Sicherheit

Seit dem KelpDAO-Hack ist der Total Value Locked (TVL) bei Aave weiterhin um 43% gefallen und liegt 67% unter dem 52‑Wochen-Hoch. Die Angreifer hinterlegten gestohlenes rsETH als Sicherheit bei Aave und liehen sich dafür echtes ETH, was bei Aave und Compound zusammen schätzungsweise $246 million an notleidenden Forderungen hinterließ. Der TVL sank von $26.4 billion vor dem Angriff auf $14.9 billion, was die Kreditkapazität verringert und die Volatilität erhöht. Der AAVE-Token fiel am Tag nach dem Vorfall um rund 20% und notiert derzeit bei etwa $89, weiterhin unter dem Niveau vor dem Hack.

Der größte regulierte Krypto-Broker Israels, Bits of Gold, hat ein Datenleck gemeldet: Ein Unterstützungs-Analysesystem wurde unbefugt aufgerufen, wodurch potenziell persönliche Daten von bis zu 250.000 Kunden offengelegt wurden. Betroffen sein könnten unter anderem Namen, Ausweisnummern, Telefon- und E-Mail-Daten, IP-Adressen, Bankkontoinformationen sowie öffentliche Krypto-Wallet-Adressen. Passwörter sowie Bilder von Ausweisdokumenten seien nicht kompromittiert, und Kundenvermögen sowie digitale Assets blieben nach Angaben des Unternehmens gesichert. Die offengelegten Kontakt- und Finanzdaten könnten jedoch für Phishing, Identitätsmissbrauch und Social-Engineering-Angriffe genutzt werden.

Am 10. März 2026 löste eine Fehlkonfiguration von Aaves CAPO-Risk-Oracle eine Abweichung des On-Chain-Wechselkurses von wstETH von rund 2,85% unter dem Marktpreis aus und triggert etwa 10.938 wstETH an Liquidationen. Das Liquidationsvolumen lag bei rund 26–27 Mio. US-Dollar, während Liquidatoren Werte von etwa 499–512 ETH abschöpften. Am 15. Februar 2026 führte bei Moonwell eine Governance-Änderung zu einer Fehlkonfiguration eines Chainlink-OEV-Wrappers, wodurch cbETH mit etwa 1,12 US-Dollar statt rund 2.200 US-Dollar bewertet wurde. Dadurch wurden 1.096,317 cbETH liquidiert, und dem Protokoll entstand ein Bad Debt von etwa 1,78 Mio. US-Dollar.

Eine Bridge zwischen dem XRP Ledger und der tx-Chain wurde durch eine Schwachstelle in der Einzahlungs-Erkennung ausgenutzt. Der Angreifer erzeugte Transaktionen ohne tatsächliche Einzahlung, konnte auf der tx-Chain jedoch bridged XRP prägen und diese anschließend in echtes XRP tauschen, wodurch etwa 200.000 XRP über 94 Zahlungen abflossen. Jede Zahlung trug die korrekte Signatur von 17 der 28 Relayer, und auch die eigenen Bridge-Aufzeichnungen wiesen die Einzahlungen als real aus. Das XRP Ledger von Ripple blieb unbeeinträchtigt, allerdings teilt txEcosystem mit, dass bridged XRP auf seiner Chain nicht mehr vollständig gedeckt sei.

Harmony Protocol meldete, dass es am 12. August zu einem unbefugten Minting von ONE gekommen ist. Zunächst ging das Team von 4000000000 ONE aus, eine spätere On-Chain-Rekonstruktion ergab jedoch, dass über sechs gefälschte Crossshard-Transaktionen rund 3010000000000 ONE an vier Angreifer-Adressen ausgegeben wurden. Harmony hat nach eigenen Angaben Sicherheitslücken bei der Verifizierung von Crossshard-Receipts sowie bei der Quorum-Prüfung des Prestaking-Komitees behoben, Mainnet v2026.1.1 ausgerollt und bereitet ein Rollback auf Block 92,730,034 vor.

Harmony hat einen Bericht zu einer Minting-Schwachstelle veröffentlicht und als Ursache einen CrossShard-Receipt-Replay-Bug genannt, durch den gültige Quittungen mehrfach verarbeitet werden konnten. Dadurch sei die Prägung neuer Token ohne entsprechende Abzüge möglich gewesen. Die erste Welle unautorisierter Minting-Vorgänge wurde zunächst mit 400 millionen ONE bestätigt, während die gesamte gefälschte CrossShard-Ausgabe bei etwa 3.01 trillionen ONE liege, so Foresight News. Ein Notfall-Patch wurde am August 12 aktiviert; zudem sind Crosschain-Dienste ausgesetzt und ein Rollback auf Block 92,730,034 in Vorbereitung.

Die Stiftung teilte in einem Bridge-Update mit, dass alle betroffenen Nutzer vollständig entschädigt werden und die fehlenden $XRP-Reserven komplett ergänzt werden, um die 1:1-Deckung für gebrücktes XRP wiederherzustellen. Nach der Wiederherstellung sollen die Reserven onchain verifizierbar sein. Die identifizierte Schwachstelle sei behoben, die Bridge bleibe jedoch bis zum Abschluss einer unabhängigen Sicherheitsprüfung pausiert und soll erst danach wieder starten. Zudem kündigte die Stiftung einen vollständigen technischen Bericht inklusive Wiederherstellungsmechanismus an und warnte vor Betrugsversuchen; offizielle Updates würden ausschließlich über die tx-Kanäle veröffentlicht.

Die DATA Foundation hat die Sperrfristen für Token ihres Teams und ihrer Lead-Investoren um 18 Monate verlängert, nachdem der in einem früheren Angebotsplan genannte Unlock-Termin 13. August verstrichen ist, ohne dass eine Freigabe begann. Ein neues Datum nannte die Organisation nicht. Frühere Unterlagen weisen 21.6% der anfänglichen Menge von 1 billion token den Early Backers und 20% den Core Contributors zu, zusammen 41.6%. In einem Bericht heißt es zudem, dass zurückkehrende VC-Finanzierung eine neue Welle von Token-Unlocks auslösen könnte; Pump Fun will am 12. Juli Insider-Token im Wert von 127M US-Dollar freigeben, etwa doppelt so viel wie das jüngste durchschnittliche Tagesvolumen.

Die Harmony-Blockchain wurde angegriffen: Angreifer nutzten eine Netzwerkschwachstelle und prägten illegal 40亿 ONE-Token, was etwa 26% des zirkulierenden Angebots entspricht. Rund 28亿 Token wurden schnell an zentralisierte Kryptobörsen transferiert und lösten Panik am Markt aus. Der Kurs von ONE fiel zeitweise um 38%, und On-Chain-Analysen führen den Vorfall auf 10,288 Transaktionen über 409 Wallets zurück. Innerhalb von vier Stunden spielten 53% der Validatoren ein Sicherheitsupdate ein.

Eine Schwachstelle bei der Bitcoin-Hardware-Wallet Coldcard hat neue Sorgen um die Sicherheit privater Schlüssel ausgelöst. Blockaid-CEO Ido BenNatan warnt, dass die Abhängigkeit von Private Keys selbst bei offline verwahrten Vermögenswerten ein potenzielles Single Point of Failure schafft. Galaxy Research hat mindestens 1,11 Milliarden US-Dollar an bestätigten Diebstählen ermittelt und schätzt, dass der Gesamtschaden 1,3 Milliarden US-Dollar übersteigen könnte. Blockaid-Daten zufolge standen im ersten Halbjahr 2026 fast 75% der Krypto-Verluste im Zusammenhang mit kompromittierten Private Keys, während die Hack-Verluste im selben Zeitraum über 10 Milliarden US-Dollar stiegen und die Zahl der Sicherheitsvorfälle ein Rekordhoch erreichte.