Krypto-Audits nach 1,18 Milliarden Dollar Schaden: „Das Problem ist immer der Prüfumfang“

Ein Prüfsiegel auf der Webseite einer Börse oder eines Protokolls liest sich wie eine Garantie. Der Sicherheitsdienstleister Hacken hat jetzt vorgerechnet, wie wenig es im Zweifel abdeckt: Im dritten Quartal 2026 kosteten Angriffe am Kryptomarkt 1,18 Milliarden Dollar in 107 Vorfällen, und 906,8 Millionen Dollar davon entfielen auf Bauteile, die beim letzten Sicherheitsaudit gar nicht auf dem Tisch lagen. Das sind 77 Prozent der Quartalsverluste. Mitgründer Andrii Matiukhin fasste es gegenüber CoinDesk so zusammen: „The problem is always scope“, das Problem sei immer der Prüfumfang.

Für dich als Anlegerin oder Anleger in Deutschland heißt das weniger, dass Audits wertlos wären. Es heißt, dass ein Siegel eine andere Frage beantwortet als die, die du stellst. Du willst wissen, ob dein Guthaben sicher ist. Geprüft wurde meist nur, ob ein bestimmter Smart Contract zu einem bestimmten Zeitpunkt sauber war. Dieser Artikel zeigt, wo die Lücke in Zahlen liegt, welche Fälle sie im Sommer aufgerissen haben und woran du einen aussagekräftigen Prüfbericht von einem dekorativen unterscheidest.

1,18 Milliarden Dollar in 107 Vorfällen: Was Hacken für das dritte Quartal zählt

Die Zahl steht im Quartalsbericht des Prüfunternehmens Hacken, über den CoinDesk am 18. Oktober 2026 berichtete. 1,18 Milliarden Dollar Schaden, verteilt auf 107 einzelne Vorfälle, 55 Prozent mehr als im zweiten Quartal. Der Anstieg kommt nicht aus einer größeren Zahl kleiner Angriffe, sondern aus wenigen sehr großen.

Audit meint dabei eine Sicherheitsprüfung von Programmcode durch ein externes Unternehmen. Prüfer lesen den Quelltext, suchen Fehler in der Logik, testen Randfälle und schreiben einen Bericht mit Befunden nach Schweregrad. Was in diesem Bericht steht, hängt vollständig davon ab, was der Auftraggeber prüfen ließ. Genau dort setzt die Kritik an.

77 Prozent der Verluste lagen außerhalb des letzten Audits

Hacken ordnet die 906,8 Millionen Dollar drei Ursachen zu: kompromittierte Zulieferer und Entwicklerwerkzeuge, bereits offengelegte Sicherheitskorrekturen, die niemand eingespielt hatte, sowie Bauteile, die beim letzten Sicherheitsdurchlauf schlicht nicht im Umfang enthalten waren.

Keiner dieser drei Wege führt durch den geprüften Vertrag. Ein Angreifer, der das Konto eines Entwicklers bei einem Werkzeuganbieter übernimmt, muss den Smart Contract nicht brechen. Er bekommt Zugriff auf dem Weg, den das Audit nie angesehen hat. Matiukhin nannte gegenüber CoinDesk auch den Grund dafür, dass Prüfumfänge klein bleiben: „It’s expensive to have enormous scopes of all components that interact with funds“. Vollständige Prüfungen aller Bauteile, die Geld berühren, sind teuer, und bezahlt wird vom geprüften Unternehmen selbst.

Lieferkette und Entwicklerwerkzeuge: Der Angriffsweg hinter 906,8 Millionen Dollar

Der größte Einzelfall des Quartals zeigt das Muster. Nach Darstellung des Hacken-Berichts verloren Nutzer der Börse Bitget mindestens 352 Millionen Dollar, nachdem Angreifer eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters ausgenutzt und darüber Zugang zur Auszahlungsinfrastruktur erlangt hatten. Das angegriffene Produkt war ausgerechnet eine Sicherheitskomponente.

Beim Liquid Network beziffert der Bericht den Schaden auf 319 Millionen Dollar, bei Tectonic auf mindestens 75 Millionen. Rund 114 Millionen Dollar entfielen auf die Wallet-Software von Coldcard. Im Juli verloren drei Brücken und blockchainübergreifende Protokolle in einem sechsstündigen Angriff zusammen über 35 Millionen Dollar; auf AFX Trade entfielen 24 Millionen, nachdem Angreifer die Kontrolle über dessen Validator-Schlüssel erlangt hatten.

In derselben Woche, in der der Bericht erschien, wurde ein weiterer Fall öffentlich: rund 93 Millionen Dollar Schaden durch ein nicht autorisiertes Hardware-Implantat im Zusammenhang mit Ledger und CryptoBilis. CoinDesk führt diesen Fall getrennt von der Quartalssumme, weil er erst nach dem Stichtag bekannt wurde.

Was ein Smart-Contract-Audit abdeckt und was außen vor bleibt

Ein typisches Audit betrachtet den Smart Contract, also das Programm auf der Blockchain, das Einzahlungen, Tausch oder Auszahlung steuert. Geprüft wird ein bestimmter Stand des Quelltextes, festgehalten über eine Commit-Kennung.

Regelmäßig nicht enthalten sind die Oberfläche im Browser, die Server im Hintergrund, die Verwahrlösung mit ihren Schlüsseln, Signierverfahren, Preisorakel, Brücken zu anderen Blockchains sowie jede eingekaufte Fremdsoftware. Hacken empfiehlt im Bericht ausdrücklich, den Prüfumfang auf Orakel, Brücken, Verwahrsysteme und Signaturberechtigungen auszuweiten. Dass diese Empfehlung nötig ist, sagt bereits, wie der Normalfall aussieht.

Dazu kommt der Faktor Zeit. Ein Audit beschreibt einen Zustand an einem Tag. Jede spätere Programmänderung liegt außerhalb. Ein Siegel ohne Datum ist deshalb kaum zu bewerten.

Vier Schlüssel, drei Unterschriften: Hacken prüfte zwölf Derivatebörsen

Für den Bericht sah sich Hacken zwölf Derivatebörsen und Prognosemärkte an. Das Ergebnis betrifft die Struktur der Verwahrung: Bei zwei großen Handelsplätzen hingen nach den Angaben des Berichts über 700 Millionen Dollar an gesicherten Werten entweder an einem Aufbau mit vier Schlüsseln, von denen drei unterschreiben müssen, oder an Verwaltungsschlüsseln, deren Inhaber nicht öffentlich bekannt sind.

Hacken betont dabei, man habe keine aktive Schwachstelle bei einem der geprüften Handelsplätze festgestellt: „We are not aware of a live bug in the systems of any reviewed venue“, sagte Matiukhin. Der Befund betrifft die Konzentration der Kontrolle, nicht einen konkreten Fehler. Wer sein Guthaben auf einer Börse liegen lässt, verlässt sich darauf, dass eine kleine, teils unbekannte Gruppe von Schlüsselinhabern korrekt handelt und selbst nicht angegriffen wird.

Severity-Downgrade: Wenn eine kritische Lücke als gering eingestuft wird

Ein Prüfbericht ist eine Empfehlung, keine Anweisung. Matiukhin beschreibt gegenüber CoinDesk, was in der Praxis passiert: „Sometimes a critical vulnerability is classified as low by the team, and fix implementation is delayed or even declined“. Eine als kritisch gemeldete Lücke wird vom Team herabgestuft, die Korrektur verschoben oder abgelehnt.

Der Vorgang heißt im Fachjargon Severity-Downgrade, also das Herabstufen eines Schweregrads. Er erklärt, warum in der Hacken-Aufstellung bereits offengelegte und verfügbare Korrekturen zu den drei Hauptursachen zählen. Die Lücke war bekannt, der Prüfer hatte sie benannt, eingespielt wurde sie nicht.

Woran du einen aussagekräftigen Prüfbericht erkennst

Ein Audit-Bericht, der etwas wert ist, nennt vier Dinge. Erstens ein Datum und eine Versionskennung des geprüften Codes. Zweitens einen ausgeschriebenen Prüfumfang, der auflistet, welche Bauteile enthalten waren und welche nicht. Drittens die gefundenen Befunde nach Schweregrad, einschließlich der Punkte, die der Auftraggeber nicht behoben hat. Viertens eine Nachkontrolle, die bestätigt, dass die kritischen Punkte tatsächlich geschlossen wurden.

Fehlt eines davon, bleibt ein Logo übrig. Die Aussagen „geprüft von“ und „sicher“ sind nicht dasselbe, und zwischen beiden liegt in der Hacken-Bilanz knapp eine Milliarde Dollar. Prüfe außerdem, ob das Datum des Berichts noch zur aktuellen Version passt: Ein Bericht von vor zwei Jahren beschreibt eine Software, die es so nicht mehr gibt.

Verwahrung in Deutschland: Börsenguthaben gegen eigene Schlüssel

Die praktische Folge aus dem Bericht betrifft die Frage, wo deine Coins liegen. Guthaben auf einer Börse ist eine Forderung gegen dieses Unternehmen; die Schlüssel hält der Handelsplatz. Fällt dessen Infrastruktur aus oder wird sie angegriffen, hängt die Rückgabe an der Zahlungsfähigkeit und am Krisenmanagement des Anbieters. Genau diese Infrastruktur lag in den Fällen des Quartals außerhalb des Prüfumfangs.

Die Gegenvariante ist die eigene Verwahrung. Bei einer Hardware-Wallet, also einem Gerät, das deine privaten Schlüssel offline speichert und Transaktionen selbst signiert, verlässt der Schlüssel das Gerät nicht. Welche Modelle sich für welchen Bestand eignen und worin sie sich bei Bedienung und Wiederherstellung unterscheiden, steht in unserem Vergleich der Hardware-Wallets. Der Ledger-Fall aus derselben Woche zeigt allerdings, dass auch dieser Weg Sorgfalt verlangt: Ein Gerät sollte nur direkt beim Hersteller oder bei einem von ihm benannten Händler gekauft werden, nie gebraucht und nie über einen Marktplatz-Drittanbieter.

Für Beträge, die du laufend bewegst, bleibt eine Börse praktisch. Dann verschiebt sich die Frage auf die Wahl des Handelsplatzes. Eine Zulassung nach der EU-Verordnung MiCA bedeutet Aufsicht über Eigenkapital, Trennung von Kundenvermögen und Beschwerdewege; welche Anbieter sie in Deutschland haben, zeigt die Übersicht der regulierten Krypto-Börsen. Eine Zulassung ersetzt kein Sicherheitsaudit, aber gibt dir im Streitfall eine Adresse.

Drei Prüfungen, die vor dem nächsten Kauf wenig Zeit kosten

Der Aufwand hält sich in Grenzen. Suche auf der Seite deines Anbieters den Audit-Bericht und sieh nach, ob er ein Datum und einen Prüfumfang trägt. Vergleiche das Datum mit dem letzten größeren Update der Plattform. Und sieh nach, ob der Anbieter offenlegt, wie die Verwahrung organisiert ist, wie viele Schlüssel es gibt und wer sie hält.

Findest du zu einem dieser drei Punkte nichts, ist das selbst eine Auskunft. Das heißt nicht, dass der Anbieter unsicher arbeitet. Es heißt, dass du es nicht überprüfen kannst und die Höhe deines dort liegenden Guthabens entsprechend wählen solltest. Bei Bitcoin und anderen Beständen, die du über Monate hältst, spricht wenig dafür, sie auf einem Handelsplatz liegen zu lassen.

Was im vierten Quartal die Richtung vorgibt

Ob die Zahl im vierten Quartal sinkt, hängt an zwei Entwicklungen. Die erste ist der Prüfumfang: Solange Audits den Vertrag abdecken und die Verwahrung außen vor lassen, bleibt der Weg offen, über den 77 Prozent der Verluste liefen. Die zweite ist der Umgang mit bekannten Lücken. Ein Teil des Schadens entstand an Stellen, für die es bereits eine Korrektur gab.

Beides lässt sich von außen beobachten. Veröffentlicht ein Anbieter einen erweiterten Prüfumfang, ist das ein belastbares Signal. Bleibt es beim alten Bericht mit altem Datum, ändert sich an der Lage nichts, egal wie das Siegel aussieht.

Krypto-Audits: Ein Siegel ohne Datum und Umfang sagt dir nichts

Drei Schritte, mit denen du die Erkenntnis aus dem Hacken-Bericht auf dein eigenes Depot anwendest:

1. Bestand aufteilen. Lege fest, welchen Betrag du für den laufenden Handel auf einer Börse brauchst, und bringe den Rest in eigene Verwahrung. Die Geräte und ihre Unterschiede stehen im Hardware-Wallet-Vergleich.
2. Handelsplatz prüfen. Sieh für den Teil, der liegen bleibt, Zulassung und Audit-Datum deines Anbieters nach. Die Übersicht der regulierten Krypto-Börsen zeigt, wer in Deutschland unter MiCA-Aufsicht steht.
3. Bezugsweg sichern. Kaufe ein Verwahrgerät ausschließlich beim Hersteller oder bei einem benannten Händler und richte es selbst ein. Für die Abwägung zwischen Gerät und App hilft der Software-Wallet-Vergleich.

(Stand: 18. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebuehrenmodelle aendern sich; pruefe die Konditionen vor jedem Kauf beim Anbieter selbst.)