokens, um in einer Abstimmung mit geringer Beteiligung einen Governance-Vorschlag durchzubringen, und die Abstimmung wurde genau wie geschrieben ausgeführt. Die Regeln selbst waren die Schwachstelle.

Ein ähnliches Szenario spielte sich im Juni aus einem anderen Blickwinkel ab: Der größte Verlust des Monats — mehr als 30 Millionen US-Dollar bei Humanity Protocol — resultierte laut Darstellung des Projekts aus einem privaten Schlüssel, der auf dem Rechner eines Teammitglieds kompromittiert wurde, während der Vertrag unberührt blieb.

So sehen die schlimmsten Verluste des Jahres 2026 aus, in dem Krypto bislang rund 972 Millionen US-Dollar verloren hat. Die Zahl der Vorfälle steigt weiter, und das Geld verlässt das System zunehmend durch etwas anderes als einen Contract-Bug: einen gestohlenen Signierschlüssel, einen falsch konfigurierten Verifier oder eine Treasury, in die sich jeder per Stimme einkaufen kann. Würde man nur auf die bloße Zahl der Vorfälle schauen, könnte man meinen, die Branche verliere an Boden. Blickt man jedoch darauf, wie viel insgesamt tatsächlich gestohlen wurde, zeigt sich ein engeres, unangenehmeres Muster.

Das lässt sich präzise benennen. Über die 425 Hacks, die Immunefi von 2021 bis 2025 untersucht hat, trägt ein kleiner Anteil operativer Fehler den Großteil des Wertverlusts. Im Zeitraum 2024 bis 2025 lassen sich 54,6% des gesamten Wertverlusts über 191 Hacks auf Kompromittierungen zentralisierter Börsen zurückführen: also auf die Schlüssel-, Verwahrungs- und Signierprozesse, die oberhalb des Contracts liegen.

Das bedeutet jedoch nicht, dass die Code-Schicht gelöst ist. Kritische Schwachstellen gibt es in produktivem Code überall. 93,9% der Programme, die fünf Jahre oder länger laufen, weisen einen bestätigten Critical auf, und etwa jeder fünfte bestätigte Bericht wird als kritisch eingestuft. Auch der Code ist nie fertig: Jedes Upgrade bringt neue Angriffsfläche. Geändert hat sich, dass kontinuierliche, incentivierte Überprüfung beim Code heute mit den Angreifern Schritt hält — genau deshalb muss dieses Modell noch weiter reichen.

Hier stößt das Standard-Playbook an seine Grenzen. Ein Audit prüft Code zu einem bestimmten Zeitpunkt. Es sagt nichts darüber aus, wer die Signierbefugnis hält, wie ein Schlüssel gespeichert wird oder was passiert, wenn ein Laptop kompromittiert wird. Audits sind essenziell, und jedes ernsthafte Team sollte sie durchführen, aber „wir wurden geprüft“ war nie dasselbe wie „wir sind sicher“. Ein Protokoll wurde 11 Mal geprüft und verlor dennoch 128 Millionen US-Dollar.

Was Contract-Code tatsächlich gehärtet hat, ist kontinuierlicher, incentivierter Druck. Durch laufende Bug-Bounty-Programme und ein breiteres Set aus Monitoring- und Rapid-Response-Maßnahmen werden Sicherheitsforscher bezahlt, Schwachstellen zu finden, bevor Angreifer sie ausnutzen. Eine mediane Belohnung von rund 20.000 US-Dollar verhindert regelmäßig einen Hack, der im Schnitt etwa 25 Millionen US-Dollar kosten würde, und macht diese Auszahlung zur Security-Ausgabe mit dem höchsten ROI, die ein Protokoll tätigen kann. Das Modell funktioniert, weil es nie aufhört, und weil die Anreize nicht erodieren, wenn sich das Organigramm ändert oder ein Signer das Team verlässt.

Dieselbe Disziplin muss jetzt die Schlüssel, die Signer und die Governance-Regeln abdecken, sonst werden wir in diesem Bereich weiterhin katastrophale Verluste sehen.

Macht ein Audit ein Protokoll also sicher? Für sich allein: nein. Ein Protokoll ist dann sicher, wenn sein Code, seine Schlüssel, seine Mitarbeiter, seine Governance und sein Monitoring alle als live Angriffsfläche behandelt und kontinuierlich von Forschern getestet werden, die dafür bezahlt werden, sie zuerst zu brechen.

Schlagzeilen der Woche

Von Francisco Rodrigues

Die Schlagzeilen dieser Woche zeigen, wie der Krypto-Abschwung Bilanzen und Marktinfrastruktur umformt. Strategy beschaffte Liquidität und begann mit dem Rückkauf von Vorzugsaktien, während BitMEX und BitMart Schließungen ankündigten, da der Bärenmarkt Spuren hinterlässt.

Strategy erhöht Cash-Reserve auf 3,75 Milliarden US-Dollar, kauft STRC im Wert von 25 Millionen US-Dollar zurück: Das Unternehmen beschaffte 544,5 Millionen US-Dollar über Verkäufe von Stammaktien und nutzte einen Teil davon, um 288.930 STRC-Aktien zurückzukaufen, während die 843.775 BTC unverändert blieben.

BitMEX, die Börse, die Perpetual Swaps erfunden hat, stellt den Betrieb ein: Die Derivatebörse wird am 23. Sept. nach 11 Jahren schließen, nachdem sie den von ihr mitbegründeten Markt an größere zentralisierte Rivalen und dezentrale Handelsplattformen verloren hat.

BitMart stellt nach neun Jahren den Betrieb ein, da der BMX-Token abstürzt: Die Börse wird den Handel am 26. Aug. einstellen und den Betrieb am 31. Jan. 2027 beenden, ohne einen konkreten Grund für die Schließung zu nennen.

Revolut erreicht bei Mitarbeiteranteilsverkauf eine Bewertung von 115 Milliarden US-Dollar: Die Sekundärtransaktion erhöhte die Bewertung der krypto-freundlichen Digitalbank innerhalb von weniger als einem Jahr um 53% und machte sie zum wertvollsten privaten Unternehmen Europas.

Clarity Act dürfte sein Zeitfenster vor der Sommerpause des Kongresses verpassen: Der Mehrheitsführer im Senat, John Thune, sagte, das Gesetz werde wahrscheinlich nicht vor der Pause verabschiedet, was die Chancen mindert, dass es 2026 Gesetz wird, da die Abgeordneten weiterhin über Ethik und Stablecoin-Renditen uneins sind.

Chart der Woche

Long-Tail-Volumenanteil auf Solana erholt sich auf über 60%, während sich PUMP erholt

Memecoins und andere Long-Tail-Tokens machen inzwischen mehr als 60% des Solana-Volumens aus, nach den hohen 30ern Ende Juni. PUMP hat diese Erholung eng nachvollzogen und liegt seit Monatsbeginn 42% im Plus.