news.bitcoin.com
Sicherheitsübersicht für das 2. Quartal 2026
Das zweite Quartal 2026 war die schwerwiegendste Phase für die Web3-Sicherheit seit dem zweiten Quartal 2025, in der Angreifer bei 67 Sicherheitsvorfällen 763,9 Millionen US-Dollar erbeuteten. Die entscheidende Veränderung in diesem Quartal war eine grundlegende Verschiebung der Schwachstellenprofile: Nicht mehr der Code ist die primäre Angriffsfläche, sondern operative Kontrollen und die Schlüsselverwaltung.
Mehr als 88 % der Gesamtverluste waren auf operative Kompromittierungen zurückzuführen und nicht auf Fehler in der Logik von Smart Contracts. Institutionelles Kapital passt sich bereits an und verlagert die Prioritäten bei der Due Diligence weg von punktuellen Audits hin zu kontinuierlicher Überwachung, Governance für privilegierten Zugriff und Autorisierungsrahmenwerken mit mehreren Beteiligten.
Laut dem vierteljährlichen Sicherheits- und Compliance-Bericht von Hacken entfielen 88,3 % aller gestohlenen Gelder – das sind etwa 674,5 Millionen US-Dollar – auf Kompromittierungen von Schlüsseln und Infrastruktur. Fehler in Smart Contracts blieben mit 44 von 67 Vorfällen die häufigste Angriffsart, machten jedoch nur etwa 11 % der Gesamtverluste aus. Etwa 75,5 % aller Verluste gingen auf nur zwei Vorfälle zurück, die nordkoreanischen Angreifern zugeschrieben wurden, während nur 9 % der erfassten Projekte eine kontinuierliche Überwachung durchführen und 4 % Audits, Bug-Bounties und Live-Überwachung kombinieren.
Eine zentrale Erkenntnis aus dem zweiten Quartal ist, dass 14 geprüfte Protokolle kompromittiert wurden – ein deutlicher Hinweis auf die wachsende Kluft zwischen dem, was bei einem Smart-Contract-Audit tatsächlich bewertet wird, und den Stellen, an denen Angreifer tatsächlich zuschlagen. Für Sicherheitsexperten offenbaren diese Sicherheitslücken den fatalen Fehler, eine punktuelle Codeüberprüfung als allumfassenden Sicherheitsschutz zu betrachten.
„Das größte Missverständnis ist, dass ein Audit ein Sicherheitszertifikat ist“, sagte Leo Fan, Gründer von Cysic. „Tatsächlich handelt es sich um eine begrenzte Bewertung einer bestimmten Codebasis zu einem bestimmten Zeitpunkt. Ein Audit deckt nicht automatisch die Geräte der Unterzeichner, die Cloud-Infrastruktur, operative Berechtigungen, den bereitgestellten Bytecode, spätere Upgrades, Abhängigkeiten von Drittanbietern oder alte Verträge ab, die weiterhin aufrufbar sind.“ Eric Swartz, Gründungspartner und Leiter der Rechtsabteilung von Panther Hollow Ventures, pflichtete bei, dass die Betrachtung von Audits als Endziel Protokolle angreifbar mache. „Ein Audit gibt Aufschluss darüber, wie ein System zu einem bestimmten Zeitpunkt aussah“, sagte Swartz. „Es garantiert nicht, dass zukünftige Upgrades, betriebliche Änderungen oder neue Angriffsmethoden keine Risiken mit sich bringen. Die besten Teams betrachten Audits als einen Teil eines viel umfassenderen Sicherheitsprogramms.“
Samuel Videau, CTO bei Genius, merkte an, dass der Abschnitt zum Umfang eines Auditberichts oft offenlegt, was nicht bewertet wurde. „Fast 90 % der Verluste im zweiten Quartal gingen auf Schlüssel, Unterzeichner und Infrastruktur zurück – allesamt außerhalb dieses Umfangsabschnitts –, und 14 geprüfte Projekte wurden trotzdem leergeräumt“, sagte Videau. „Der Prüfbericht ist nicht das Sicherheitsprogramm.“ Himanshu Sahay, CTO und Mitbegründer von Arch, betonte, dass Audits nicht für sich allein stehen können. „Ein Audit ist eine wichtige punktuelle Bewertung des geprüften Codes und der Architektur, kann jedoch nicht jedes operative Risiko oder jede zukünftige Änderung an einem System berücksichtigen“, sagte Sahay. „Sicherheit muss als fortlaufender Prozess betrachtet werden.“
Umgehung des Codes: Die Schwachstelle der Off-Chain-Infrastruktur
In der Zwischenzeit, während die Abwehrmechanismen für Smart Contracts ausgereifter werden und die On-Chain-Logik immer schwerer zu kompromittieren ist, haben Angreifer ihren Kurs entscheidend geändert. Anstatt stark bewachte Eingangstüren zu durchbrechen, umgehen Angreifer den Code systematisch vollständig, um die Schwachstelle der Off-Chain-Infrastruktur auszunutzen.
„Die am meisten unterschätzte Angriffsfläche ist die Off-Chain-Steuerungsebene: Signaturgeräte, Verfahren zur Schlüsselgenerierung und -rotation, Cloud-Identitäten, CI/CD-Pipelines, Backend-Dienste, Bridge-Validatoren und Notfall-Admin-Pfade“, sagte Fan. „Teams sichern oft die Speicherung von Schlüsseln, achten aber weniger darauf, wie Schlüssel tatsächlich verwendet werden … Wenn diese kompromittiert werden, können Angreifer Transaktionen erzeugen, die on-chain technisch gültig sind, was Prävention und Erkennung erheblich erschwert.“ Der Cloud-Perimeter selbst vermittelt vielen Web3-Entwicklern ein falsches Gefühl der Sicherheit.
„Die größte Annahme ist, dass die Nutzung eines großen Cloud-Anbieters eine Anwendung standardmäßig sicher macht“, sagte Jerald David, CEO von Lynq. „Cloud-Anbieter sichern zwar die zugrunde liegende Infrastruktur, aber die Teams sind weiterhin dafür verantwortlich, wie Systeme konfiguriert werden, wie Zugangsdaten verwaltet werden und wer Zugriff hat.“
Videau warnte unterdessen davor, dass eine unsachgemäße Architektur den Multisig-Schutz zunichte machen kann. „Der gesamte Betrieb läuft über Service-Rollen mit zu weitreichenden Berechtigungen und CI/CD-Pipelines, die auf Produktionsschlüssel zugreifen können. Wenn ein einziges Service-Konto Ihren Signaturschlüssel lesen kann, ist Ihr Multisig-Schutz reine Show“, so Videau. „Veraltete Verträge, die immer noch Administratorrechte enthalten, sind ein weiterer Angriffsvektor: Code, den Sie vor zwei Jahren ausgeliefert haben, ist eine offene Tür, und Angreifern ist es egal, was Sie als im Geltungsbereich liegend betrachten.“
Da institutionelle Investoren ihre Risikomodelle neu kalibrieren, sind die Anforderungen für den Kapitaleinsatz deutlich gestiegen. „Institutionentauglich“ definiert sich nicht mehr durch einen einwandfreien Prüfbericht, sondern durch den Nachweis operativer Reife, Governance auf Unternehmensniveau und robuste Kontrollen im Schlüsselmanagement.
„Ich schaue mir zuerst die operative Reife an“, sagte David. „Kann das Team klar erklären, wie Kapital durch das System fließt, wo die wichtigsten Kontrollpunkte liegen und wie Risiken überwacht werden? Institutionen brauchen Vorhersehbarkeit und Transparenz.“
Sahay merkte an, dass keine einzelne Kontrollmaßnahme für sich allein die Unterstützung institutioneller Anleger garantiert. „Institutionen wollen verstehen, wie auf kritische Systeme zugegriffen wird, wie Berechtigungen verwaltet werden, wie Aktivitäten überwacht werden und welche Prozesse es gibt, falls etwas schiefgeht“, sagte Sahay. „Es ist die Kombination aus starken Kontrollen, Transparenz und operativer Disziplin, die letztendlich Vertrauen schafft.“
Bei der Bewertung von Protokollen konzentriert sich Fan auf die Berechtigungskarte: Wer darf Vermögenswerte bewegen, Unterzeichner ersetzen oder Sicherheitsvorkehrungen ändern? „Wenn ich eine Kontrollmaßnahme nennen müsste, die am stärksten mit dem Vertrauen institutioneller Anleger verbunden ist, wäre es die Mehrparteien-Autorisierung für jeden Pfad zur Vermögensbewegung und zu Upgrades“, sagte Fan. „Institutionen wollen den Nachweis, dass einseitiges Handeln unmöglich ist.“
Swartz fügte hinzu, dass Institutionen großen Wert darauf legen, wie Teams mit Widrigkeiten umgehen. „Institutionen wissen, dass kein Protokoll völlig risikofrei ist“, sagte Swartz. „Entscheidend ist, ob das Team über eine gute Governance, strenge interne Kontrollen, Transparenz in Bezug auf Risiken und einen klaren Plan für die Reaktion verfügt, wenn etwas schiefgeht.“
Die fünf Experten sind sich einig, dass Web3 mehrschichtige Verteidigungsstrukturen einführen muss, die Echtzeitüberwachung, diszipliniertes Schlüsselmanagement und reaktionsschnelle Bug-Bounty-Programme umfassen, um sich vor sich ständig weiterentwickelnden Bedrohungen zu schützen.
„Digitale Vermögenswerte sind rund um die Uhr im Einsatz, doch Teile der Infrastruktur, die sie unterstützt, arbeiten nach wie vor nach traditionellen Finanzzeitplänen“, merkte David an. „Da der Markt zunehmend institutionalisiert wird, muss auch die Infrastruktur, die den Kapitalfluss und die Abwicklung unterstützt, widerstandsfähiger werden.“
Ausblick auf das zweite Halbjahr 2026: Neuausrichtung der Verteidigungsstrukturen
Die Experten warnen unterdessen davor, dass die zweite Hälfte des Jahres 2026 mehr vom Gleichen bringen wird. Anstatt Zeit damit zu verschwenden, geprüfte Smart Contracts zurückzuentwickeln, werden Angreifer voraussichtlich weiterhin den Weg des geringsten Widerstands beschreiten: operative Kontrollen, menschliche Ziele und Schlüsselinfrastruktur.
„Ich gehe davon aus, dass Angriffe auf operative Zugriffskontrollen weiterhin die Hauptursache für Verluste sein werden: Social Engineering, Diebstahl von Zugangsdaten, Kompromittierung von Unterzeichnern, Eindringversuche in Cloud- oder CI/CD-Umgebungen sowie Angriffe auf die Off-Chain-Validator-Infrastruktur“, prognostizierte Fan. „Einzelne Fehler in Smart Contracts werden weiterhin auftreten, aber Angreifer werden weiterhin den kürzesten Weg zur Zugriffsberechtigung ins Visier nehmen.“
Videau schloss mit der Forderung, die Sicherheitsausgaben an den tatsächlichen Risiken auszurichten: „Investieren Sie dort, wo die Verluste entstehen. Fast 90 % der gestohlenen Gelder wurden über Schlüssel, Unterzeichner und Infrastruktur bewegt, dennoch fließen die Budgets weiterhin in Vertragsprüfungen. Die schlimmsten Angriffe werden diejenigen sein, die niemand vorhergesehen hat – bauen Sie also Ihre Systeme so auf, als wäre Ihr Perimeter bereits weg.“