Die größten Hacks im Krypto-Bereich kommen längst nicht mehr aus Smart-Contract-Bugs — sie kommen aus operativen und menschlichen Angriffsvektoren, für die traditionelle Code-Audits nie konzipiert wurden, so neue Recherchen von Oak Security. Seit 2022 haben böswillige Akteure, allen voran Nordkoreas Lazarus Group, mehr als 2,2 Milliarden Dollar in der gesamten Branche erbeutet, obwohl sich die Zahl der durchgeführten Code-Audits ungefähr verdreifacht hat. Verluste und Vorfallzahlen sind im selben Zeitraum nicht messbar zurückgegangen, weil die Mehrheit der erfolgreichen Angriffe heute auf die Menschen und Prozesse rund um den Code zielt — nicht auf den Code selbst.
Die größten Exploits gehen heute von kompromittierten Private Keys, Governance-Manipulation, Insider-Kompromittierung, bösartigen Dependency-Updates und operativen Fehlern aus — nicht von fehlerhaftem Solidity oder EVM-Bytecode. Die Analyse von Oak Security ist deutlich: Die Branche verteidigt sich noch immer gegen die letzte Generation von Angriffen, während die Angreifer weitergezogen sind. Diese Diskrepanz hat eine gefährliche Sicherheitsillusion erzeugt, weil Plattformen die Anzahl der bestandenen Audits oder den Ruf der beauftragten Firmen als Kurzformel für Sicherheit vermarkten — obwohl ein Audit in Wahrheit nur eine Momentaufnahme einer Codebasis innerhalb eines definierten Scopes ist, die durch jede Governance-Änderung, Integration oder operative Verschiebung sofort entwertet wird.
Warum das wichtig ist
Die Code-Qualität hat sich tatsächlich verbessert und Audits tun, wofür sie gedacht waren. Das Problem ist strukturell: Die kostspieligsten Angriffsvektoren bleiben vergleichsweise unterverteidigt, weil sie außerhalb des Audit-Scopes liegen. Der KelpDAO-Hack war jüngst eine Erinnerung daran, dass Nutzer keinen Unterschied machen zwischen einem Smart-Contract-Bug und einem zentralisierten Off-Chain-Failure-Point — sie sehen nur ein weiteres vermeintlich sicheres Protokoll, das über Nacht Millionen verliert. Dieses Muster bedroht jeden glaubwürdigen Weg zur Massenadoption unmittelbar, weil kein rationaler Investor Kapital für Rendite gegen ein Narrativ wiederholter, schlagzeilenträchtiger Ausfälle riskiert.
Auswirkungen auf den Markt
Die Konsequenz ist, dass Defense-in-Depth nicht länger optional ist.
Häufig gestellte Fragen
-
Was sind heute die größten Ursachen für Krypto-Exploits?
Laut Oak Security stammen die größten Verluste heute aus kompromittierten Private Keys, Governance-Manipulation, Insider-Kompromittierung, bösartigen Dependency-Updates und operativen Fehlern — nicht aus Smart-Contract-Bugs.
-
Wie viel haben nordkoreanisch verbundene Hacker aus der Krypto-Branche seit 2022 gestohlen?
Seit 2022 wurden mehr als 2,2 Milliarden Dollar von böswilligen Akteuren gestohlen — allen voran Nordkoreas Lazarus Group — obwohl sich die Zahl der Code-Audits in der Branche ungefähr verdreifacht hat.
-
Warum reduzieren mehr Code-Audits Krypto-Hacks nicht?
Oak Securitys Recherche zeigt ein klares Missverhältnis: Audits zielen auf die Codebasis, Angreifer sind jedoch auf menschliche und operative Vektoren ausgewichen, die außerhalb des Audit-Scopes liegen. Das Ergebnis sind mehr Audits ohne messbaren Rückgang bei Verlusten oder Vorfällen.
-
Was war der KelpDAO-Hack und warum ist er relevant?
Der KelpDAO-Hack wird als aktuelles Beispiel angeführt, wie ein Protokoll durch einen Off-Chain- oder operativen Fehler Millionen verliert statt durch einen Smart-Contract-Bug. Er zeigt, dass Nutzer nicht zwischen Codefehlern und zentralisierten Fehlerpunkten unterscheiden — sie sehen nur ein weiteres vermeintlich…
-
Was bedeutet Defense-in-Depth in der Krypto-Sicherheit?
Defense-in-Depth bedeutet, starke Code-Prüfung mit gehärteter operativer Sicherheit zu kombinieren: Schlüsselverwaltung, Signer-Dezentralisierung, Governance-Beschränkungen, Anomalieerkennung, Echtzeit-Monitoring und Circuit Breaker, die Angriffe auf menschliche Vektoren deutlich erschweren.
CryptoSlate
Lookonchain
WuBlockchain
TheBlock