Krypto-Verluste erreichen in der ersten Hälfte von 2026 $1,1 Mrd., da DPRK-Akteure und neue Angriffsvektoren die Rekordwelle von Vorfällen antreiben
Wichtige Erkenntnisse
- •Blockaid verifizierte in der ersten Hälfte von 2026 212 Blockchain-Sicherheitsvorfälle mit Verlusten von $1,1 Milliarden.
- •KelpDAO, Drift Protocol, Resolv und CowSwap entfielen zusammen auf rund 64% der Gesamtverluste des Zeitraums.
- •Mit der DPRK verbundene Akteure waren für etwa $609 Millionen an Verlusten oder 55% der Gesamtsumme verantwortlich, einschließlich TraderTraitor zugeschriebener Angriffe.
- •Kompromittierte private Schlüssel verursachten fast $789 Millionen Schaden und waren damit mit Abstand die größte Verlustquelle.
- •Zu den neuen Angriffsmustern gehörten EIP-7702-Wallet-Delegation, der erste bekannte AI-Prompt-Injection-Exploit und Angriffe auf Off-Chain-Bridge-Prover-Infrastruktur.
Die erste Hälfte von 2026 war laut dem Onchain-Sicherheitsunternehmen Blockaid die am stärksten ausgenutzte Periode in der Blockchain-Geschichte. Blockaid verifizierte 212 Vorfälle mit Gesamtverlusten von $1,1 Milliarden. Diese Zahl entspricht 3,4-mal so vielen hochschwelligen Exploits wie im gesamten Jahr 2025.
Obwohl die gesamten Dollarverluste die Werte von 2025 nicht übertrafen — vor allem, weil kein einzelnes Ereignis dem $1,5 Milliarden schweren Bybit-Hack entsprach —, deuteten das Volumen und die Raffinesse der Angriffe auf eine breitere Eskalation der Bedrohungslage hin. Für Protokollteams und Infrastruktur-Anbieter zeigt der Bericht außerdem, dass ein einzelnes Kontrollversagen die Halbjahreswerte dominieren kann, während kleinere Vorfälle sich dennoch schnell summieren, wenn sich Angriffsmethoden über mehrere Ziele hinweg skalieren.
Die Verluste waren stark konzentriert. Die vier größten Vorfälle — KelpDAO mit $292 Millionen, Drift Protocol mit $285 Millionen, Resolv mit $80 Millionen und CowSwap mit $50,4 Millionen — machten zusammen etwa 64% aller Verluste in der ersten Jahreshälfte aus. KelpDAO und Drift wurden direkt TraderTraitor zugeschrieben, einer Untergruppe der Lazarus Group aus Nordkorea. Einschließlich des separat zugeschriebenen Humanity-Protocol-Hacks über $32 Millionen waren mit der DPRK verbundene Akteure für rund $609 Millionen oder 55% der Gesamtsumme im Berichtszeitraum verantwortlich.
Kompromittierte private Schlüssel waren mit großem Abstand die dominierende Ursache der Verluste. Laut Blockaid waren sie für nahezu $789 Millionen bzw. rund 74% des Schadens in der ersten Jahreshälfte über etwa zehn Vorfälle verantwortlich. Die beiden größten Angriffe begannen nicht mit einer Schwachstelle im Vertrag, sondern mit Social Engineering. DPRK-Operative griffen Mitarbeiter bei Drift und KelpDAO mit LinkedIn-artiger Manipulation an und erlangten schließlich die Kontrolle über Multisig-Signer und die Infrastruktur der Bridge-Verifizierer. Im Fall von KelpDAO nutzten die Angreifer insbesondere eine Single-DVN-Konfiguration in der LayerZero-Bridge, um eine Cross-Chain-Attestierung zu fälschen und $292 Millionen aus einem Ethereum-Escrow abzuziehen.
Legacy-Blindspots und neue Vektoren erweitern die Angriffsfläche
Code-Exploits waren in der Gesamtbilanz mit $203 Millionen deutlich weniger kostspielig, dominierten jedoch nach Anzahl der Vorfälle und machten fast 80% aller Fälle aus. Der größte Code-Exploit war Resolv’s nicht gedecktes Minting über $80 Millionen.
Ein kleineres, aber wiederkehrendes Muster betraf Legacy- oder veraltete Verträge, von denen Teams bereits migriert waren, die jedoch nicht vollständig stillgelegt worden waren. Fünf solcher Vorfälle im Mai und Juni — darunter zwei separate Angriffe auf das Aztec-Connect-Rollup und ein Validierungs-Exploit auf Raydium’s veralteter AMM V3 — summierten sich auf rund $5,7 Millionen und unterstrichen, dass Migrationsfristen nicht mit einer endgültigen Abschaltung gleichzusetzen sind.
Drei neue Angriffsvektoren traten erstmals in der ersten Jahreshälfte auf. Die Wallet-Delegation nach EIP-7702, eingeführt durch einen neuen Ethereum-Standard, wurde in vier Vorfällen missbraucht. Ein AI-Prompt-Injection-Angriff auf den Bankr-Agenten im Mai — der erste bekannte Fall seiner Art — führte zu einem Schaden von $216,000, nachdem ein autonomes System dazu verleitet wurde, eine unautorisierte Transaktion zu genehmigen. Auch die Off-Chain-Bridge-Prover-Infrastruktur wurde erstmals ins Visier genommen; sowohl KelpDAO als auch Taiko wurden durch gefälschte Beweise kompromittiert, die von Zielketten akzeptiert wurden.
Die Wiederherstellungsergebnisse fielen deutlich asymmetrisch aus. Code-Exploits ermöglichten mitunter eine teilweise Rückgewinnung von Geldern durch Notfall-Pause-Funktionen oder Onchain-Koordination. Bei Kompromittierungen privater Schlüssel hingegen gab es nahezu keine Rückholung, da gestohlene Vermögenswerte in der Regel innerhalb weniger Stunden über Mixer weitergeleitet wurden. Die erfolgreichste Eindämmung des Zeitraums ereignete sich bei Stellar, wo das Echtzeit-Wallet-Clustering von Blockaid den Validierern ermöglichte, $7,3 Millionen — 73% eines $10,2 Millionen schweren Oracle-Manipulations-Abflusses — innerhalb von Minuten nach dem Angriff unter Quarantäne zu stellen.
Der Beitrag Crypto Losses Hit $1.1B In First Half Of 2026 As DPRK Actors And New Attack Vectors Drive Record Incident Surge erschien zuerst auf Metaverse Post .