Krypto-Plattformen haben zwischen Januar 2025 und Juli 2026 laut dem am 27. August veröffentlichten State of Crypto Security Report von CoinGecko 3,63 Milliarden US-Dollar bei 245 dokumentierten Sicherheitsvorfällen verloren.
Zusammenfassung
- Krypto-Plattformen verloren zwischen Januar 2025 und Juli 2026 3,63 Milliarden US-Dollar bei 245 dokumentierten Vorfällen.
- Die zehn größten Angriffe machten mehr als 72,5 % aller weltweit verzeichneten gestohlenen Gelder aus.
- Geprüfte Plattformen waren für 147 Vorfälle und 88,44 % der gemeldeten Verluste im gesamten Studienzeitraum verantwortlich.
- Nur 11 % der Vorfälle betrafen Schwachstellen, die von routinemäßigen Smart-Contract-Audits abgedeckt wurden, gab CoinGecko öffentlich bekannt.
- Die aktive Onchain-Versicherungsdeckung fiel um 20,2 % auf 130,2 Millionen US-Dollar, während fünf Protokolle ausstiegen oder umstrukturierten.
Die Verluste waren stark konzentriert. Die zehn größten Angriffe machten mehr als 72,5 % des gesamten gestohlenen Wertes aus, während Infrastruktur- und Lieferketten-Kompromittierungen Verluste von über 1,8 Milliarden US-Dollar verursachten.
CoinGecko identifizierte die Kompromittierung privater Schlüssel als das größte Risiko für zentralisierte Börsen. Dezentrale Anwendungen verloren etwa 546 Millionen US-Dollar durch Smart-Contract-Exploits, während beide Plattformkategorien auch mit Oracle-Manipulation und internen Mechanismusfehlern konfrontiert waren.
Die Zahlen repräsentieren den Vorfallsdatensatz von CoinGecko. Die veröffentlichte Zusammenfassung gibt nicht klar an, ob alle wiedererlangten oder eingefrorenen Vermögenswerte abgezogen wurden, daher sollte die 3,63 Milliarden US-Dollar als gemeldete Verlustschätzung und nicht als endgültiger Nettoverlust betrachtet werden.
Krypto-Sicherheitsverluste konzentrierten sich auf große Angriffe
Der Bybit-Vorfall im Februar 2025 war der größte enthaltene Vorfall und machte etwa 1,44 Milliarden US-Dollar aus. Der Angriff betraf kompromittierte Transaktionssignierungs-Infrastruktur und nicht einen Defekt in einem Börsen-Smart-Contract.
Weitere große Vorfälle waren der KelpDAO-Vorfall mit 292 Millionen US-Dollar, der Drift-Protocol-Angriff mit 285 Millionen US-Dollar und der Cetus-Exploit mit 223 Millionen US-Dollar. Ihre unterschiedlichen Methoden zeigen, warum eine einzige Sicherheitskontrolle nicht die gesamte Angriffsfläche der Branche abdecken kann.
Infrastrukturangriffe können private Schlüssel, Mitarbeitergeräte, Front-End-Schnittstellen, Softwareabhängigkeiten und Brückenbetreiber ins Visier nehmen. Diese Komponenten liegen oft außerhalb der Smart Contracts, die bei herkömmlichen Audits überprüft werden.
Staatlich unterstützte Gruppen haben auch längere und komplexere Operationen übernommen. Wie bereits berichtet, haben zwei mit Nordkorea verbundene Angriffe etwa 577 Millionen US-Dollar abgezogen durch Social Engineering und Kompromittierung der Brückeninfrastruktur und nicht durch gewöhnliche Vertragsfehler.
Audits deckten nur eine Minderheit der ausgenutzten Schwachstellen ab
CoinGecko stellte fest, dass 147 der 245 betroffenen Plattformen, also etwa 60 %, vor dem Angriff ein unabhängiges Sicherheitsaudit abgeschlossen hatten. Diese Plattformen waren für 88,44 % der verzeichneten Verluste verantwortlich.
Diese Feststellung belegt nicht, dass die Prüfer die anfällige Komponente genehmigt haben. CoinGecko sagte, dass nur etwa 11 % der Vorfälle Schwachstellen betrafen, die in den Umfang routinemäßiger Smart-Contract-Audits fielen.
Diese im Rahmen liegenden Fehler verursachten dennoch Verluste von etwa 396 Millionen US-Dollar. Die meisten anderen Vorfälle betrafen externe Infrastruktur, nicht geprüfte Software-Updates, kompromittierte Anmeldeinformationen oder Governance-Mechanismen, die das Audit nicht bewertete.
Ein Audit ist auch eine Momentaufnahme einer bestimmten Codeversion. Nach der Überprüfung vorgenommene Änderungen können neue Schwachstellen einführen. Seine Wirksamkeit hängt vom Umfang, der Methodik, der Erfahrung der Prüfer und davon ab, ob die Entwickler die Ergebnisse behoben haben.
In verwandter Berichterstattung hat Ripples Sicherheitsüberprüfung 96 Probleme identifiziert, bevor betroffener Code die Nutzer erreichte, was zeigt, dass Audits Verluste verhindern können, wenn die Ergebnisse vor der Aktivierung eintreffen. Sie können jedoch keine kontinuierliche Überwachung und operative Sicherheit ersetzen.
Die Kapazität der Onchain-Versicherung sank, während die Angriffe zunahmen
Die aktive Abdeckung über führende Onchain-Versicherungsprotokolle ging um 20,2 % zurück, von 163,2 Millionen US-Dollar auf 130,2 Millionen US-Dollar. Die kumulierten Auszahlungen blieben laut CoinGecko bei nahezu 33 Millionen US-Dollar.
Fünf der neun verfolgten Protokolle waren bis August 2026 inaktiv geworden oder in andere Geschäftsbereiche gewechselt. CoinGecko führte den Rückzug teilweise auf erhöhte Risiken, teure Prämien und Schwierigkeiten bei der Gewinnung von Kapitalgebern zurück.
Die Abdeckungszahl von 130,2 Millionen US-Dollar sollte nicht direkt mit 3,63 Milliarden US-Dollar als formales Abdeckungsverhältnis verglichen werden. Ersteres ist eine Momentaufnahme, während letzteres kumulierte Vorfälle über 19 Monate abdeckt.
Die Policen enthalten auch enge Definitionen. Einige decken verifizierte Smart-Contract-Fehler ab, schließen jedoch Phishing, Diebstahl privater Schlüssel, Mitarbeiterfehler, Marktvolatilität und Verluste im Zusammenhang mit nicht unterstützten Chains aus.
Börsen verlassen sich zunehmend auf selbst finanzierte Reserven
Zentralisierte Börsen haben zunehmend Anlegerschutzfonds eingerichtet, anstatt eine vollständige externe Versicherung abzuschließen. Diese Reserven können nach einem Sicherheitsvorfall eine schnellere Erstattung ermöglichen.
Ein Schutzfonds ist jedoch nicht automatisch gleichbedeutend mit regulierter Versicherung. Die Abdeckung hängt von den Bedingungen der Börse, der Verwahrung der Reserven, der Vermögenszusammensetzung und dem Ermessen über qualifizierende Ereignisse ab.
Nachweise über Reserven (Proof-of-Reserves) adressieren ein weiteres Problem, indem sie zeigen, dass eine Börse Vermögenswerte kontrolliert, die den Kundenguthaben entsprechen. Sie etablieren jedoch kein sicheres Schlüsselmanagement und beweisen nicht, dass alle Verbindlichkeiten offengelegt wurden.
Der nächste Test des Berichts wird sein, ob Plattformen Audits über Smart Contracts hinaus auf operative Systeme, Brücken und Softwareabhängigkeiten ausweiten. Versicherungsanbieter müssen auch feststellen, ob ein breiterer Schutz angeboten werden kann, ohne die Prämien unerschwinglich zu machen.
