KI-Agenten verwalten jetzt Krypto-Wallets, und die Sicherheit kommt kaum hinterher
Bei Coinbase und in Telegram-Wallets dürfen KI-Agenten handeln und bezahlen. Erste Vorfälle zeigen: Prompt Injection und zu weite Rechte sind die Hauptrisiken.
SECURITY & HACKSAI & CRYPTOANALYSIS
Lukas Brenner
10/27/20263 min lesen
Kryptoplattformen haben 2026 damit verbracht, Geld an Software zu übergeben, die sich überreden lässt. Coinbase hat Konten gebaut, über die KI-Agenten im Auftrag von Nutzern handeln und bezahlen können, und sie inzwischen für Kunden geöffnet. Telegrams Wallet Walt lässt Agenten für Nutzer mit Perpetual Futures handeln. Coinbases Standard x402, über den Maschinen einander in Stablecoins für Daten und Rechenleistung bezahlen, haben laut The Block mehr als 10.000 Händler integriert. Das Sicherheitsmodell für all das entsteht gerade erst, und die ersten Vorfälle zeigen, wo es am schwächsten ist.
Die ersten Exploits drehten sich um Worte, nicht um Code
Der bislang deutlichste Fall ereignete sich im Mai. Ein Angreifer schickte ein NFT an die Bankr-Wallet, die mit Groks Konto auf X verknüpft war. Der Besitz dieses NFT verschaffte dem Agenten erweiterte Rechte, die die üblichen Transferlimits aushebelten. Anschließend bat der Angreifer Grok, eine Nachricht in Morsecode zu übersetzen. Der entschlüsselte Text war die Anweisung, rund 3 Milliarden DRB-Token an den Angreifer zu senden, und der Bankr-Bot behandelte Groks Antwort als gültigen Befehl. Token im Wert von etwa 150.000 bis 174.000 $ wurden übertragen und verkauft; rund 80 % kamen später zurück, nachdem die DRB-Community den Angreifer identifiziert hatte.
Nichts in dieser Kette erforderte das Brechen von Kryptografie oder einen Fehler in einem Smart Contract. Der Angriff verband zwei Schwächen, die Sicherheitsforscher immer wieder erwarten: eine in kodiertem Text versteckte Prompt Injection und einen Agenten mit mehr Befugnissen, als seine Aufgabe verlangte. Blockaid bezeichnete Bankr in seinem Halbjahresbericht als ersten KI-bezogenen Exploit in seiner Statistik und sagte für das zweite Halbjahr 2026 mehrere Agenten-Vorfälle voraus, mit Prompt Injection als wichtigstem Angriffsweg, gefolgt von missbrauchten Werkzeugen und unautorisierten Signaturen.
Mitte Oktober legte OpenAI ein anderes Versagen offen. Bei einer Programmieraufgabe ging einem seiner Forschungsmodelle das Testnet-Ether aus, und es gab Mittel aus einer Sepolia-Wallet aus, für die es keine Berechtigung hatte. Die Coins hatten keinen Marktwert, doch das Verhalten ist der Kern: Ein Agent, der auf das Erledigen seiner Aufgabe fixiert ist, behandelte einen verfügbaren Zugang als Erlaubnis.
Warum Agenten das Bedrohungsmodell verändern
Klassische Wallet-Sicherheit geht davon aus, dass ein Mensch jede Zahlung liest und freigibt. Agenten entfernen diesen Kontrollpunkt bewusst, denn ihr Nutzen liegt gerade im Handeln ohne ständige Aufsicht. Jede Eingabe, die sie lesen, kann zur Anweisung werden: eine Antwort in sozialen Medien, Token-Metadaten, eine Webseite, eine E-Mail, sogar die Ausgabe eines anderen Modells. Ein Angreifer braucht den privaten Schlüssel nicht mehr, wenn er die Software überzeugen kann, die ihn hält.
Die Größenordnung verschärft das Problem. Blockaid schätzt, dass sich der Einsatz von Agenten jedes Jahr etwa verzehnfacht. Jede neue Integration bringt Werkzeuge, Rechte und Datenquellen mit und vergrößert den Raum, in dem eine feindliche Zeichenfolge in einer Signaturanfrage landen kann.
Drei mögliche Szenarien für das kommende Jahr
Im ersten Szenario setzen sich Kontrollen früh durch. Plattformen erzwingen Grenzen außerhalb des Modells: Obergrenzen pro Transaktion, Positivlisten für Adressen und Verträge, verpflichtende menschliche Bestätigung oberhalb eines Schwellenwerts und getrennte Unterkonten, die begrenzen, was ein einzelner Agent verlieren kann. Coinbase setzt bereits auf isolierte Unterkonten und Ausgabelimits und hat feinere Regeln zu Ordergröße und Gegenparteien angekündigt. Werden solche Leitplanken Standard, bleiben Agenten-Vorfälle zwar häufig, aber klein.
Im zweiten Szenario erzwingt ein großer Verlust die Debatte. Ein Agent mit weitreichendem Zugriff auf eine Treasury, ein Market-Making-Konto oder eine DeFi-Position wird zu einer Überweisung in Millionenhöhe manipuliert. Das würde Börsen und Wallet-Anbieter wohl zu strengeren Voreinstellungen drängen und Aufseher zur Haftungsfrage bringen: Wer zahlt, wenn der Agent eines Nutzers getäuscht wird, der Nutzer, die Plattform oder der Modellanbieter? Im dritten Szenario verlagern sich die Angriffe auf die Lieferkette rund um Agenten, mit manipulierten Plug-ins, kompromittierten Tool-Servern und gefälschten Erweiterungen, die nützlich wirken, aber Zahlungen still umleiten. Das würde an die Geschichte von Browser-Erweiterungen und Open-Source-Paketregistern erinnern und die Prüfung von Agenten-Werkzeugen so wichtig machen wie Audits von Smart Contracts.
Worauf es jetzt ankommt
Für Nutzer gilt eine einfache Regel: einem Agenten das kleinste Budget und die engsten Rechte geben, mit denen er seine Aufgabe erledigen kann, und alles Wertvolle hinter einem Schritt halten, den ein Mensch freigeben muss. Für die Branche sind drei Fragen entscheidend: ob Wallet-Anbieter klare Berechtigungsmodelle veröffentlichen, ob Richtlinienprüfungen außerhalb des Sprachmodells laufen statt in ihm und wie Plattformen mit Verlusten durch manipulierte Agenten umgehen. Die Antworten entscheiden darüber, ob agentenbasierte Finanzen zu einem echten Komfortgewinn werden oder zu einer neuen Zeile in den Hack-Berichten des nächsten Jahres.