Governance-Angriff bei Hifi Finance: So prüfst du jetzt deine DeFi-Einlagen

Bei dem DeFi-Protokoll Hifi Finance hat eine bislang unbekannte Adresse am 28. Oktober 2026 die Kontrolle über die Abstimmung des Protokolls erlangt und anschließend Nutzer-Collateral im Wert von etwa 1 Million Dollar abgezogen, nach dem Kurs vom 29. Oktober rund 900.000 Euro. Das berichtet der On-Chain-Beobachter Spreek, auf dessen Auswertung sich die Berichterstattung des Tages stützt. Vier Stimmen, abgegeben kurz vor Ende der laufenden Abstimmung, genügten dafür. Danach prägte dieselbe Adresse 25 Millionen neue Governance-Token.

Für dich als Anleger in Deutschland zählt daran weniger der Einzelfall als das Muster. Ein Governance-Angriff braucht keine Schwachstelle im Programmcode, auf die ein Audit stoßen könnte. Er nutzt die Abstimmungsregeln selbst, und die stehen bei vielen Protokollen offen und ohne Sperrfrist im Netz. Wer Coins bei einem DeFi-Protokoll als Sicherheit hinterlegt, trägt dieses Risiko mit, auch wenn die eigene Wallet nie angetastet wird.

Was bei Hifi Finance geschah: vier Stimmen kurz vor Abstimmungsende

Hifi Finance ist ein Kreditprotokoll auf Ethereum. Nutzer liefern Werte als Sicherheit ein und leihen sich dagegen Mittel zu einem festen Zins. Über Änderungen am Protokoll entscheidet eine DAO, also eine Organisation, deren Beschlüsse durch Abstimmung der Token-Halter zustande kommen und automatisch ausgeführt werden.

Nach Spreeks Darstellung wurde die angreifende Adresse über Tornado Cash finanziert, einen Dienst, der die Herkunft von Überweisungen auf der Blockchain verwischt. Vier Überweisungen aus dieser Quelle versorgten die Adresse mit Stimmgewicht. Die Stimmen fielen in der Schlussphase einer bereits laufenden Abstimmung, zu einem Zeitpunkt also, an dem andere Halter kaum noch reagieren konnten. Mit der Mehrheit in der Hand ließ sich der Beschluss durchsetzen, der die Prägung von 25 Millionen Governance-Token erlaubte. Der Abfluss des Collaterals folgte nach dem Beschluss und nach der Prägung.

Eine Stellungnahme von Hifi Finance zu dem Vorgang lag am 29. Oktober nicht vor. Alle genannten Zahlen und Abläufe gehen auf Spreeks Auswertung zurück und sind als vorläufig zu lesen; eine eigene Bestätigung durch das Projekt gibt es bislang nicht.

25 Millionen neue Token, 8.255 Dollar Tagesumsatz: die Rechnung des Angreifers

Die 25 Millionen frisch geprägten Token klingen nach dem größeren Schaden, sind es aber nicht. HIFI notierte am 29. Oktober bei 0,00132 Dollar, nach den Daten von CoinGecko. Die gesamte Menge des Tokens liegt bei rund 141,98 Millionen Stück. Die neu geprägten 25 Millionen entsprechen damit etwa 17,6 Prozent der Gesamtmenge.

Rechnerisch sind diese Token rund 33.000 Dollar wert. Verkaufen lassen sie sich in dieser Größenordnung jedoch nicht: Der Handel in HIFI umfasste über 24 Stunden gerade 8.255 Dollar. Die geprägte Menge entspricht dem Vierfachen dessen, was an einem ganzen Tag überhaupt gehandelt wird. Ein Verkauf hätte den Kurs in sich zusammenfallen lassen, bevor ein nennenswerter Teil den Besitzer gewechselt hätte.

Das erklärt, warum das eingelieferte Collateral und nicht der Token das Ziel war. Die Prägung diente als Mittel, die Kontrolle über das Protokoll in einen Zugriff auf fremde Werte zu verwandeln.

RWA-Token als Collateral: das eigentliche Ziel des Abflusses

Überwiegend bestand das abgezogene Collateral nach den vorliegenden Berichten aus RWA-Token. RWA steht für Real World Assets: Token, die einen Anspruch auf einen Wert außerhalb der Blockchain verbriefen, etwa auf Anleihen, Kredite oder Immobilienanteile.

Diese Papiere sind als Sicherheit beliebt, weil ihr Kurs ruhiger liegt als der eines Altcoins. Genau das macht sie für einen Angreifer attraktiv. Ein geklauter Altcoin verliert beim Verkaufsversuch an Wert; ein RWA-Token mit stabilem Bezugswert lässt sich eher zu Geld machen. Welche Werte ein Kreditprotokoll als Sicherheit annimmt und welche Bedingungen daran hängen, steht in den Protokollbedingungen des jeweiligen Anbieters.

Governance-Angriff erklärt: wie aus Tornado-Cash-Geld Stimmrecht wird

Ein Governance-Angriff ist der Erwerb von Stimmgewicht in einer DAO mit dem Ziel, einen eigenen Beschluss durchzusetzen. In den dokumentierten Fällen lassen sich mehrere Wege dorthin unterscheiden.

Der einfachste ist der Zukauf von Stimmrecht am Markt. Er funktioniert vor allem dort, wo der Governance-Token wenig kostet, die verwalteten Mittel aber hoch sind. Beim Flashloan nimmt der Angreifer einen Kredit auf, der innerhalb einer einzigen Transaktion aufgenommen und zurückgezahlt wird; er verschafft für den Moment der Abstimmung ein Stimmgewicht, das dem Angreifer nie gehört hat. Der bösartige Antrag schließlich ist ein Beschlussvorschlag, dessen Wortlaut unauffällig klingt, dessen ausgeführter Code aber Rechte verschiebt. Unter dieser Form ist der Fall Hifi Finance in den Registern verzeichnet. Hinzu kommt die Übernahme ruhender Stimmen, also von Token, die ihre Halter nie delegiert haben und die bei einer niedrigen Beteiligung den Ausschlag geben.

Allen Wegen ist gemeinsam, dass der Programmcode des Protokolls genau so arbeitet, wie er geschrieben wurde. Ein Audit, das Fehler im Code sucht, findet hier nichts. Wie weit das trägt, zeigte im August 2026 der Fall Term Finance, über den wir unter der Frage warum geprüfter Code bei Governance-Exploits nicht schützt berichtet haben.

Drei Governance-Angriffe in sechs Tagen: X100, Yapeswap und Hifi Finance

Der Fall Hifi Finance steht nicht allein. Eine Auszählung des öffentlichen Hackregisters von DefiLlama, das 1.328 Vorfälle erfasst, ergibt für die sieben Tage bis zum 29. Oktober 2026 elf dokumentierte Vorfälle am Kryptomarkt insgesamt und darunter drei, die als Governance-Angriff geführt werden. Alle drei fielen in ein Fenster von sechs Tagen. Diese Auswertung hat cryptoticker.io am 29. Oktober 2026 selbst erhoben.

• 24. Oktober 2026, X100: 4,75 Millionen Dollar, geführt als Flashloan-Governance-Angriff auf Ethereum. Zu diesem Fall haben wir beschrieben, wie ein Flashloan zwei von drei Senatssitzen kaufte.
• 25. Oktober 2026, Yapeswap: 21.900 Dollar, bösartiger Antrag, ebenfalls auf Ethereum.
• 28. Oktober 2026, Hifi Finance: bösartiger Antrag auf Ethereum. Eine Schadenshöhe ist im Register noch nicht hinterlegt.

Über einen längeren Zeitraum betrachtet verliert das Bild etwas an Schärfe, bleibt aber deutlich. In den 90 Tagen bis zum 29. Oktober 2026 führt das Register sieben Governance-Angriffe mit einer Schadenssumme von zusammen 22,58 Millionen Dollar, über zwölf Monate zwölf Fälle mit 47,9 Millionen Dollar. Drei Fälle in sechs Tagen liegen damit deutlich über dem Mittel dieser zwölf Monate.

Ein älteres Beispiel zeigt, dass die Größe des Protokolls dabei keine Rolle spielt: Die BONK-DAO verlor im Juli 2026 nach denselben Registerdaten 20 Millionen Dollar, ohne dass ein Hack im üblichen Sinn vorlag.

HIFI-Kurs fällt um 25 Prozent: Marktkapitalisierung unter 200.000 Dollar

Der Token selbst hat auf den Vorgang deutlich reagiert. HIFI gab binnen 24 Stunden 25,4 Prozent ab und stand am 29. Oktober 2026 bei 0,00132 Dollar. Die Marktkapitalisierung liegt damit bei 186.141 Dollar. Gegenüber dem Allzeithoch von 2,63 Dollar, erreicht am 16. September 2023, fehlen 99,95 Prozent. Alle vier Werte stammen von CoinGecko.

Diese Zahlen sind für die Einordnung wichtiger, als sie zunächst aussehen. Ein Protokoll, dessen Governance-Token insgesamt weniger wert ist als eine Eigentumswohnung, verwaltet im Fall Hifi Finance Sicherheiten im Millionenbereich. Das Verhältnis zwischen dem Preis der Kontrolle und dem Wert des Kontrollierten ist der eigentliche Angriffsanreiz. Wo ein Token billig und die verwalteten Mittel hoch sind, rechnet sich der Zukauf von Stimmrecht.

Timelock und Quorum: die zwei Stellschrauben jeder DAO-Abstimmung

Zwei Begriffe entscheiden darüber, wie angreifbar eine Abstimmung ist. Ein Timelock ist eine Sperrfrist zwischen dem Beschluss und seiner Ausführung; sie gibt den übrigen Haltern Zeit, einen Beschluss zu bemerken und Mittel abzuziehen. Ein Quorum ist die Mindestbeteiligung, die ein Beschluss braucht, um zu gelten.

Je länger der Timelock und je höher das Quorum, desto teurer wird ein Angriff. Beides kostet allerdings Beweglichkeit: Ein Protokoll mit siebentägiger Sperrfrist kann auf einen Notfall nicht binnen Stunden reagieren. Protokolle wählen hier unterschiedlich, und die Wahl ist öffentlich nachlesbar. Wie Hifi Finance diese Werte gesetzt hatte, lässt sich dem vorliegenden Material nicht entnehmen; das Projekt hat sich dazu bislang nicht geäußert.

MiCA und DeFi: keine Einlagensicherung für Protokoll-Collateral

Wer in Deutschland Coins bei einem beaufsichtigten Anbieter liegen hat, denkt leicht an die Sicherungssysteme, die er von der Bank kennt. Für ein DeFi-Protokoll gilt davon nichts. MiCA, die EU-Verordnung über Märkte für Kryptowerte, setzt Pflichten für Unternehmen, die Kryptowerte gewerblich verwahren, handeln oder ausgeben, und verlangt dafür eine Zulassung. Ein Protokoll ohne Betreiber, dessen Regeln eine DAO beschließt, ist kein solches Unternehmen und fällt in der Praxis nicht unter diese Pflichten.

Daraus folgt dreierlei. Es gibt keine Einlagensicherung für Werte, die du einem Protokoll als Collateral überlässt. Es gibt keine Aufsichtsbehörde, bei der du den Verlust anzeigen und eine Entschädigung erwarten kannst. Und es gibt keine Verpflichtung des Protokolls, den Schaden zu ersetzen; ob Halter etwas zurückbekommen, hängt am guten Willen und an den Mitteln der jeweiligen DAO.

Das ist kein Argument gegen DeFi, aber ein Argument für eine klare Trennung. Mittel, die du nicht verlieren willst, gehören nicht in ein Protokoll, dessen Abstimmungsregeln du nicht geprüft hast.

Selbstverwahrung gegen Protokoll-Verwahrung: wo deine Coins wirklich liegen

Der entscheidende Unterschied liegt in der Frage, wer den Schlüssel hält. Liegen Coins in deiner eigenen Wallet, berührt ein Governance-Angriff auf ein Protokoll sie nicht. Hast du sie als Sicherheit eingeliefert, verwahrt sie ein Vertrag, über dessen Regeln eine Abstimmung bestimmt.

Beides hat seinen Platz. Ohne eingeliefertes Collateral gibt es keinen Kredit und keine Rendite aus Lending. Nur sollte die Aufteilung eine Entscheidung sein und kein Nebeneffekt. Der Teil des Bestands, der ruhen soll, gehört auf einen Datenträger, den du selbst in der Hand hast; welche Geräte sich dafür eignen und was sie kosten, steht in unserem Vergleich der Hardware-Wallets.

Das Muster hinter den Fällen: billige Stimmen, teure Sicherheiten

Was die drei Fälle der vergangenen Woche verbindet, ist kein technischer Fehler. Es ist ein Preisverhältnis. Stimmrecht war billiger zu beschaffen als der Wert, über den es verfügt. Solange ein Governance-Token im Kurs verfällt, während die im Protokoll liegenden Sicherheiten ihren Wert halten, verschiebt sich dieses Verhältnis weiter zugunsten eines Angreifers.

Für die Beurteilung eines Protokolls heißt das: Die Marktkapitalisierung des Governance-Tokens im Verhältnis zu den verwalteten Mitteln ist eine Kennzahl, die Anleger genauso lesen sollten wie den Zinssatz. Beide Zahlen stehen öffentlich.

DeFi-Collateral: Drei Fragen vor der nächsten Einzahlung

1. Wie hoch ist der Governance-Token gegenüber den verwalteten Mitteln bewertet? Liegt die Marktkapitalisierung des Tokens weit unter den im Protokoll liegenden Sicherheiten, ist der Zukauf von Stimmrecht rechnerisch attraktiv. Bei welchen Anbietern Konditionen und Sicherheiten offen ausgewiesen sind, zeigt der Vergleich der Krypto-Lending-Anbieter.
2. Welche Sperrfrist liegt zwischen Beschluss und Ausführung? Ohne Timelock wirkt ein Beschluss sofort, und niemand kann dazwischentreten. Wer Rendite im Protokoll sucht, findet die Bedingungen der einzelnen Anbieter im Vergleich der Staking-Plattformen.
3. Welcher Teil deines Bestands muss überhaupt im Protokoll liegen? Was nicht arbeiten soll, braucht keinen Vertrag. Es braucht einen Schlüssel in deiner Hand. Die Geräte dafür stehen im Vergleich der Hardware-Wallets.

Ein Governance-Angriff greift nicht die Wallet an, er greift die Abstimmung an. Bei Hifi Finance genügten vier Stimmen in der Schlussphase, um 25 Millionen Token zu prägen und Collateral im Wert von etwa 1 Million Dollar zu bewegen. Der Token selbst gab 25,4 Prozent ab und ist in der Summe weniger wert als die Sicherheiten, über die er verfügte. Drei solche Fälle in sechs Tagen deuten darauf hin, dass dieses Preisverhältnis derzeit systematisch ausgenutzt wird.

Die Berichte zu dem Vorgang stützen sich bislang auf eine einzige On-Chain-Auswertung; eine Stellungnahme des Projekts steht aus. Belastbar ist die Schadenshöhe damit noch nicht, das Muster aber schon.

(Stand: 29. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)

Quellen: DefiLlama, Register dokumentierter Vorfälle und ChainCatcher zur On-Chain-Auswertung von Spreek.