Drei Exploits in fünf Tagen: Die neue Schwachstelle im DeFi-Ökosystem
Zwischen dem 30. September und 1. Oktober 2026 wurden drei DeFi-Protokolle ausgeraubt. NEAR Intents verlor 3,8 Millionen Dollar durch eine Bridge-Schwachstelle auf der Binance Smart Chain. Der Fake GIWA Bridge-Angriff auf Ethereum kostete 2,08 Millionen Dollar. SKYDAO büßte 183.000 Dollar durch einen Swap-Logic-Fehler ein. Zusammen summieren sich diese Vorfälle auf 6,06 Millionen Dollar binnen fünf Tagen.
Die Zahlen wirken klein im Vergleich zu den Milliardenverlusten früherer Jahre. Doch sie offenbaren eine Verschiebung. Während 2021 und 2022 Smart-Contract-Bugs die Hauptursache für DeFi-Verluste waren, dominieren 2026 Zugriffskontroll-Schwachstellen und Bridge-Exploits. Das verändert, wie Entwickler über Sicherheit denken müssen.
Von Code-Bugs zu Architektur-Problemen
Der NEAR Intents-Angriff nutzte eine Schwachstelle in der Cross-Chain-Logik aus. Bridges verbinden verschiedene Blockchains, indem sie Token auf einer Kette sperren und äquivalente Token auf einer anderen ausstellen. Die Schwierigkeit liegt in der Synchronisation: Wenn die Brücke auf Kette A denkt, dass Token gesperrt sind, die auf Kette B aber bereits ausgegeben wurden, entsteht ein Ungleichgewicht. Angreifer exploitieren genau diese Lücken.
Smart-Contract-Bugs waren früher einfacher zu kategorisieren. Ein Reentrancy-Angriff wie bei The DAO 2016 oder ein Integer-Overflow wie bei BeautyChain 2018 folgten bekannten Mustern. Entwickler konnten standardisierte Audits durchführen und Bibliotheken wie OpenZeppelin verwenden, um gängige Fehler zu vermeiden. Bridge-Exploits sind komplexer, weil sie nicht aus einem fehlerhaften Code-Snippet resultieren, sondern aus dem Zusammenspiel mehrerer Systeme.
Zugriffskontrolle als unterschätztes Risiko
Der FlashLoopAdapter-Angriff am 1. Oktober auf Ethereum raubte 305.000 Dollar durch eine "Improper Access Control"-Schwachstelle. Das bedeutet, dass eine Funktion im Smart Contract aufgerufen werden konnte, die nur für bestimmte Adressen zugänglich sein sollte. Der Angreifer fand eine Möglichkeit, diese Prüfung zu umgehen.
Zugriffskontroll-Fehler sind konzeptionell simpel, in der Praxis aber heimtückisch. Sie entstehen oft bei Upgrades, wenn neue Funktionen hinzugefügt werden und die Entwickler vergessen, die Berechtigungen entsprechend anzupassen. Audits fangen solche Fehler nicht immer, weil sie in der Geschäftslogik versteckt sind, nicht im kryptografischen Code. Ein Audit prüft, ob die Verschlüsselung funktioniert. Ob die Geschäftslogik sinnvoll ist, bleibt oft ungeprüft.
Hot-Wallet-Kompromittierungen bleiben gefährlich
Am 24. September verlor Duelbits 7 Millionen Dollar durch eine kompromittierte Hot-Wallet. Das ist kein DeFi-spezifisches Problem, zeigt aber, dass zentralisierte Schwachstellen weiterhin existieren. Ähnliche Angriffe auf zentrale Infrastruktur ereigneten sich bereits mehrfach 2026. Duelbits ist eine Glücksspielplattform, keine dezentrale Börse. Doch viele DeFi-Protokolle verwenden Hot Wallets für operative Aufgaben wie Liquiditätsmanagement oder Oracle-Updates.
Die Kompromittierung eines privaten Schlüssels ist die älteste Angriffsform in der Kryptowelt. Sie sollte 2026 nicht mehr vorkommen. Multisig-Wallets, Hardware-Security-Module und Schwellenwert-Signaturen existieren seit Jahren. Dass Protokolle weiterhin Single-Point-of-Failure-Wallets verwenden, ist kein technisches Problem, sondern ein organisatorisches.
Was sich für DACH-Nutzer ändert
Die BaFin warnt seit 2024 vor DeFi-Risiken, konzentriert sich aber primär auf regulatorische Compliance und Geldwäscheprävention. Technische Sicherheitsrisiken werden in den Warnungen erwähnt, aber nicht detailliert. Nutzer in Deutschland, Österreich und der Schweiz, die DeFi-Protokolle verwenden, tragen das volle Verlustrisiko selbst. Es gibt keine Einlagensicherung wie bei Banken.
MiCA, die europäische Krypto-Regulierung, deckt DeFi-Protokolle explizit nicht ab. Die Verordnung gilt nur für zentrale Dienstleister. Ein dezentrales Protokoll ohne juristische Einheit fällt nicht unter MiCA. Das bedeutet, dass Nutzer, die NEAR Intents oder ähnliche Protokolle verwendeten, keinen Rechtsanspruch auf Schadensersatz haben. Selbst wenn die Entwickler identifizierbar wären, wäre die Durchsetzung grenzüberschreitend schwierig.
Audits reichen nicht mehr
Alle drei genannten Protokolle hatten laut eigenen Angaben Audits durchlaufen. NEAR Intents war von einer bekannten Sicherheitsfirma geprüft worden. Der Exploit fand trotzdem statt. Das liegt daran, dass Audits Momentaufnahmen sind. Sie prüfen den Code zu einem bestimmten Zeitpunkt. Jedes Update, jedes neue Feature, jede Bridge-Integration schafft neue Angriffsvektoren.
Bug-Bounty-Programme helfen, aber sie setzen voraus, dass ethische Hacker die Schwachstelle vor böswilligen Akteuren finden. Bei komplexen Bridge-Architekturen ist die Wahrscheinlichkeit hoch, dass Angreifer schneller sind. Formale Verifikation, bei der der Code mathematisch bewiesen wird, ist bei einfachen Smart Contracts machbar. Bei Multi-Chain-Bridges mit Dutzenden Abhängigkeiten stößt sie an Grenzen.
Die Verschiebung erfordert neue Werkzeuge
Die DeFi-Sicherheitslandschaft 2026 unterscheidet sich fundamental von 2020. Damals war das Hauptrisiko ein fehlerhafter Smart Contract. Heute ist es ein fehlerhaftes System aus Smart Contracts, Bridges, Oracles und Governance-Mechanismen. Sicherheitstools müssen sich anpassen. Statische Code-Analyse greift zu kurz, wenn die Schwachstelle in der Interaktion zwischen Komponenten liegt.
Runtime-Monitoring, das verdächtige Transaktionen in Echtzeit erkennt, gewinnt an Bedeutung. Circuit Breakers, die automatisch pausieren, wenn ungewöhnliche Aktivität auftritt, könnten Verluste begrenzen. Das erfordert aber, dass Protokolle zentralisierte Notfall-Mechanismen einbauen, was dem dezentralen Ethos widerspricht. Die Spannung zwischen Sicherheit und Dezentralisierung ist 2026 ungelöst.
Kein Grund zur Panik, aber zur Vorsicht
Drei Exploits in fünf Tagen sind kein Zeichen dafür, dass DeFi zusammenbricht. Die Gesamtverluste 2026 liegen unter denen von 2022 und 2023. Doch die Art der Angriffe ändert sich. Wer DeFi nutzt, sollte verstehen, dass Audits keine Garantie sind. Bridge-Protokolle tragen inhärent höhere Risiken als Single-Chain-Anwendungen. Zugriffskontroll-Schwachstellen werden weiterhin auftreten, weil sie schwer zu testen sind.
Für Nutzer bedeutet das: Diversifikation nicht nur über Token, sondern auch über Protokolle. Keine großen Summen in frisch gestarteten Bridges. Und die Erkenntnis, dass technische Exzellenz im Code nicht ausreicht, wenn die Architektur selbst komplex ist. Die Sicherheitsprobleme von 2026 lassen sich nicht mit den Werkzeugen von 2020 lösen.