32 Angriffe, 6,5 Milliarden Dollar: Im Oktober versagte die Infrastruktur, nicht der Smart Contract

Im Oktober 2026 sind dem Kryptomarkt knapp 6,5 Milliarden Dollar abhanden gekommen, und fast alles davon floss über kompromittierte Infrastruktur ab: über Mitarbeiterrechner, Signatursysteme, Build-Prozesse und Webseiten. Nur ein kleiner Teil des Schadens geht auf Fehler in Smart Contracts zurück, also auf den Teil der Technik, über den die Branche seit Jahren diskutiert und für den sie Prüfberichte bezahlt. Für dich als Anleger heißt das: Ein Projekt mit sauberem Prüfbericht kann dein Geld trotzdem verlieren, wenn der Zugang zu seinen Servern offen steht.

Diese Auswertung hat cryptoticker.io am 30. Oktober 2026 selbst erhoben. Grundlage ist das öffentliche Hackregister von DefiLlama, das jeden gemeldeten Vorfall mit Datum, Schadenssumme und Angriffsweg führt. Ausgezählt wurden alle 32 Einträge mit einem Datum zwischen dem 1. und dem 30. Oktober 2026.

6,46 von 6,50 Milliarden Dollar: Sieben Vorfälle tragen fast den ganzen Schaden

Die 32 Vorfälle des Monats summieren sich auf 6,495 Milliarden Dollar. Davon entfallen 6,461 Milliarden Dollar auf sieben Einträge, die das Register unter Frontend und Infrastruktur führt. Das sind 99,5 Prozent der Summe bei 22 Prozent der Fälle.

Die Gegenrechnung macht das Bild deutlicher. Alle Kategorien, bei denen tatsächlich die Programmlogik eines Vertrags versagte oder ausgenutzt wurde, kommen zusammen auf weniger als 16 Millionen Dollar: fehlerhafte Anteilsberechnungen in zehn Fällen (5,1 Millionen), Governance-Angriffe in drei Fällen (4,8 Millionen), zwei Brückenvorfälle (4,6 Millionen), eine Preisorakel-Manipulation (1,3 Millionen) sowie je ein Fall fehlender Eingabeprüfung und fehlerhafter Auszahlungslogik. Vier weitere Vorfälle laufen unter kompromittierten Schlüsseln und kosteten 17,3 Millionen Dollar, der größte davon 16 Millionen bei der indischen Börse CoinDCX am 21. Oktober.

Frontend und Infrastruktur: Was diese Kategorie von einem Smart-Contract-Bug unterscheidet

Ein Smart-Contract-Bug ist ein Fehler im Programmcode, der auf der Blockchain liegt. Er ist öffentlich lesbar, er lässt sich prüfen, und wer ihn findet, kann ihn ausnutzen, bis der Vertrag ersetzt wird.

Ein Infrastrukturangriff zielt auf alles, was um diesen Code herum steht: den Rechner eines Entwicklers, den Server, der Auszahlungen anstößt, die Software-Bibliothek, aus der eine Webseite gebaut wird, das System, das Transaktionen signiert. Der Code auf der Blockchain bleibt dabei unverändert. Er führt nur aus, was ihm ein Angreifer aus einer Position heraus aufträgt, die das System als berechtigt ansieht.

Das ist der entscheidende Unterschied für deine Einschätzung eines Anbieters: Beim ersten Fall hilft ein Prüfbericht. Beim zweiten zählt, wie ein Unternehmen seine internen Zugänge, seine Freigabeprozesse und seine Lieferanten im Griff hat, und das steht in keinem öffentlichen Dokument.

Der Binance-Vorfall vom 29. Oktober: 6,3 bis 6,36 Milliarden Dollar über das Signatursystem

Der größte Einzelposten des Monats ist der Angriff auf Binance am Abend des 29. Oktober. Das Hackregister führt 6,36 Milliarden Dollar, Binance selbst beziffert die Auswirkung auf rund 6,3 Milliarden Dollar; die Analysefirma Chainalysis kommt laut Medienberichten auf 5,9 Milliarden. Die Mittel verließen die Wallets der Börse innerhalb von etwa 20 Minuten über zehn Blockchains hinweg.

Zur Ursache hat Binance einen vorläufigen Befund veröffentlicht: Über den kompromittierten Rechner eines DevOps-Mitarbeiters habe ein Angreifer Zugang zu einem Dienst-Container erlangt und von dort unautorisierte Auszahlungen angestoßen. Ein Leck privater Wallet-Schlüssel habe sich bislang nicht belegen lassen, teilte das Unternehmen mit; die Untersuchung des vollständigen Angriffswegs laufe noch. Wie der Rechner kompromittiert wurde und wie lange der Zugriff bestand, ist offen. Die Börse hat zugesagt, alle Verluste über ihren Reservefonds und eigene Mittel zu tragen, hat Auszahlungen vorübergehend ausgesetzt und den Auszahlungsdienst umgebaut. Eingefroren wurden nach Unternehmensangaben rund 3 Milliarden Dollar, verifiziert bestätigt waren zuletzt 2,54 Milliarden. Die technische Rekonstruktion der Signaturen hat cryptoticker.io im Detail nachgezeichnet.

Die Sicherheitsfirma TRM Labs ordnet den Angriff mit nach eigenen Worten hoher Zuversicht der nordkoreanisch verbundenen Gruppe TraderTraitor zu. Das ist eine Einschätzung eines privaten Analysehauses, keine behördliche Feststellung; eine staatliche Bestätigung liegt bislang nicht vor.

Lieferkettenangriff: 93 Millionen Dollar über eine manipulierte Software-Bibliothek

Ein Lieferkettenangriff schiebt Schadcode in eine Komponente, die viele Anbieter gemeinsam benutzen, und erreicht so alle ihre Nutzer zugleich. Der zweitgrößte Posten des Monats fällt in diese Kategorie: Am 9. Oktober flossen 93 Millionen Dollar über einen Angriff ab, der dem Wallet-Hersteller Ledger zugerechnet wird. Was dort geschah und welche Nutzer betroffen waren, hat cryptoticker.io zum Zeitpunkt des Vorfalls aufgeschrieben.

Dasselbe Muster taucht im Monat dreimal weiter unten in der Liste auf: beim Handelsbot Bloom am 26. Oktober mit 953.000 Dollar, bei der Wettplattform Polymarket am 29. Oktober mit 2,7 Millionen Dollar nach Registerangabe und 3,0 bis 3,1 Millionen nach Medienberichten, sowie bei Predict Fun am 27. Oktober mit 400.000 Dollar. Bei der Glücksspielplattform Gamdom gingen am 13. Oktober 4,2 Millionen Dollar über einen Schlüssel verloren, der über die Infrastruktur abfloss.

Für dich ist daran ein Punkt praktisch wichtig: Bei einem Frontend-Angriff sieht die Webseite aus wie immer. Die Adresse in der Browserzeile stimmt, das Zertifikat stimmt, und die Seite liegt auf dem richtigen Server. Verändert ist nur, was die Seite deiner Wallet zur Unterschrift vorlegt.

Smart-Contract-Prüfberichte decken den Code ab, nicht die Build-Pipeline

Ein Audit prüft, was ein Vertrag tut, wenn er unverändert auf der Blockchain läuft. Die Build-Pipeline, also der Weg vom Quellcode einer Webseite oder App bis zu der Fassung, die bei dir im Browser ankommt, steht außerhalb dieses Prüfrahmens. Genauso wenig gehören der Rechner eines Mitarbeiters, die Rechteverwaltung in der Firma oder das Signatursystem einer Börse dazu.

Die Oktoberzahlen sagen deshalb nicht, dass Audits nutzlos sind. Der Befund ist ein anderer: Die Prüfplakette auf einer Projektseite gibt dir über die größte Schadensquelle des Monats keine Auskunft. Wer aus der Zahl 99,5 Prozent einen Schluss für die eigene Verwahrung zieht, landet nicht beim besseren Vertrag, sondern bei der Frage, wie viel fremder Infrastruktur er sein Guthaben überhaupt aussetzt. Einen Überblick über Geräte, mit denen Schlüssel das eigene Haus nicht verlassen, findest du im Vergleich der Hardware-Wallets.

MiCA: Was eine Börse in Deutschland zur Verwahrung schuldet

Seit der europäische Rechtsrahmen MiCA greift, brauchen Anbieter, die Kundengelder in Kryptowerten verwahren, eine Zulassung und müssen Kundenbestände getrennt von eigenen Mitteln halten. Das verhindert keinen Angriff. Es entscheidet aber darüber, wer im Schadensfall haftet, wer gegenüber der Aufsicht Auskunft geben muss und welche Meldepflichten bei einem Sicherheitsvorfall gelten. Welche Pflichten im Einzelnen gelten und bis wann, steht in unserer Übersicht zu den MiCA-Pflichten für Krypto-Unternehmen.

Ein wichtiger Unterschied zum Bankkonto bleibt: Es gibt für Kryptoguthaben keine gesetzliche Einlagensicherung. Reservefonds wie der von Binance sind freiwillige Zusagen eines Unternehmens, keine staatliche Garantie. Ob eine Plattform in Deutschland reguliert auftritt, kannst du vor dem Einzahlen prüfen; welche Anbieter mit europäischer Zulassung arbeiten, zeigt unser Vergleich regulierter Kryptobörsen.

Blind Signing: Die Hardware-Wallet zeigt, was die App verschweigt

Blind Signing heißt, eine Transaktion zu bestätigen, deren Inhalt das Gerät nicht im Klartext anzeigt. Genau hier greift ein Frontend-Angriff: Die manipulierte Oberfläche zeigt dir einen harmlosen Vorgang, während die zur Unterschrift vorgelegten Daten etwas anderes bewirken.

Eine Hardware-Wallet hilft gegen diesen Angriff nur, wenn du den Gerätebildschirm tatsächlich liest und mit dem vergleichst, was die Webseite behauptet: Empfängeradresse, Betrag und Art des Vorgangs. Weicht eines davon ab, brichst du ab. Das Gerät ist dabei die zweite, unabhängige Anzeige; sein Wert liegt nicht im Besitz, sondern im Hinsehen.

Token-Freigaben: Der Hebel, den ein Angreifer am längsten behält

Eine Token-Freigabe, auf Englisch Approval, erlaubt einem Smart Contract, eine bestimmte Menge deiner Token zu bewegen. Viele Anwendungen fragen eine unbegrenzte Freigabe ab, weil das bequem ist und Gebühren spart. Diese Erlaubnis bleibt bestehen, bis du sie entziehst, und sie wirkt auch dann noch, wenn du die Anwendung längst nicht mehr benutzt.

Übernimmt jemand das Frontend einer Anwendung, mit der du eine offene Freigabe hast, braucht er deinen Schlüssel nicht. Deshalb gehört die Liste der erteilten Freigaben zu den wenigen Dingen, die du ohne Fachwissen selbst prüfen und kürzen kannst. Sinnvoll ist, Freigaben auf den Betrag zu begrenzen, den ein Vorgang wirklich braucht, und alte Freigaben regelmäßig zu entziehen.

Marktreaktion: Der Kurs zeigt den Schaden nur gedämpft

Auf den Kurs schlug der größte Diebstahl der Branchengeschichte vergleichsweise verhalten durch. Bitcoin notierte am Morgen des 30. Oktober bei rund 77.800 Dollar und lag damit 2,5 Prozent unter dem Stand 24 Stunden zuvor, Ether mit rund 2.222 Dollar etwa 3,9 Prozent darunter. Ein Teil der Erklärung liegt in den eingefrorenen Mitteln: Stablecoin-Herausgeber können Guthaben auf Zuruf sperren, und Milliardenbeträge, die nie liquidiert werden, erzeugen auch keinen Verkaufsdruck.

Die zweite Hälfte der Erklärung ist unbequemer. Wenn ein Vorfall dieser Größe den Markt kaum bewegt, fehlt den Plattformen der unmittelbare finanzielle Anreiz, ihre internen Zugänge teuer abzusichern. Ein Nachweis dafür steht aus; es ist eine Einschätzung, keine belegte Tatsache.

Was im November von den Oktoberzahlen bleibt

Das Register verzeichnet sieben Infrastrukturvorfälle in einem Monat, und mehrere davon trafen Plattformen, die in Deutschland beworben werden. Eine Wiederholung ist weder angekündigt noch ausgeschlossen. Was sich dagegen heute entscheiden lässt, ist die Frage, wie viel deines Bestands überhaupt auf einer Plattform liegt, deren Innenleben du nicht einsehen kannst.

Eine Faustregel aus den Zahlen: Guthaben, das du in den nächsten Wochen handeln willst, gehört auf eine zugelassene Börse. Guthaben, das du länger hältst, gehört dorthin, wo kein fremder Dienst-Container Auszahlungen anstoßen kann.

Krypto-Hacks: 99 Prozent des Schadens lief über die Infrastruktur

1. Bestand aufteilen. Lege fest, welcher Anteil auf der Börse bleibt und welcher in eigene Verwahrung geht. Für den zweiten Teil gibt der Hardware-Wallet-Vergleich die Geräteauswahl.
2. Zulassung der Plattform prüfen. Sieh nach, ob dein Anbieter mit europäischer Zulassung arbeitet und Kundenbestände getrennt hält; der Vergleich regulierter Kryptobörsen ordnet die großen Anbieter ein.
3. Freigaben kürzen. Geh die erteilten Token-Freigaben deiner Wallet durch, entziehe alte und begrenze neue auf den nötigen Betrag. Welche Pflichten die Anbieterseite dabei treffen, steht in der MiCA-Übersicht.

Die Rohdaten dieser Auszählung stehen im öffentlichen Hackregister von DefiLlama; die Zuschreibung des Binance-Angriffs stammt aus der Analyse von TRM Labs.

(Stand: 30. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)