Hack-Daten für Q3: Angreifer zielen nicht mehr auf Code, sondern auf Infrastruktur
CertiK zählte im dritten Quartal Verluste von 1,26 Mrd. $. Die größten Diebstähle trafen Sicherheitsprodukte, Node-Software und Wallet-Firmware.
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
10/28/20263 min lesen
Das dritte Quartal 2026 war für die Kryptobranche der teuerste Abschnitt des Jahres in Sachen Sicherheit, doch aufschlussreicher als die Summe ist die Struktur der Verluste. CertiK zählte zwischen Juli und September 247 Vorfälle mit einem Schaden von 1,26 Mrd. $, rund 54 % mehr als die 819,4 Mio. $ im zweiten Quartal. Drei der vier größten Fälle hatten jedoch wenig mit dem klassischen DeFi-Exploit zu tun, bei dem ein Angreifer eine Lücke in einem Smart Contract findet und einen Pool leert. Sie liefen über die Sicherheitsgeräte eines Zulieferers, eine Lücke bei den Software-Releases einer Sidechain und einen Fehler in der Firmware von Hardware-Wallets.
Den größten Teil des Schadens brachte der September. CertiK bezifferte den Monat auf etwa 769 Mio. $ bei 99 Vorfällen, der bislang schlechteste Monat des Jahres; die separate Zählung von PeckShield kam auf eine ähnliche Größenordnung. Ein Teil des Geldes kam zurück. Laut CertiK wurden rund 273 Mio. $ eingefroren oder zurückgegeben, womit der Nettoverlust im September auf etwa 495 Mio. $ sinkt. Die Lücke zwischen Brutto- und Nettozahlen ist selbst ein Trend: Sie zeigt, wie schnell Stablecoin-Emittenten, Börsen und Ermittler heute reagieren können, sobald Gelder bewegt werden.
Der Börsen-Einbruch begann bei einem Zulieferer
Allein der Verlust von Bitget in Höhe von 387,5 Mio. $ machte etwa 31 % der Quartalssumme aus. Nach Angaben der Börse und den Untersuchungen von SlowMist und Mandiant knackten die Angreifer keine Wallet-Kryptografie. Sie nutzten eine Zero-Day-Lücke in Sicherheitsgeräten eines Drittanbieters, lasen ein Datenbankpasswort aus einer Umgebungsvariablen, bewegten sich seitwärts bis zu dem Server, der die Wallet-Aufträge abwickelt, und setzten dann mit hochrangigen internen Zugangsdaten Auszahlungsbefehle ab. SlowMist datiert die ersten bösartigen Aktivitäten auf den 31. August, mehr als drei Wochen bevor Gelder die Hot- und Warm-Wallets verließen.
Die Lehre daraus ist für jede zentralisierte Plattform unbequem. Werkzeuge, die ein Netzwerk schützen sollen, sitzen an privilegierten Stellen darin, und eine Schwachstelle in ihnen kann einem Eindringling den Weg zu den sensibelsten Systemen öffnen. Bitget erklärte, der Schaden sei durch den User Protection Fund mit mehr als 464 Mio. $ gedeckt, und verwies auf nordkoreanische Akteure; als Belege nannte die Börse IP-Muster sowie Wallet-Überschneidungen, die Elliptic und TRM Labs festgestellt hatten. Das passt ins größere Bild. Blockaid ordnete in seinem Halbjahresbericht die beiden größten Vorfälle des ersten Halbjahres, KelpDAO mit 292 Mio. $ und Drift mit 285 Mio. $, Gruppen mit Verbindungen zu Nordkorea zu und beschrieb Social Engineering über LinkedIn, an dessen Ende kompromittierte Multisig-Unterzeichner standen.
Wenn der Patch existiert, aber niemand ihn einspielt
Der Vorfall beim Liquid Network Anfang September legte eine andere Schwäche offen. Der Angreifer nutzte einen Fehler bei der Prüfung von Range Proofs in Elements, der Software hinter Blockstreams Bitcoin-Sidechain, schuf rund 4.000 L-BTC ohne Bitcoin-Deckung und löste die Token über den regulären Peg-out ein. Halborn weist in seiner Analyse darauf hin, dass der Fehler im Elements-Code bereits behoben war, die Korrektur aber noch in keinem offiziellen Release steckte. Nodes mit der offiziellen Version blieben dadurch angreifbar. Ein selbsternannter White Hat gab später 3.400 der Coins zurück, was einen großen Teil der Rückflüsse im September erklärt.
Die Diebstähle bei Coldcard gehören in dieselbe Kategorie. Laut TRM Labs führte ein Build-Fehler in einer im März 2021 veröffentlichten Firmware dazu, dass manche Geräte Seeds mit einem schwachen Software-Zufallsgenerator erzeugten, wodurch die effektive Schlüsselstärke weit unter die vorgesehenen 128 Bit fiel. Ab dem 30. Juli leerten Angreifer Wallets, nach Zählung von Galaxy Research mehr als 5.200 Adressen. Kein Smart Contract war beteiligt, und kein Gerät musste angefasst werden.
Was die Zahlen über die Verteilung des Risikos sagen
Zusammengenommen deutet das Quartal auf eine Verschiebung hin. Von The Block zitierte Daten von Immunefi zeigen, dass die Verluste durch DeFi-Exploits in diesem Jahr rund 74 % unter dem Höchststand von 2022 liegen, ein Zeichen dafür, dass Audits, Bug-Bounties und erprobte Vertragsvorlagen wirken. Blockaid verzeichnete im ersten Halbjahr 2026 dennoch mehr Exploits als im gesamten Jahr 2025. Das Ergebnis ist ein Bild aus vielen kleinen Vertragsfehlern und einer Handvoll sehr großer Ausfälle in Betrieb, Schlüsselverwaltung und Software-Lieferketten. Der Oktober passt bislang dazu: Initia stoppte am 23. Oktober seine Layer-1 und die Rollups, nachdem ein Angreifer über einen Fehler in einer Move-Funktion ungedeckte AUSD erzeugt und Werte nach Ethereum verschoben hatte. Der Schaden lag bei einigen Millionen, nicht bei Hunderten Millionen Dollar.
Für das vierte Quartal lohnen sich drei Indikatoren. Erstens: ob Börsen offenlegen, welche Zulieferer und internen Systeme im Auszahlungspfad liegen, nachdem Bitget gezeigt hat, wie ein Sicherheitsgerät zum Einfallstor werden kann. Zweitens: die Release-Disziplin bei Node- und Wallet-Software, also wie schnell Sicherheitskorrekturen in offizielle Versionen gelangen und wie konsequent Betreiber zum Update gedrängt werden. Drittens: die Rückholquote. Wenn Sperrungen und ausgehandelte Rückgaben die Bruttoverluste weiterhin um ein Drittel senken wie im September, sieht die tatsächliche Sicherheitsrechnung der Branche anders aus als die Schlagzeilen, auch wenn Angreifer weiter das schwächste Glied außerhalb des Codes suchen.