Kryptowährungsprojekte, Wallets und Infrastrukturanbieter erlitten im Juli schätzungsweise 210,3 Millionen USD an Verlusten durch 30 größere Hacks – eine Steigerung um 177,2 % gegenüber den 75,87 Millionen USD, die im Juni verzeichnet wurden, geht aus dem monatlichen Sicherheitsbericht von PeckShield hervor.

Die Juli-Statistik des Blockchain-Sicherheitsunternehmens identifizierte die mit Coldcard verbundenen Wallet-Drains als den größten Einzelfall mit rund 70 Millionen USD, gefolgt von AFX Trade und Ostium mit jeweils etwa 24 Millionen USD. Die Verluste verteilten sich auf mehrere Angriffsvektoren, darunter Governance-System-Exploits, Brücken-Kompromittierungen, Oracle-Manipulationen, Kompromittierungen von projektgesteuerten Wallets sowie Schwachstellen in privilegierten Smart Contracts. Die Bandbreite der Angriffsarten unterstreicht, dass keine einzelne Kategorie der Krypto-Infrastruktur für den monatlichen Anstieg verantwortlich war – die Vorfälle verteilten sich auf Verwahrungs-, DeFi- und Cross-Chain-Systeme.

Coldcard-Drain rangiert als drittgrößter Krypto-Diebstahl des Jahres 2026

Der Coldcard-Vorfall entwickelte sich zu Julis bedeutendster Sicherheitsverletzung, nachdem Forscher von Block bis zu 1.082,59 BTC über zwei Cluster von Transaktionen mit identischem Wallet-Fingerprint nachverfolgen konnten.

Coinkite, der Hersteller der Coldcard-Hardware-Wallets, gab eine Warnung heraus und riet Nutzern, die Seed-Phrasen auf Coldcard-Mk3-Geräten mit den Firmware-Versionen 4.0.1 bis 5.0.3 generiert haben, diese Wallets als potenziell kompromittiert zu behandeln. Die zugrunde liegende Schwachstelle erzeugte Seed-Phrasen mit deutlich weniger Entropie als beabsichtigt, was bedeutet, dass ein Angreifer mit ausreichend Kenntnissen über den Einrichtungsprozess den Bereich möglicher Wiederherstellungsphrasen erheblich eingrenzen konnte. Hardware-Wallets werden allgemein als Best Practice für Self-Custody empfohlen, da sie private Schlüssel offline speichern – eine Schwachstelle dieser Art bei der Seed-Generierung ist daher innerhalb der Sicherheitscommunity besonders bemerkenswert.

Der Verlust von rund 70 Millionen USD rangiert als drittgrößter im Jahr 2026 gemeldeter Krypto-Diebstahl, hinter dem 292-Millionen-USD-Exploit der KelpDAO- und LayerZero-Brücke sowie der 285-Millionen-USD-Verletzung des Drift Protocol. Coinkite hat nicht bestätigt, dass jede von Block markierte Transaktion auf die Mk3-Firmware-Schwachstelle zurückzuführen ist.

Brücken, Oracles und Governance-Exploits tragen zur monatlichen Schadenssumme bei

Die Arbitrum-Brücke von AFX Trade verlor 24,15 Millionen USDC, nachdem Signaturen von fünf Hot-Validatoren die erforderliche Genehmigungsschwelle erreichten. Der Angreifer übertrug die Stablecoins auf Ethereum und tauschte sie gegen aproximadamente 12.467 ETH. Cross-Chain-Brücken gehören wiederholt zu den am häufigsten angegriffenen Kategorien bei Krypto-Exploits, da ihre Multi-Signature- und Validator-Architekturen Single Points of Failure schaffen können, wenn das Schlüsselmanagement oder Schwellenwertkontrollen kompromittiert werden.

PeckShield korrigierte den geschätzten Verlust durch den Ostium-Oracle-Exploit nach oben auf rund 24 Millionen USD und übertraf damit eine erste Schätzung von bis zu 18 Millionen USD. Der Angreifer nutzte autorisierte, vordatierte Preisberichte, um künstliche Handelsgewinne gegen den USDC-Liquiditäts-Vault des Protokolls zu erzielen.

Ein bösartiger Governance-Vorschlag entzog der BonkDAO-Treasury rund 21,2 Millionen USD. Zusätzlich verlor die Cardano-BNB-Chain-Brücke von Wanchain etwa 13 Millionen USD, nachdem 515 Millionen NIGHT-Token über Transaktionen, die mit einer vermuteten Signatur-Wiederverwendung zusammenhängen, die Treasury verließen.

Weitere Vorfälle machen knapp 39 Millionen USD aus

Wallets, die mit dem Zahlungsanbieter Triple-A verbunden sind, verloren mehr als 9,7 Millionen USD über vier Blockchain-Netzwerke, bevor die Assets auf Ethereum zusammengeführt wurden. Bonzo Lend erlitt einen 9,05-Millionen-USD-Oracle-Exploit, während die Verus-Ethereum-Brücke 7,54 Millionen USD durch einen Import-Validierungsfehler verlor, bei dem Assets ohne entsprechende Einzahlungen freigegeben wurden.

WEMIX meldete Schäden von rund 6,25 Millionen USD durch eine Kompromittierung der Contract Ownership, und ein Vault-Accounting-Exploit entzog Summer.fi etwa 6,04 Millionen USD.

Die zehn größten Vorfälle machten gemeinsam etwa 191 Millionen USD aus, wodurch rund 19,3 Millionen USD auf die verbleibenden 20 im Juli erfassten Hacks entfielen.