3,5 Millionen Dollar gegen 550.000 Dollar Sicherheit: So prüfst du, welche Token dein DeFi-Kreditmarkt akzeptiert

Wenn du Guthaben in einem dezentralen Kreditmarkt liegen hast, entscheidet nicht der Zinssatz über dein Risiko, sondern die Liste der Token, die das Protokoll als Sicherheit akzeptiert. Am 17. September 2026 hat ein Angreifer auf Starknet genau diese Liste ausgenutzt und rund 3,5 Millionen US-Dollar aus dem Geldmarkt von Nostra Finance geliehen. Als Sicherheit diente der protokolleigene Token NSTR, dessen gesamte umlaufende Marktkapitalisierung zu diesem Zeitpunkt zwischen 550.000 und 590.000 US-Dollar lag. Der geliehene Betrag übertraf den Marktwert der hinterlegten Sicherheit um mehr als das Fünffache.

Dieser Artikel erklärt, was an dem Vorfall technisch neu ist und was nicht — und vor allem, welche vier Angaben du in der Dokumentation deines eigenen Kreditmarkts nachschlagen kannst, bevor du das nächste Mal Geld hineingibst. Die Prüfung dauert etwa zehn Minuten und braucht kein Fachwissen über Blockchain-Programmierung.

Was am 17. September auf Starknet passiert ist: 3,5 Millionen Dollar gegen 550.000 Dollar Marktwert

Nostra Finance betreibt auf der Ethereum-Skalierungslösung Starknet einen Geldmarkt. Das ist ein Protokoll, bei dem Nutzer Token einzahlen und andere Nutzer gegen hinterlegte Sicherheiten Kredite aufnehmen. Das Protokoll meldete den Vorfall am 17. September 2026 um 13:28 UTC über seinen offiziellen Kanal. Ein einzelnes Konto hatte einen aufgeblähten NSTR-Bestand als Sicherheit behandelt und daraufhin einen Korb aus deutlich liquideren Vermögenswerten entliehen: Ether, STRK, USDC, USDT, WBTC und DAI in der ersten Version.

Die Sicherheitsfirma PeckShield meldete am 18. September um 00:41 UTC, dass rund 1,92 Millionen US-Dollar auf das Ethereum-Hauptnetz verschoben worden seien, konkret 234,57 Ether und 1,3 Millionen DAI. CertiK kam knapp zwei Stunden später auf eine ähnliche Aufteilung: etwa 1,55 Millionen US-Dollar verblieben zunächst auf Starknet, rund 1,93 Millionen wurden gebrückt. Die Analysefirma SlowMist ordnete den Vorgang als Oracle-Manipulation ein. Nostra selbst hat Einzahlungen, Kreditaufnahme, Auszahlungen und Liquidationen abgeschaltet, während das Team die Salden der Pools abgleicht. Wie hoch der endgültige Verlust ausfällt und was davon zurückgeholt werden kann, ist offen.

Oracle-Manipulation erklärt: Wie ein Preisfeed zur Angriffsfläche wird

Ein Oracle ist die Schnittstelle, über die ein Protokoll erfährt, was ein Token gerade wert ist. Ohne diese Information kann ein Kreditmarkt nicht arbeiten: Er muss wissen, wie viel eine hinterlegte Sicherheit deckt und ab welchem Punkt eine Position liquidiert werden muss. Eine Oracle-Manipulation ist ein Angriff, bei dem nicht der Programmcode des Protokolls gebrochen wird, sondern der Preis, den dieser Code für bare Münze nimmt.

Der Unterschied ist wichtig, weil er erklärt, warum Sicherheitsprüfungen des Codes hier wenig helfen. Das Protokoll rechnet korrekt — es rechnet nur mit einer falschen Zahl. Welcher Preisanbieter im Fall von NSTR im Einsatz war, ist in den offiziellen Mitteilungen bis heute nicht benannt worden. Sicherheitsforscher gehen davon aus, dass ein Handelsplatz mit sehr geringer Liquidität genutzt wurde, um den gemeldeten Preis weit über das übliche Handelsniveau zu heben. NSTR wurde zum Zeitpunkt der Berichterstattung zwischen 0,0055 und 0,0059 US-Dollar gehandelt.

Nostra hatte diese Schwachstelle schon einmal. Am 24. März 2025 zeigten die Preisfeeds für xSTRK und sSTRK das Dreifache des tatsächlichen Werts an; xSTRK sprang von 0,1793 auf 0,5897 US-Dollar. Ein zweiter, unabhängiger Preisgeber als Rückfallebene existierte für diese Werte nicht.

Warum dünne Liquidität beim Sicherheiten-Token das eigentliche Risiko ist

Die technische Debatte dreht sich meist um Oracles. Der Hebel liegt aber woanders. Ein Preis lässt sich nur dann bewegen, wenn der Markt dahinter dünn genug ist. Bei einem Token, der täglich in dreistelliger Millionenhöhe gehandelt wird, kostet eine künstliche Verdopplung mehr, als der Angriff einbringt. Bei einem Token mit einer halben Million Dollar Marktkapitalisierung genügt ein überschaubarer Einsatz.

Daraus folgt eine Regel, die du ohne technische Hilfsmittel anwenden kannst: Je kleiner der Sicherheiten-Token im Verhältnis zu dem, was gegen ihn geliehen werden darf, desto größer das Manipulationsrisiko für alle anderen im selben Pool. Das trifft auch dich, wenn du nur eingezahlt und nie einen Kredit aufgenommen hast — denn ausgezahlt wurde am Ende aus dem gemeinsamen Bestand.

Kreditobergrenzen und Isolationsmodus

Gute Protokolle begrenzen dieses Risiko mit zwei Werkzeugen. Eine Kreditobergrenze (im Englischen borrow cap) legt fest, wie viel gegen eine bestimmte Sicherheit insgesamt geliehen werden darf. Ein Isolationsmodus sperrt riskante Token in einen eigenen Topf, sodass ein Ausfall dort nicht auf die großen Pools durchschlägt. Beides steht in der Dokumentation, und beides ist eine Zahl, die du dir ansehen kannst, bevor du einzahlst. Fehlt die Obergrenze ganz oder liegt sie über der Marktkapitalisierung des Sicherheiten-Tokens, ist das ein Befund und keine Kleinigkeit.

Wer Zinsen auf Krypto-Guthaben sucht, findet bei zentralen Anbietern andere Risiken, aber vergleichbare Fragen — welche Sicherheiten liegen dahinter, und wer haftet. Ein Blick in den Vergleich der Lending-Anbieter zeigt, welche Modelle es überhaupt gibt, bevor du dich für dezentral oder zentral entscheidest.

Sicherheiten-Liste deines Kreditmarkts prüfen: Diese vier Angaben findest du in jeder Dokumentation

Jedes ernsthafte Protokoll veröffentlicht seine Parameter. Bei Nostra findest du sie unter docs.nostra.finance, bei anderen Protokollen heißt der Bereich meist Markets, Risk Parameters oder Asset Listing. Vier Angaben reichen für eine erste Einschätzung.

Erstens: Welche Token sind als Sicherheit zugelassen? Nicht welche du einzahlen kannst, sondern welche beleihbar sind. Das sind zwei verschiedene Listen, und die zweite ist die gefährliche. Suche nach dem protokolleigenen Token — taucht er als Sicherheit auf, sieh genauer hin.

Zweitens: Wie hoch ist die Kreditobergrenze je Sicherheit? Setze sie ins Verhältnis zur Marktkapitalisierung dieses Tokens. Bei Nostra durfte gegen NSTR mehr geliehen werden, als der gesamte umlaufende Bestand wert war.

Drittens: Gilt ein Isolationsmodus? Wenn ja, für welche Token, und liegt dein Guthaben im gemeinsamen oder im isolierten Topf?

Viertens: Wer liefert den Preis? Dazu gleich mehr.

Preisquelle und Rückfall-Oracle: Woran du erkennst, ob ein Protokoll eine zweite Meinung einholt

In der Dokumentation steht üblicherweise, welcher Preisgeber genutzt wird. Interessant ist weniger der Name als die Antwort auf zwei Fragen. Bezieht das Protokoll den Preis aus mehreren unabhängigen Quellen, oder hängt alles an einer? Und gibt es eine Plausibilitätsgrenze, die eine Position einfriert, wenn ein Preis innerhalb von Minuten um ein Vielfaches springt?

Ein Rückfall-Oracle ist eine zweite Preisquelle, die einspringt oder widerspricht, wenn die erste unplausible Werte liefert. Genau das fehlte bei Nostra im März 2025 für die betroffenen Werte. Findest du in der Dokumentation keine Aussage dazu, ist das keine Entwarnung, sondern eine offene Frage, die du dem Team im öffentlichen Kanal stellen kannst. Ein Protokoll, das darauf nicht antwortet, hat dir bereits geantwortet.

Dieselbe Frage haben wir bei früheren Vorfällen gestellt. Beim Moonwell-Exploit auf Base Ende August war es der protokolleigene Token MAMO, dessen Preis manipuliert wurde. Das Muster wiederholt sich seit Monaten mit wechselnden Namen.

32 Preismanipulationen in einem Jahr: Was die Zahlen und unsere eigene Auszählung zeigen

Der Vorfall bei Nostra ist kein Einzelfall, sondern der jüngste Punkt einer Reihe. Nach Daten, die die Börse KuCoin Anfang September verbreitet hat, haben dezentrale Kreditprotokolle im Jahr 2026 bislang 32 gesonderte Preismanipulationsangriffe verzeichnet — nach dieser Zählung ein Höchststand für den Sektor. Etwa jeder achte Krypto-Hack des Jahres lässt sich demnach auf diese Angriffsform zurückführen. Der größte Einzelschaden entfiel auf Tectonic auf der Cronos-Kette, wo rund 75 Millionen US-Dollar geliehen wurden, nachdem ein Preis innerhalb von etwa 20 Minuten um das Hundertfache gestiegen war. Die Zahl stammt von einem Marktteilnehmer und nicht von einer unabhängigen Prüfstelle; sie zeigt eine Größenordnung, keine amtliche Statistik.

Weil wir wissen wollten, wie sich das in unserer eigenen Berichterstattung niederschlägt, haben wir den deutschsprachigen Bestand von cryptoticker.io ausgezählt. Methode: Abfrage der Redaktionsdatenbank am 18. September 2026 nach allen deutschen Artikeln seit dem 1. Juli 2026, deren Adresse die Begriffe „exploit" oder „hack" enthält, anschließend manuelle Durchsicht der Treffer. Ergebnis: 21 dokumentierte Vorfälle in elf Wochen. Sechs davon trafen Kreditmärkte oder deren Preisquellen — Ostium im Juli, Ajna, Tectonic, Moonwell und More Markets Ende August, dazu die Kompromittierung eines Preisdienstes über vier Ketten Anfang September. Diese Auswertung hat cryptoticker.io am 18. September 2026 selbst erhoben.

Was wir damit nicht messen können: wie viele Vorfälle es insgesamt gab. Unsere Auszählung erfasst nur, worüber wir selbst berichtet haben, und Artikel ohne die beiden Suchbegriffe in der Adresse fallen durch das Raster. Die Zahl taugt als Hinweis auf ein Muster, nicht als Schadensbilanz. Auffällig ist trotzdem die Verdichtung: Vier der sechs Kreditmarkt-Fälle lagen innerhalb einer einzigen Woche Ende August.

Wenn ein Markt pausiert: Warum du im Ernstfall nicht mehr abziehen kannst

Der Teil, den viele unterschätzen, kommt nach dem Angriff. Nostra hat nicht nur die Kreditaufnahme gestoppt, sondern auch die Auszahlungen. Das ist aus Sicht des Protokolls richtig, weil sonst die Schnellsten den Rest leerräumen und der Schaden ungleich verteilt wird. Für dich bedeutet es: In dem Moment, in dem du dein Geld am dringendsten holen willst, geht die Tür zu.

Daraus folgt eine unangenehme, aber nützliche Übung. Frage dich vor der Einzahlung, wie lange du auf diesen Betrag verzichten könntest, wenn er für unbestimmte Zeit eingefroren wäre. Nicht, ob du ihn verlieren könntest — das ist die offensichtliche Frage —, sondern ob du ihn über Wochen nicht brauchst. Wer Guthaben für eine Steuerzahlung oder eine anstehende Rechnung geparkt hat, gehört nicht in einen Geldmarkt.

Prüfen kannst du außerdem, wer eine solche Pause auslösen darf. In den meisten Protokollen liegt dieses Recht bei einem kleinen Kreis von Schlüsselinhabern, manchmal bei einer Zeitschloss-Instanz mit Vorlauf. Beides steht in der Dokumentation unter Governance oder Admin Keys.

Zinsen, die zu gut aussehen: Wie du Rendite und Sicherheitenrisiko gegeneinander liest

Hohe Einlagezinsen in einem Geldmarkt entstehen dadurch, dass jemand bereit ist, diesen Zins zu zahlen. Wer zahlt zweistellige Sätze für einen Kredit? In der Regel jemand, der mit geliehenem Geld eine Position aufbaut, die mehr bringen soll — oder jemand, der eine Sicherheit hinterlegt hat, die er anderswo nicht beleihen könnte. Der zweite Fall ist derselbe, der bei Nostra zum Schaden geführt hat.

Das heißt nicht, dass hohe Zinsen automatisch ein Warnsignal sind. Es heißt, dass der Zins dir sagt, wo du nachsehen sollst. Steht neben einem auffällig hohen Satz ein exotischer Sicherheiten-Token in der Liste, hast du die Erklärung gefunden. Steht dort nur Ether und ein etablierter Stablecoin, ist der Zins wahrscheinlich Ausdruck der Nachfrage und nicht des Risikos.

Zentral oder dezentral: Welche Risiken du dir jeweils einhandelst

Der Vergleich fällt nicht eindeutig aus, und wer ihn eindeutig darstellt, vereinfacht. Bei einem dezentralen Geldmarkt trägst du das Risiko der Parameter, des Preisfeeds und des Programmcodes. Du kannst all das nachlesen, und niemand kann dein Guthaben eigenmächtig entnehmen — solange die Schlüsselverwaltung des Protokolls hält.

Bei einem zentralen Anbieter trägst du stattdessen ein Gegenparteirisiko: Der Anbieter verleiht dein Guthaben weiter, und ob die dahinterliegenden Sicherheiten werthaltig sind, kannst du in der Regel nicht prüfen. Dafür gibt es einen ansprechbaren Vertragspartner und, bei Anbietern mit europäischer Zulassung, eine Aufsicht. Welche Form für dich passt, hängt davon ab, ob du lieber Parameter liest oder Verträge.

Was die Selbstverwahrung daran ändert

Der dritte Weg ist, gar nicht zu verleihen. Wer seine Bestände in eigener Verwahrung hält, verzichtet auf Zinsen und schließt damit beide Risikoarten aus. Das ist keine romantische Position, sondern eine nüchterne: Ein Ertrag von wenigen Prozent im Jahr rechtfertigt nicht jedes Ausfallrisiko, und die Vorfälle der vergangenen Wochen zeigen, dass der Ausfall nicht die Ausnahme ist.

DeFi-Kreditmarkt prüfen: Was du daraus mitnimmst

1. Sieh dir die Sicherheiten-Liste an, bevor du einzahlst. Finde heraus, welche Token beleihbar sind, wie hoch die Kreditobergrenze je Token ist und ob sie über der Marktkapitalisierung dieses Tokens liegt. Wenn du vorher wissen willst, welche Anbieter überhaupt infrage kommen und wie sich verzinste Modelle unterscheiden, hilft der Überblick über Staking- und Rendite-Plattformen bei der Vorauswahl.
2. Kläre, ob du die Zinsen wirklich brauchst. Rechne durch, was ein Jahr Rendite auf deinen Betrag einbringt, und stelle es dem Fall gegenüber, dass der Markt für Wochen pausiert. Fällt die Rechnung knapp aus, ist die eigene Verwahrung die einfachere Antwort; welche Geräte dafür taugen, steht im Hardware-Wallet-Vergleich.
3. Dokumentiere deine Ein- und Auszahlungen laufend. Gerät ein Protokoll in eine Abwicklung, brauchst du später Belege über Zeitpunkte und Beträge — für die Steuererklärung ebenso wie für eine mögliche Verlustverrechnung. Ein Portfolio-Tracker nimmt dir das ab, eine Auswahl findest du unter Steuer-Tools und Portfolio-Tracker.

Und für den Fall, dass du bereits betroffen bist: Warte die offizielle Abrechnung des Teams ab, bevor du auf Angebote reagierst, die dir eine schnelle Rückholung versprechen. Nach jedem größeren Vorfall treten Konten auf, die sich als Wiederherstellungsdienst ausgeben und in Wahrheit nach Wallet-Zugängen fragen. Die Details der Nostra-Abwicklung fasst unter anderem die Chronologie der Sicherheitsmeldungen zusammen.

(Stand: 18. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)