Krypto-Hacks: Keys und Governance treiben 972 Mio. Dollar Verlust

Krypto hat 2026 bisher rund $972 Millionen durch Hacks verloren, aber das unangenehmere Muster ist, wo dieses Geld tatsächlich abfließt. Mitchell Amador, Gründer und CEO von Immunefi, schreibt in dieser Woche in Crypto Long & Short, dass der dominante Exit-Vektor längst nicht mehr die Smart-Contract-Schicht ist. Es sind die Schlüssel, die Signer und die Regeln der Governance, die darüber liegen.

Der BonkDAO-Exploit in diesem Monat ist das jüngste klare Beispiel. Ein Angreifer gab rund $4 Millionen aus, um in einer Abstimmung mit geringer Beteiligung genug Token zu sammeln, um einen Governance-Vorschlag durchzubringen, und räumte dann rund $20 Millionen aus der Treasury ab. Kein Contract versagte. Die Regeln selbst waren die Schwachstelle. Dasselbe Muster zeigte sich im Juni bei Humanity Protocol, wo der größte Verlust des Monats, mehr als $30 Millionen, aus einem privaten Schlüssel stammte, der auf dem Rechner eines Teammitglieds kompromittiert wurde, während der Contract unberührt blieb.

Warum das wichtig ist

Immunefis Analyse von 425 Hacks von 2021 bis 2025 beziffert das Muster. Im Zeitraum 2024 bis 2025 gingen 54,6 % des gesamten Verlusts über 191 Vorfälle auf Kompromittierungen zentralisierter Börsen zurück, also auf die Schlüssel-, Verwahrungs- und Signaturschichten oberhalb des Contracts. Auch die Code-Schicht ist nicht gelöst: Bei 93,9 % der Programme, die fünf Jahre oder länger laufen, taucht ein bestätigter kritischer Fehler auf, und etwa jeder fünfte bestätigte Bug-Report wird als kritisch eingestuft. Ein Protokoll wurde elfmal auditiert und verlor trotzdem $128 Millionen.

Was den Contract-Code tatsächlich härter macht, ist kontinuierliche, incentivierte Prüfung durch laufende Bug-Bounty-Programme. Eine mediane Prämie von rund $20.000 verhindert regelmäßig einen Hack, der im Schnitt etwa $25 Millionen kosten würde, und ist damit der Security-Aufwand mit dem höchsten ROI, den ein Protokoll tätigen kann. Das Modell trägt, weil es nie stoppt und weil Anreize nicht verfallen, wenn sich das Organigramm ändert oder ein Signer geht.

Marktauswirkung

Dieselbe Disziplin muss nun auch auf Schlüssel, Signer und Governance ausgeweitet werden, sonst wiederholen sich die katastrophalen Verluste in dieser Kategorie weiter. Für Institutionen, die Protokollrisiken absichern, heißt das: Ein Auditbericht ist notwendige Infrastruktur, aber kein Risikozertifikat. Ein Protokoll ist nur dann sicher, wenn Code, Schlüssel, Menschen, Governance und Monitoring als lebendige Angriffsfläche behandelt und fortlaufend von Forschern getestet werden, die dafür bezahlt werden, sie zuerst zu brechen. Das Bärenmarktumfeld, in dem Strategy Vorzugsaktien zurückkauft, während BitMEX und BitMart ihre Geschäfte zurückfahren, verschärft den Druck: Kleinere Treasuries haben weniger Spielraum für dieselben Governance- oder Key-Management-Fehler.