Sicherheitsverluste im Kryptobereich 2026
Die Sicherheitsverluste im Kryptobereich beliefen sich in der ersten Hälfte des Jahres 2026 auf 1,1 Milliarden Dollar, verteilt auf 212 verifizierte Vorfälle, so ein Bericht von Blockaid, der am 28. Juli veröffentlicht wurde. Blockaid beschreibt die Anzahl der Vorfälle in den ersten sechs Monaten als Rekord und stellt fest, dass mehr Ausnutzungen im ersten Halbjahr 2026 verifiziert wurden als im gesamten Jahr 2025. Operationale Sicherheitsangriffe verursachten 74 % des gestohlenen Wertes, während ein Cluster, das mit der Demokratischen Volksrepublik Korea in Verbindung steht, 55 % ausmachte. Blockaid hebt hervor, dass die Anzahl der Vorfälle 3,4-mal so hoch war wie die Gesamtzahl von 2025, obwohl Sicherheitsunternehmen unterschiedliche Definitionen und Methoden zur Erfassung von Branchenschätzungen verwenden.
Angriffsvektoren und Verluste
Die Daten von Blockaid zeigen, dass sich die Angriffe von denen, die ausschließlich auf fehlerhaftem Smart-Contract-Code basieren, hin zu einer Vielzahl von Bedrohungen gewandelt haben. Kompromittierte Geräte, privilegierte Anmeldeinformationen, private Schlüssel, Signatursysteme und Off-Chain-Infrastruktur verursachten den Großteil der gemessenen Verluste. Diese Angriffe können gültig aussehende Blockchain-Transaktionen generieren, da autorisierte Anmeldeinformationen sie genehmigen. Dieses Muster verringert den Schutz, der allein durch Code-Audits geboten wird. Audits können Vertragsfehler identifizieren, aber sie können nicht verhindern, dass ein kompromittierter Administrator eine bösartige Transaktion signiert oder dass ein Brückenverifier sich auf vergiftete Infrastruktur verlässt.
Verluste nach Projekten
Blockaid berichtet, dass im ersten Halbjahr neue Angriffsvektoren aufgetaucht sind und warnt, dass einige im zweiten Halbjahr zunehmen könnten. Ethereum-bezogene Projekte verloren laut Blockaids Bericht etwa 332 Millionen Dollar, wobei Code-Schwachstellen für einen Großteil dieses Betrags verantwortlich waren. Der größte Ethereum-verknüpfte Vorfall war KelpDAO, bei dem Angreifer 116.500 rsETH im Wert von etwa 292 Millionen Dollar aus einem Brückenvertrag freisetzten, nachdem sie eine Quelle-Ketten-Nachricht gefälscht hatten. Solana-bezogene Projekte verloren etwa 326 Millionen Dollar, wobei mehr als 98 % von kompromittierten Schlüsseln und Signaturinfrastruktur stammten und nicht von Smart-Contract-Fehlern.
Netzwerkvergleich und Angriffe
Der Netzwerkvergleich zeigt nicht, dass eine Blockchain von Natur aus sicherer ist. Stattdessen spiegelt er wider, welche Anwendungen angegriffen wurden und wie ihre Teams mit privilegierten Zugängen umgingen. Ein einzelner großer Vorfall kann auch die Gesamtzahl eines sechsmonatigen Netzwerks dominieren. Chainalysis verband den Angriff auf KelpDAO am 18. April mit der Lazarus-Gruppe Nordkoreas. Die Untersuchung ergab, dass Angreifer interne RPC-Knoten kompromittierten und externe Knoten störten, was dazu führte, dass ein System mit einem einzigen Verifier ein falsches Brennevent akzeptierte. Die Ethereum-Seitenbrücke gab dann rsETH frei, obwohl keine entsprechenden Token auf der Quellkette zerstört worden waren.
Wiederherstellungspläne und zukünftige Maßnahmen
Wie crypto.news berichtete, schloss KelpDAO die operative Phase seines Wiederherstellungsplans am 25. Mai ab, nachdem es eine letzte Tranche von 20.373,72 rsETH in seinen Brückenadapter übertragen hatte.
Das Minting, die Einlösungen und die Belohnungen wurden wieder aufgenommen, obwohl Rechtsstreitigkeiten und strittige Ansprüche im Zusammenhang mit eingefrorenen Mitteln ungelöst blieben. Drift erlitt am 1. April einen separaten Angriff auf privilegierten Zugang. Chainalysis berichtete, dass Angreifer Monate mit Social Engineering und vorab signierten langlebigen Nonce-Transaktionen benötigten, um administrative Kontrolle zu erlangen. Drifts Wiederherstellungsupdate vom 16. April bewertete die gestohlenen Vermögenswerte auf 295,7 Millionen Dollar, was über der Schätzung von etwa 285 Millionen Dollar lag, die Blockaid und mehrere Ermittler zu Beginn verwendet hatten.
In einem verwandten Bericht berichtete crypto.news, dass Step Finance nach dem Kompromittieren von Geräten der Führungskräfte und dem Abfluss von bis zu 40 Millionen Dollar aus den von der Schatzkammer kontrollierten Vermögenswerten geschlossen wurde. Das Unternehmen konnte etwa 4,7 Millionen Dollar zurückgewinnen, gab jedoch an, dass Finanzierungs- und Akquisitionsgespräche keinen nachhaltigen Weg nach vorne brachten. Drift schlug einen Wiederherstellungspool vor, der durch Einnahmen von Börsen, Tether und anderen Partnern unterstützt wird.
Blockaid erwartet, dass Teams sich stärker auf Transaktionsabsichtskontrollen, isolierte Signaturgeräte, Schlüsseltrennung und Überwachung über Brücken und Infrastruktur konzentrieren. Diese Maßnahmen sind Unternehmensempfehlungen, keine Garantien. Die nächsten verifizierten Updates werden von den Bedingungen des Wiederherstellungstokens von Drift und dem Zeitplan für den Neustart, dem verbleibenden Anspruchsprozess von Step Finance, den Gerichtsverfahren im Zusammenhang mit eingefrorenen KelpDAO-Mitteln und allen von Strafverfolgungsbehörden angekündigten Vermögensbeschlagnahmungen abhängen.
