Das dritte Quartal 2026 war für die Sicherheit von Kryptowährungen das schlimmste seit Anfang 2025. Die Sicherheitsfirma Hacken zählte 107 Vorfälle, die der Branche 1,18 Mrd. Dollar kosteten — ein Anstieg von 55 Prozent gegenüber dem Vorquartal. Schlimmer war nur das erste Quartal 2025 mit 1,6 Mrd. Dollar Verlust.
Vier große Vorfälle machten zusammen 80 Prozent des Schadens aus:
- Bitget — rund 387 Mio. Dollar durch kompromittierte Infrastruktur eines externen Dienstleisters;
- Liquid Network — etwa 320 Mio. Dollar;
- das Protokoll Tectonic — 120 Mio. Dollar;
- ein Firmware-Fehler in der Hardware-Wallet Coldcard — rund 115 Mio. Dollar.
Die übrigen 103 Vorfälle waren deutlich kleiner — der Median lag bei nur 670.000 Dollar. Es sind die vielen kleinen Lücken, nicht eine einzelne Katastrophe, die sich zu dieser Summe addieren.
Der eigentliche Befund des Berichts ist unangenehmer als die Gesamtzahl. Hacken fand heraus, dass 77 Prozent der Verluste — 906 Mio. Dollar — aus Bereichen stammten, die kein gewöhnliches Audit je prüft: verwundbare Drittanbieter, Patches, die geschrieben, aber nie ausgerollt wurden, und Infrastruktur, die niemand in die Prüfung aufnahm. Ein 'geprüft'-Siegel auf der Projektseite sagt damit immer weniger darüber aus, ob Nutzergelder wirklich sicher sind — es deckt den Vertragscode ab, nicht die Signierschlüssel, nicht die Server der Partner und nicht den Update-Prozess.
Auch die Art der Angriffe hat sich verändert. Schwache Zugriffskontrollen — gestohlene private Schlüssel, kompromittierte Admin-Panels — erklärten früher 88 Prozent der Verluste; dieses Quartal fiel der Anteil auf 40 Prozent. Stattdessen rückten Fehler im Code der Smart Contracts selbst in den Vordergrund: Sie traten in 71 der 107 Vorfälle auf und verursachten 228 Mio. Dollar Schaden.
Nicht alles ist endgültig verloren. Projekte holten 387 Mio. Dollar zurück oder machten sie rückgängig — ein Drittel der Gesamtsumme. White-Hat-Hacker gaben freiwillig 272 Mio. Dollar zurück, die bei Liquid Network erbeutet wurden — 85 Prozent der dortigen Beute. Die Cronos-Validatoren gingen noch weiter und setzten die Chain um 114 Minuten zurück, um 111 Mio. Dollar aus dem Tectonic-Vorfall zu retten. Betreiber deckten weitere 410 Mio. Dollar aus eigenen Reserven ab. Es bleiben 384 Mio. Dollar — fast ein Drittel des Schadens — weiterhin bei den Angreifern.
