Bybit verliert 1,46 Mrd. $: Audits deckten Angriff nicht ab

Bybits Wallet-Transfer vom 21. Februar von der Cold- zur Warm-Wallet wirkte auf den Bildschirmen der autorisierten Signer routinemäßig: die Zieladresse entsprach dem, was sie erwarteten. Im Hintergrund übertrug die Transaktion einem Angreifer die Kontrolle über die Wallet. Die Börse bezifferte den Verlust später auf 1,46 Mrd. $, das FBI schrieb ihn Nordkorea zu, und CryptoSlate berichtete, dass rund 401.347 $ETH sowie mehrere Ethereum-Staking-Positionen abgezogen wurden. Safe erklärte, eine kompromittierte Entwicklermaschine habe den schädlichen Vorschlag geformt; die Smart Contracts und das Frontend waren nie die Schwachstelle.

Warum es wichtig ist

Der Vorfall ist der bisher deutlichste Beleg dafür, dass ein 'geprüft'-Siegel nie die Schicht abgedeckt hat, in der die größten Verluste tatsächlich entstehen. Ein Oak-Security-Preprint von Stefan Beyer verglich 23.818 öffentliche Audit-Findings von 22 Firmen mit 218 Vorfällen, die von rekt.news zwischen Januar 2022 und März 2026 katalogisiert wurden, einem Datensatz mit geschätzten Verlusten von insgesamt 7,764 Mrd. $. Logik- und Business-Logic-Fehler machten 14,6 Prozent aller Audit-Findings aus, Code-Qualität 13 Prozent, Eingabevalidierung 10 Prozent und Zugriffskontrolle 9,8 Prozent. Die drei führenden Kategorien zusammen machen 37,6 Prozent dessen aus, was Auditoren finden. Kompromittierung privater Schlüssel und Phishing, die weitgehend außerhalb der üblichen Vertragsprüfung liegen, machten dagegen 43,9 Prozent des gestohlenen Werts aus. Nimmt man Abhängigkeits- und Governance-Angriffe hinzu, erreicht Beyers 'Human-Vector'-Anteil 49,6 Prozent der Verluste.

Marktauswirkungen

Von den 218 Vorfällen betrafen 105 ein Protokoll, das zuvor auditiert worden war; diese Ereignisse machten rund 4,3 Mrd. $ oder 55 Prozent der beobachteten Verluste aus. Die Zahl belegt nicht, dass Auditoren ausnutzbaren Code übersehen haben, denn Audits decken einen bestimmten Commit-Hash und Perimeter ab, die häufig von Produktionsdeployment, Konfiguration und operativen Kontrollen abweichen. Allein Bybit steuerte 1,43 Mrd. $ zur Phishing-Gesamtsumme von 1,51 Mrd. $ bei, etwa 18,4 Prozent jedes Dollars im Datensatz. Das Rezept des Papiers, das 'geprüft'-Siegel durch ein standardisiertes Nährwert-Label zu ersetzen, das den auditierten Commit, die ausgelieferte Bytecode-Übereinstimmung, die Produktionskonfiguration, das Schlüsselmanagement und die Frontend-Infrastruktur benennt, gibt jeder Schicht des Stacks eine eigene Prüfungszeile. Bybit kann die Lektion verdauen, ohne Nutzer zu verlieren; die meisten Protokolle können keine 1,46-Mrd.-$-Auffüllung finanzieren, und der Wiederaufbau der Reserven behebt die Bilanz, aber nicht den Freigabeprozess, der sie leerte.