Der August 2026 setzte das Muster fort, das die Krypto-Sicherheit im bisherigen Jahresverlauf geprägt hat: häufige Vorfälle, vielfältige Angriffsvektoren und Verluste pro Ereignis, die zwar erheblich waren, insgesamt aber eher auf einen fragmentierten als auf einen katastrophalen Monat hindeuten. Laut TRM Labs wurden allein in der ersten Hälfte von 2026 bei 207 Vorfällen rund 972 Millionen US-Dollar gestohlen — ein Allzeithoch bei der Häufigkeit von Hacks, obwohl die Gesamtverluste gegenüber dem Höchststand von 2025 zurückgingen. Smart-Contract-Schwachstellen blieben der häufigste Angriffsvektor, während Kompromittierungen privater Schlüssel und Infrastrukturverletzungen viele der größten Einzelschäden verursachten.

Die im August dokumentierten Vorfälle betreffen mindestens acht Protokolle und Infrastruktur-Anbieter, mit bestätigten Verlusten pro Ereignis zwischen 1,7 Millionen und 8,5 Millionen US-Dollar. Zusammengenommen offenbaren sie drei wiederkehrende Fehlermuster: Governance- und Autorisierungsmechanismen, die zu Angriffsvektoren werden, kaskadierende Protokollfehler, die die Chain-Integrität bedrohen, sowie Schwachstellen in Smart Contracts und Infrastruktur, deren Folgen weit über Bilanzen hinausreichen.

Wenn die Regeln zum Vektor werden: Governance- und Autorisierungsangriffe

Der finanziell folgenreichste Vorfall des Monats — der Verlust von 8,5 Millionen US-Dollar bei Term Finance — war kein Smart-Contract-Bug, sondern ein strukturelles Versagen des Governance-Designs. Ein Angreifer erwarb kostengünstig eine Mehrheitsposition in einem dünn verteilten Governance-Token und brachte Vorschläge durch, die ihm die Kontrolle über die Strategy Vaults des Protokolls gaben. Dadurch wurden rund 2.843 ETH (damals 6,87 Millionen US-Dollar wert) und 1,68 Millionen USDC abgezogen. Das entspricht etwa 68% der 12,45 Millionen US-Dollar in Term’s Meta Vaults und nahezu allen Ethereum-Einlagen.

PeckShield und CertiK bestätigten die Schadensschätzung unabhängig voneinander. Yearn Finance, dessen V3-Infrastruktur die Vaults nutzten, stellte klar, dass der Angriff einen benutzerdefinierten Governance-Wrapper ausnutzte und die Standardkonfigurationen der Yearn-Vaults nicht betrifft. Term Labs reagierte mit der dauerhaften Abschaltung aller Meta Vaults, der Aufhebung der DAO-Governance-Rollen, dem Erhalt von Auszahlungen und der Koordination mit externen Sicherheitsteams zur Rückgewinnung der Vermögenswerte. Die Schwere wird durch den institutionellen Kontext verstärkt: Nach einem Oracle-Fehler im April 2025, der unbeabsichtigte Liquidationen von rund 918 ETH auslöste, hatte Term Governance-Transparenz und eine Prüfung durch Dritte für kritische Updates zugesagt.

Derartige Governance-Übernahmen haben gut dokumentierte Vorgänger. Beanstalk verlor im April 2022 rund 182 Millionen US-Dollar, als ein Angreifer per Flash Loan die Mehrheit seiner Governance-Token erwarb und einen selbstausführenden Vorschlag durchsetzte; auch die DAO von Tornado Cash wurde 2023 durch einen ähnlich kostengünstigen bösartigen Vorschlag übernommen. Der Verlust bei Term zeigt, dass diese Fehlerklasse selbst bei einem Protokoll fortbesteht, das öffentlich strengere Governance-Aufsicht zugesagt hatte.

Der 3-Millionen-US-Dollar-Exploit bei BounceBit verlief über einen verwandten, aber mechanisch anderen Pfad. Eine Autorisierungsschwachstelle im Evmos-Blockchain-Stack — der Grundlage von BounceBits Layer 1 — erlaubte es einem Smart-Contract-Aufrufer, ein anderes Konto als Transaktionsquelle zu benennen, ohne dass eine kryptografische Verifikation stattfand. Über zwei Tage bewegte der Angreifer rund 286,5 Millionen BB-Token über neun Wallets, ohne einen einzigen privaten Schlüssel oder ein Wallet-Gerät zu kompromittieren. Da Evmos selbst seit Mai eingestellt ist, entschied sich BounceBit gegen eine Behebung und stattdessen für die dauerhafte Stilllegung der Chain. Das Unternehmen kündigte an, BB als BEP-20-Token auf BNB Chain anhand eines Snapshots vor dem Angriff neu auszugeben und mit Börsen zusammenzuarbeiten, um betroffene Kundenguthaben wiederherzustellen.

Beide Fälle spiegeln einen gut dokumentierten Branchenwandel wider: Nahezu 44% der Verluste in der ersten Hälfte von 2026 resultierten aus operativen und infrastrukturellen Sicherheitsfehlern statt aus Smart-Contract-Bugs, und die Kompromittierung von Wallets hat sich zum kostspieligsten Angriffsvektor entwickelt, wobei Angreifer auf Schlüsselverwaltung und Multisig-Governance zielen. Die Governance-Exploits im August fügen sich genau in diesen Trend ein.

Kaskadierende Ausfälle: Protokollfehler und Krisen der Chain-Integrität

Mehrere Vorfälle im August gingen über finanzielle Verluste hinaus und bedrohten die Integrität bestätigter Blockchain-Zustände — ein schwerwiegenderes Ergebnis, das abgeschlossene Transaktionen rückgängig machen kann und das grundlegende Vertrauen in ein Netzwerk untergräbt. Rollbacks und tiefe Reorganisationen gehören zu den drastischsten Maßnahmen in der Blockchain-Geschichte: Der klassische Präzedenzfall bleibt der Ethereum-Hard-Fork von 2016 nach dem DAO-Hack, der die Chain spaltete und Ethereum Classic hervorbrachte; die 51%-Angriffe auf Ethereum Classic im Januar 2019 zeigten später, dass tiefe Reorganisationen und Double-Spends in der Praxis auftreten können.

MAYAChain, eine Cross-Chain-DEX auf Basis von THORChains Open-Source-Code, stoppte sein Netzwerk am 19. August, nachdem eine Transaktion mit 23 Nachrichten sechs miteinander verkettete Softwarefehler ausnutzte, die Trade-Accounts, die Behandlung ausgehender Transaktionen und Berechnungen der Liquiditätspools betrafen. Der Angreifer zog schließlich 48,87 Millionen CACAO-Token aus dem Asgard-Vault des Protokolls ab. Der direkte Verlust betrug etwa 1,7 Millionen US-Dollar in Bitcoin und anderen Vermögenswerten; der gesamte Wertverlust des Pools — verstärkt durch den 88,7%-Rückgang von CACAO während des Vorfalls — wurde auf 10,9 Millionen US-Dollar geschätzt. Das Team kontaktierte den Angreifer per Bitcoin-OP_RETURN-Nachricht, leitete einen Bug-Bounty-Prozess ein und sagte eigene Beiträge zur Wiederherstellung zu.

Harmony kündigte ein Rollback auf den 11. August an, nachdem nicht autorisierte ONE-Token gemintet und an Börsen verteilt worden waren — eine Maßnahme, durch die mehr als 109.000 reguläre Transaktionen und 315 Staking-Transaktionen verworfen würden. Eine selektive Wiederherstellung wurde wegen der wechselseitigen Abhängigkeit von Guthaben, Nonces und Vertragszuständen im betroffenen Zeitraum als technisch unsicher eingestuft.

Ravencoin sah sich einer parallelen Krise gegenüber, als eine Konsensschwachstelle dazu führte, dass Nodes ab Blockhöhe 4.487.776 ungültige Blöcke akzeptierten. Daraufhin begannen Mining-Pools, die die Mehrheit der Hashrate kontrollieren, eine konkurrierende Chain aufzubauen. Eine erfolgreiche Reorganisation könnte etwa drei Tage bestätigter Transaktionen rückgängig machen; Upbit und Bitget setzten daraufhin RVN-Transfers aus.

MANTRA, eine Blockchain für tokenisierte Real-World-Assets, stoppte am 21. August die Blockproduktion, nachdem ein Angreifer eine Schwachstelle in einer externen Upstream-Abhängigkeit ausnutzte — also in Software, die außerhalb des Protokolls entwickelt wurde. Sein Token fiel vor dem Stopp um 18,5% auf ein Allzeittief; die Validatoren blieben offline, bis eine koordinierte gepatchte Version veröffentlicht wird, und die vollständige Schadensbewertung läuft weiter.

Smart Contracts, Infrastruktur und die erweiterte Angriffsfläche

Auch auf Smart-Contract- und Supply-Chain-Ebene kam es im August zu bemerkenswerten Vorfällen, die verdeutlichen, dass sich Krypto-Sicherheitsrisiken inzwischen über den gesamten operativen Stack erstrecken. The Sandbox deaktivierte das Bridging auf Base und BNB Smart Chain, nachdem ein Angreifer über eine approveAndCall-Funktion die LayerZero-Delegate-Berechtigungen übernahm, um nicht gedeckte SAND-Token zu minten.

Obwohl der nominelle Wert bei rund 49 Milliarden US-Dollar lag — berechnet, indem der Marktpreis auf Token angewendet wurde, die die verfügbare Liquidität weit überstiegen — wurde die tatsächlich betroffene Menge auf weniger als 0,01% des gesamten SAND-Angebots von 3 Milliarden Token bestätigt; SAND auf Ethereum und Polygon blieb unberührt. BTCPay Server machte eine kritische, aktiv ausgenutzte Schwachstelle öffentlich, die die selbst gehostete Bitcoin-Zahlungsinfrastruktur betrifft, und forderte Nutzer auf, auf Version 2.4.2 zu aktualisieren oder die Server sofort offline zu nehmen; bestätigte Verluste wurden nicht beziffert.

Separat teilte Trezor mit, dass sein Fulfillment-Partner ShipMonk unbefugten Zugriff erlitten habe und dadurch Namen, E-Mail-Adressen, Telefonnummern und Versandadressen von rund 14.000 Kunden in sieben Ländern offengelegt wurden. Firmware der Geräte oder On-Chain-Gelder waren nicht betroffen, doch der Vorfall macht die physische Risikodimension deutlich: Persönliche Erpressungsangriffe führten in der ersten Hälfte von 2026 zu geschätzten 30 Millionen US-Dollar Verlusten, wobei Einbrüche inzwischen 37% der Vorfälle ausmachen.

In der Gesamtschau bestätigen die Vorfälle im August, dass sich die Verwundbarkeitslandschaft der Branche sowohl ausweitet als auch diversifiziert. Angreifer beschränken sich nicht länger auf Smart-Contract-Logik; sie operieren über Governance-Mechanismen, Protokollabhängigkeiten, Konsensschichten und Drittanbieter-Logistikdienstleister hinweg. Wirksame Risikominderung erfordert zunehmend Sicherheitsrahmen, die all diese Angriffsflächen gleichzeitig berücksichtigen.