In diesem Beitrag
In den ersten sechs Monaten des Jahres 2026 verlor die Krypto-Industrie 939,86 Millionen US-Dollar in insgesamt 135 verifizierten Sicherheitsvorfällen. Wer nur die Schlagzeilen liest, zieht schnell einen vermeintlich offensichtlichen Schluss: Projekte bringen weiterhin ungeprüften Code ins Mainnet und setzen ihre Protokoll-Treasuries damit klassischen Exploits aus.
Doch die Daten zeichnen ein weitaus beunruhigenderes Bild.
Mehr als die Hälfte der betroffenen Projekte, die für über 721 Millionen Dollar der Gesamtschäden verantwortlich sind, verfügten über das begehrte Gütesiegel der Branche: ein abgeschlossenes Sicherheitsaudit. Dennoch beruhte der Exploit in 94,4 % dieser Fälle nicht auf einem übersehenen Reentrancy-Bug in einem geprüften Smart Contract. Das Geld verschwand, weil der Angriffspfad über Terrain verlief, das die Auditoren nie berührt hatten:
- Kompromittierte private Schlüssel
- Gekaperte Front-End-Skripte
- Lückenhafte Cloud-Infrastruktur
- Ungeprüfte Off-Chain-Relayer
Diese Erkenntnisse stammen aus einem umfassenden H1 2026 Sicherheitsbericht von ack3, einem KI-nativen Cybersicherheitsunternehmen (ehemals bekannt als Ackee Blockchain Security). Mit 237 abgeschlossenen Protokoll-Reviews seit 2021 hat ack3 jahrelang beobachtet, wie sich die Sicherheitsgrenzen verschoben haben. Während Angreifer aufhörten, nur auf isolierte Solidity-Dateien zu starren, und begannen, nach Schwachstellen in der gesamten Architektur zu suchen, passte ack3 seinen Ansatz an. Das Unternehmen kombiniert heute manuelle Expertenprüfungen mit Wake-basiertem Fuzzing, Off-Chain-Bedrohungsmodellierung und proprietären KI-Scans, um Abhängigkeiten zwischen verschiedenen Komponenten aufzuspüren.
Ihre neuesten Daten legen eine fundamentale Schwäche in der Risikobewertung von Web3 offen: Die Branche behandelt den Status „audited“ als permanenten, binären Zustand, während Angreifer Protokoll-Architekturen als fluide, vernetzte Webdienste betrachten.
„Ein Audit ist ein Zeitstempel und eine Grenzziehung, keine lebenslange Garantie“, erklärt Josef Gattermayer, Gründer von ack3. „Die alte Frage war: ‚Wurde es auditiert?‘ Die nützlichen Fragen lauten: ‚Was genau wurde wann auditiert und was hat sich seither geändert?‘ Ein Vertragsbericht kann keinen geleakten Signierschlüssel, kein kompromittiertes Front-End oder ein Legacy-Deployment schützen, das nicht mehr mit dem geprüften Code übereinstimmt.“
Um zu verstehen, wie fast eine Milliarde Dollar durch die Risse eines auditierten Ökosystems schlüpfen konnten, müssen wir hinter die Marketing-Badges blicken und nachverfolgen, wo die Sicherheit tatsächlich endete.
Die Verlustlandschaft im ersten Halbjahr 2026
In den ersten sechs Monaten des Jahres 2026 verzeichnete das Web3-Sicherheitsökosystem 135 verifizierte Vorfälle, bei denen insgesamt 939,86 Millionen US-Dollar aus dezentralen Protokollen und von deren Nutzern entwendet wurden. Jeder in den Daten von ack3 erfasste Exploit erfüllte eine strenge Verifizierung durch zwei Quellen, was einen umfassenden Überblick über On-Chain- und Off-Chain-Verstöße ermöglicht.
Bei der Kategorisierung dieser 135 Vorfälle nach ihrem historischen Audit-Status erscheint die Aufteilung zunächst fast ausgeglichen:
- Auditierte Opfer: 68 Vorfälle (50,4 % der Gesamtzahl) betrafen Projekte mit mindestens einer abgeschlossenen, öffentlich verifizierbaren Sicherheitsprüfung vor dem Angriff.
- Nicht auditierte Opfer: 35 Vorfälle (25,9 %) betrafen Protokolle, die ohne formale Prüfung durch Dritte arbeiteten.
- Audit-Status unbekannt: 32 Vorfälle (23,7 %) betrafen Projekte, bei denen die Audit-Historie zum Zeitpunkt der Datenerhebung unzureichend oder nicht verifiziert war.
Die Audit-Illusion
Auf den ersten Blick könnte die Tatsache, dass auditierte Protokolle etwa die Hälfte aller Vorfälle ausmachen, darauf hindeuten, dass Sicherheitsprüfungen nur einen Schutz auf Zufallsniveau bieten. Doch wenn man diese Zahlen mit dem finanziellen Schaden korreliert, wird das wahre Ausmaß der Krise deutlich.
Auditierte Protokolle trugen 721,24 Millionen US-Dollar der insgesamt 939,86 Millionen US-Dollar an Verlusten in H1 2026 – das sind massive 76,7 % des gesamten gestohlenen Kapitals. Nicht auditierte Projekte und solche mit unbekanntem Status machten zusammen lediglich 218,62 Millionen US-Dollar aus.
Diese Diskrepanz offenbart die „Audit-Illusion“. Kapital sammelt sich natürlicherweise dort an, wo Sicherheitszertifikate präsentiert werden. Institutionelle Anleger, Yield Farmer und Privatanleger betrachten einen Audit-Bericht als grünes Licht, was die Liquidität in Protokolle treibt, die eine polierte Sicherheitshaltung zeigen.
Dies schafft ein Paradoxon: Audits ziehen Kapital an, was auditierte Protokolle wiederum zu hochkarätigen Zielen macht. Während eine gründliche Code-Prüfung Gelegenheits-Hacker abschreckt, die nach einfachen Solidity-Bugs suchen, lassen sich professionelle Akteure von einem Audit-Badge nicht aufhalten. Stattdessen verlagern sie ihren Fokus von den geprüften Smart Contracts auf die unüberwachte Infrastruktur drumherum. Wie H1 2026 zeigte, versuchen Angreifer nicht mehr, durch die Vordertür des auditierten Codes einzubrechen; sie nutzen die ungeprüften Seiteneingänge.
Die Scope-Lücke: Wo 680 Millionen Dollar verschwanden
Das gefährlichste Missverständnis im Web3-Bereich ist die Gleichsetzung eines Smart-Contract-Audits mit dem Schutz des gesamten Systems. Wenn ein Protokoll einen Audit-Bericht veröffentlicht, bezieht sich dieser in der Regel auf einen spezifischen Commit-Hash für eine definierte Gruppe von Solidity- oder Rust-Dateien. Er deckt weder die Deployment-Umgebung noch die Entwickler-Workstations, die Cloud-Infrastruktur, die DNS-Einträge oder die privaten Schlüssel ab, die zur Verwaltung der Protokollparameter verwendet werden.
Die Forschung von ack3 zeigt, dass genau in diesem Delta – der „Scope-Lücke“ – fast das gesamte gestohlene Kapital verloren geht. Von den 68 auditierten Protokollen, die im ersten Halbjahr 2026 gehackt wurden, fielen 46 Projekte Angriffsvektoren zum Opfer, die vollständig außerhalb des Umfangs (Scope) ihrer veröffentlichten Audits lagen. Diese 46 Vorfälle führten zu Verlusten von 680,97 Millionen US-Dollar, was 94,4 % des gesamten finanziellen Schadens der auditierten Opfer entspricht.
Anzahl vs. Wert: Die Kluft
Um zu verstehen, wie der Audit-Scope die Risikowahrnehmung verzerrt, muss man die reine Anzahl der Vorfälle mit dem tatsächlichen finanziellen Schaden vergleichen.
Vorfälle, bei denen der Angriffspfad innerhalb des auditierten Codes verlief, machten 20 von 68 auditierten Sicherheitsbrüchen aus – etwa 29,4 % der Fälle. Doch diese 20 In-Scope-Exploits brachten den Angreifern nur 35,21 Millionen US-Dollar ein, was lediglich 4,9 % der gesamten Verluste bei auditierten Projekten entspricht.
Der Kontrast ist frappierend: Traditionelle Code-Audits leisten gute Arbeit darin, katastrophale Smart-Contract-Bugs abzufangen und begrenzen die In-Scope-Verluste auf unter 5 %. Doch die Protokoll-Teams lassen die Hintertür weit offen und verlieren die restlichen 94,4 % durch Infrastruktur- und Betriebsbrüche.
Anatomie der modernen Angriffsfläche
Angreifer haben erkannt, dass Smart Contracts oft das stärkste Glied in der Kette sind, weshalb sie systematisch die operative Umgebung um den Code herum ins Visier nehmen.
Die Ergebnisse von ack3 heben vier wiederkehrende operative Angriffsvektoren hervor:
- Kompromittierte private Schlüssel und Signaturberechtigungen: Admin-Keys, Multisig-Unterzeichner und operative Hot Wallets bleiben der schnellste Weg zum Totalverlust. Sobald eine Signaturinstanz durch Phishing oder schlechtes Key-Management kompromittiert ist, kann der Angreifer Verträge aktualisieren, Parameter ändern oder Notfall-Mints auslösen – und dabei alle On-Chain-Logikprüfungen umgehen.
- Front-End-Script-Injektionen und DNS-Hijacking: Anstatt die On-Chain-Logik zu brechen, kapern Angreifer die Schnittstelle, der die Nutzer vertrauen. Durch DNS-Manipulation oder das Einschleusen von bösartigem JavaScript über Drittanbieter-Webabhängigkeiten tauschen Angreifer Zieladressen aus oder tricksen Nutzer dazu aus, Freigaben für bösartige Spender zu signieren.
- CI/CD-Pipelines und Cloud-Infrastruktur-Credentials: Angriffsvektoren verlaufen zunehmend über GitHub Actions, Cloud-Umgebungsvariablen und Build-Pipelines. Hardcodierte Geheimnisse oder geleakte API-Schlüssel ermöglichen es Angreifern, Build-Artefakte zu manipulieren, bevor der Code überhaupt die Blockchain berührt.
- Ungeprüfte Off-Chain-Komponenten: Moderne DeFi-Protokolle verlassen sich stark auf Off-Chain-Prover, Oracle-Relayer und Cross-Chain-Bridges. Diese komplexen Dienste liegen oft außerhalb von Standard-Audits, diktieren aber die Inputs für die On-Chain-Ausführung.
Punktuelle Sicherheit und das Alterungsproblem
Selbst wenn ein Exploit Code trifft, der explizit im Scope eines Audits lag, weist die Datenlage auf eine weitere Schwachstelle hin: den Zerfall der Sicherheitssicherheit (Assurance Decay).
Ein Audit-Bericht ist kein kontinuierlicher Schutzschild, sondern eine statische Momentaufnahme. Dennoch vermarkten Protokolle routinemäßig zwei Jahre alte PDF-Berichte als Beweis für aktuelle Sicherheit. Die Forschung von ack3 zeigt, dass der Schutzwert einer historischen Prüfung stetig abnimmt, selbst wenn die Smart-Contract-Logik unverändert bleibt.
Die Verfallsrate der Sicherheit
Unter den 20 Vorfällen, bei denen der Angriffspfad direkt im auditierten Scope lag, ereigneten sich 17 mindestens sechs Monate nach dem letzten relevanten Audit. Die mediane Zeitspanne zwischen Audit-Datum und Exploit betrug 18 Monate, wobei die Lücken von drei bis zu 56 Monaten reichten.
Nur drei Protokolle erlitten In-Scope-Exploits innerhalb von sechs Monaten nach Erhalt eines Audit-Berichts. Die überwiegende Mehrheit der Ausfälle trat lange nach der Abnahme durch das Audit-Team auf:
- Unter 6 Monate: 3 Vorfälle (15 % der In-Scope-Fälle)
- 6 bis 24 Monate: 9 Vorfälle (45 % der In-Scope-Fälle)
- 24 Monate oder mehr: 8 Vorfälle (40 % der In-Scope-Fälle)
Dies unterstreicht eine klare Lehre: Die Relevanz eines Audit-Berichts verfällt in einem schnelllebigen Ökosystem rasch. Das Alter allein verursacht zwar keinen Bug, aber es misst, wie lange Code exponiert bleibt, während sich alles um ihn herum verändert. Daher ist es für Krypto-Protokolle entscheidend, häufige Audits durchzuführen, anstatt sich auf veraltete Berichte zu verlassen.
Ebenfalls interessant: Die besten KI Krypto Projekte im Überblick
KI als Angriffsmultiplikator und der Wechsel zur „Living Assurance“
Spezialisierte KI-Tools haben die Geschwindigkeit und Skalierbarkeit der Sicherheitsforschung permanent verändert. Auch wenn der Datensatz von ack3 keinen Vorfall direkt autonomen KI-Agenten zuschreibt, verdeutlicht er eine Verschiebung der Bedrohungslage: Angreifer nutzen KI als operativen Druckmultiplikator.
Der neue Realismus der Bedrohung
Einen komplexen Reentrancy-Bug in einem intensiv geprüften Solidity-Vertrag zu finden, erfordert Zeit und Expertise. Das Aufspüren eines exponierten Schlüssels in einem nicht indexierten Off-Chain-Repository erforderte früher mühsame manuelle Aufklärungsarbeit. KI-Modelle haben diesen Zeitaufwand nahezu auf Null reduziert.
Angreifer starren nicht mehr nur auf isolierte Logik. Sie nutzen KI-Tools, um ganze Protokoll-Ökosysteme in Millisekundenschnelle zu erfassen, Abhängigkeiten zwischen Repositories zu kartieren und die unüberwachten Nahtstellen zwischen Cloud, Front-End und Smart Contracts zu sondieren. Wenn Verteidiger ihren Blick auf ein Verzeichnis von Smart Contracts beschränken, werden Angreifer mit KI-Unterstützung die umliegenden Schwachstellen immer zuerst finden.
Das Ende des PDF-Artefakts
Die Gewohnheit der Branche, einen statischen PDF-Audit-Bericht als dauerhaften Sicherheitsnachweis zu behandeln, ist mittlerweile ein existenzielles Risiko. Um in einem Umfeld zu überleben, in dem Angriffsvektoren Komponenten mit KI-Geschwindigkeit überspringen, müssen Protokolle von punktuellen Prüfungen zu einer „Living Assurance“ (lebenden Sicherheit) übergehen. ack3 skizziert hierfür drei Säulen:
1. Dynamisches Scope-Mapping
Verteidiger müssen statische Vertragslisten durch ein aktives Echtzeit-Register der gesamten Systemoberfläche ersetzen. Dies beinhaltet die kontinuierliche Katalogisierung von On-Chain-Deployments, Off-Chain-Infrastruktur, administrativen Rollen und Web-Abhängigkeiten.
2. Ereignisgesteuerte Re-Audit-Trigger
Sicherheit sollte nicht nach einem starren Jahreskalender erneuert werden. Protokolle benötigen operative Trigger, die sofort eine gezielte Nachprüfung auslösen, etwa bei Parameter-Updates, Key-Rotationen oder der Integration neuer Bridges und Orakel.
3. Kontinuierliche hybride Prüfung
Maschinelle Analyse und menschliche Expertise müssen Hand in Hand arbeiten. Automatisierte KI-Scanner und Fuzzing-Engines sind exzellent darin, breite Suchen durchzuführen und Logik-Abweichungen zu finden. Menschliche Sicherheitsingenieure greifen dort ein, wo Maschinen scheitern: bei der Bewertung wirtschaftlicher Bedrohungsmodelle und der Validierung komplexer Geschäftslogik.
Fazit: Sicherheit im Web3 neu denken
Die 940 Millionen Dollar Verlust im ersten Halbjahr 2026 machen eines unmissverständlich klar: Ein historisches, punktuelles Audit als dauerhaftes grünes Licht zu betrachten, ist operative Fahrlässigkeit. Smart Contracts existieren nicht im luftleeren Raum. Ein Audit, das Solidity-Dateien abdeckt, aber Front-End-Abhängigkeiten, Admin-Keys und Cloud-Infrastruktur ignoriert, ist keine Sicherheitsgarantie.
Die Zukunft der Web3-Sicherheit gehört Teams, die Assurance als aktive operative Disziplin begreifen. Wer sich weiterhin hinter statischen PDF-Berichten versteckt, bleibt schlichtweg das lohnendste Ziel auf dem Spielfeld.
Die besten Krypto-Presales für 2026
Warum Sie 99Bitcoins vertrauen können
99Bitcoins wurde 2013 gegründet und verfügt über ein Team von Experten, deren Erfahrung bis in die Anfänge der Kryptozeit zurückreicht.
Wöchentliche Recherche
100k+Monatliche Leser
Experten
2000+Krypto-Projekte unter die Lupe genommen
