Velocity ersetzt Drift nach dem 285-Millionen-Hack: Das ändert sich für Anleger in Deutschland

Der Perpetual-Handelsplatz Drift auf Solana heißt seit dem Neustart Velocity, und seit dem 29. September 2026 führt ihn ein anderes Team. Mitgründerin Cindy Leow hat ihre Rolle abgegeben, fünf Monate nachdem Angreifer am 1. April rund 285 Millionen Dollar aus den Vaults der Börse abgezogen hatten. Für dich ist das mehr als ein Namenswechsel: Der Handel wird jetzt in USDT abgerechnet statt in USDC, mehrere Funktionen sind verschwunden, und eine MiCA-Zulassung für den deutschen Markt liegt weiterhin nicht vor.

Ein Perp-DEX ist eine dezentrale Börse für unbefristete Terminkontrakte, auf der du mit Hebel auf Kursbewegungen setzt, ohne den Coin selbst zu besitzen. Das Geld liegt dabei nicht bei einer Bank, sondern in Smart Contracts, den sogenannten Vaults. Genau diese Vaults waren im April das Ziel.

Velocity ersetzt Drift: Der Neustart in Zahlen

Der Weg zurück lief in Etappen. Am 17. September 2026 legte das Projekt seinen Programmcode offen. Am 21. September fiel die Whitelist, mit der zuvor nur ausgewählte Konten handeln durften, und die öffentliche Beta stand allen offen. Am 29. September folgte der Personalwechsel an der Spitze.

Leow begründete ihren Abgang auf X mit der Phase, in der das Projekt jetzt steckt. Sinngemäß übersetzt sagte sie, ihre Stärke liege im Aufbau von null auf eins, und Velocity brauche nun Leute, die von eins auf zehn kommen; diesem Team traue sie das zu. Fünf Namen übernehmen: ein Verantwortlicher für Mittelrückholung und Strafverfolgung, ein Protokoll-Ingenieur, der vorher das Helium Network leitete, ein Produktchef mit Binance-Vergangenheit, eine Zuständige für Partnerschaften und ein Wachstumsverantwortlicher, der von Binance und Trust Wallet kommt.

Die Größenordnung, um die es geht, lässt sich an der Vorgeschichte ablesen. Drift hatte vor dem Angriff nach Angaben aus dem Umfeld des Projekts über 150 Milliarden Dollar Handelsvolumen abgewickelt. Solanas Perp-Plattformen zusammen kamen bis August 2026 auf 1,08 Billionen Dollar kumuliertes Volumen. Der eigene Token DRIFT notiert zum Monatswechsel bei rund 0,019 Dollar und liegt damit weit jenseits der großen Namen; auf der Rangliste nach Marktwert steht er um Platz 1.080.

Der Angriff vom 1. April: 285 Millionen Dollar aus den Vaults

Am 1. April 2026 flossen rund 285 Millionen Dollar aus den Vaults ab. Vor dem Angriff lagen mehr als 550 Millionen Dollar im Protokoll gebunden, der Abfluss entsprach damit etwa der Hälfte des gesamten hinterlegten Werts. TVL, kurz für Total Value Locked, bezeichnet die Summe aller Einlagen, die in den Verträgen eines Protokolls stecken.

Diese Zahl ordnet den Fall ein. Im September 2026 summierten sich die Verluste aus Krypto-Angriffen branchenweit auf 766 Millionen Dollar. Ein einzelner Vorfall von 285 Millionen Dollar gehört damit in die oberste Kategorie dessen, was in diesem Jahr passiert ist, und er traf keinen Nebenschauplatz, sondern einen der aktivsten Handelsplätze im Solana-Ökosystem.

Gefälschter Collateral-Token: Der Angriffsweg im Detail

Der technische Hebel war ein gefälschter Sicherheiten-Token. Collateral ist das Pfand, das du hinterlegst, damit die Börse dir eine gehebelte Position erlaubt; der Vertrag rechnet seinen Wert gegen dein Risiko. Gelingt es, einen wertlosen Token als werthaltiges Pfand anerkennen zu lassen, lässt sich gegen Luft eine echte Auszahlung ziehen.

Davor stand kein technischer Einbruch, sondern Social Engineering. Die Angreifer verschafften sich nach der Darstellung des Projekts Administrationsrechte, indem sie über Monate Vertrauen aufbauten und Menschen manipulierten. Leow sprach von einer sechs Monate lang vorbereiteten Infiltration. Das ist der Teil, der sich mit Programmcode allein nicht abfangen lässt: Wo ein Mensch die Berechtigung vergibt, ist der Mensch der Angriffspunkt.

Für dich als Nutzerin oder Nutzer eines Handelsplatzes folgt daraus eine unbequeme Einsicht. Ein Protokoll kann sauber programmiert und mehrfach geprüft sein und trotzdem fallen, weil jemand mit erweiterten Rechten getäuscht wurde. Wer Guthaben dauerhaft auf einer Börse liegen lässt, trägt dieses Risiko mit. Eine Übersicht darüber, welche Handelsplätze für Perpetuals überhaupt in Frage kommen und wie sie bei Verwahrung und Absicherung aufgestellt sind, findest du im Vergleich der Perp-DEX.

Nordkorea-Zuschreibung: Was Mandiant und TRM Labs festhalten

Die Forensikfirmen Mandiant und TRM Labs führen den Angriff auf einen Akteur mit Bezug zu Nordkorea zurück. Leow selbst nannte es einen Angriff auf staatlicher Ebene. Wichtig ist der Unterschied zwischen Zuschreibung und Beweis: Solche Analysen stützen sich auf Spuren in Transaktionsketten, auf wiederkehrende Werkzeuge und auf Muster im Vorgehen der Täter. Ein Gericht hat darüber nicht entschieden, und die Firmen formulieren ihre Ergebnisse als Einschätzung.

Für die Bewertung des Falls bleibt die Zuschreibung dennoch erheblich. Staatlich gestützte Gruppen arbeiten mit längerem Vorlauf und größeren Mitteln als Gelegenheitstäter. Wer einen Handelsplatz nutzt, der ins Visier solcher Gruppen gerät, kann nicht davon ausgehen, dass ein Audit allein ausreicht.

Tether stellt 127,5 Millionen Dollar: Der Aufbau des Rettungspakets

Zwei Wochen nach dem Angriff, am 16. April 2026, stand die Finanzierung für die Rückkehr. Tether sagte bis zu 127,5 Millionen Dollar zu, weitere Partner brachten 20 Millionen Dollar ein. In der Summe standen damit bis zu 147,5 Millionen Dollar bereit, also knapp 150 Millionen und etwa die Hälfte des Abflusses.

Diese Rechnung ist der Grund, warum der Neustart überhaupt möglich war, und zugleich der Punkt, an dem du genau hinsehen solltest. Ein Paket über rund 147 Millionen Dollar deckt 285 Millionen Dollar nicht ab. Wie die Mittel im Einzelnen auf Einlagen verteilt wurden und welche Ansprüche in welcher Höhe bedient sind, lässt sich aus den öffentlichen Mitteilungen nicht ableiten. Wer damals Guthaben auf der Plattform hatte, klärt den eigenen Stand deshalb direkt im Konto und nicht über Zusammenfassungen Dritter.

Bemerkenswert ist auch, wer hier einspringt. Nicht ein Einlagensicherungsfonds nach gesetzlichem Muster trägt den Fall, sondern ein Stablecoin-Emittent und eine Reihe privater Partner. Eine gesetzliche Pflicht dazu gab es nicht. Genau dieser Unterschied zur regulierten Welt ist der Kern dessen, was für dich in Deutschland zählt.

USDT statt USDC: Die Umstellung beim Settlement

Velocity rechnet anders ab als Drift. Das Settlement, also die Währung, in der Gewinne, Verluste und Sicherheiten verbucht werden, läuft jetzt über Tethers USDT statt über Circles USDC. Spot-Märkte bleiben nur noch für Sicherheiten, Besicherung von Krediten und Verleihen bestehen; der Handel selbst konzentriert sich auf Perpetuals.

Die Umstellung hat praktische Folgen. Wenn du USDC hältst, brauchst du einen Tauschschritt, bevor du handeln kannst, und jeder Tausch kostet Gebühr und Zeit. Dazu verschiebt sich das Emittentenrisiko: Du hängst beim Settlement an der Bonität und der Reservepolitik eines anderen Herausgebers. Beide Stablecoins sind groß, USDT führt die Rangliste der Stablecoins nach Marktwert an und notiert stabil bei rund einem Dollar, aber es ist eine andere Zusage von einem anderen Unternehmen.

Der engere Funktionsumfang ist dabei kein Rückschritt, sondern eine Entscheidung. Weniger Produkte bedeuten weniger Schnittstellen, an denen etwas schiefgehen kann. Wer isolierte Märkte oder Hebelprodukte außerhalb der Perpetuals gesucht hat, findet sie hier nicht mehr und muss einen anderen Handelsplatz nutzen.

OtterSec und Asymmetric Research: 154 Feststellungen im Audit

Vor dem Neustart ließ das Team den Code prüfen. OtterSec führte die Sicherheitsprüfung durch und notierte 154 Feststellungen, von denen nach Darstellung des Berichts keine als kritisch eingeordnet wurde. Asymmetric Research nahm sich die operative Sicherheit vor, also Abläufe, Rechteverwaltung und den Umgang mit Schlüsseln. Seit dem 17. September liegt der Code offen, Dritte können also selbst nachsehen.

154 Feststellungen klingen nach viel und sind es nicht. Ein Prüfbericht listet jede Auffälligkeit, von der stilistischen Anmerkung bis zum echten Fehler, und die Einordnung in Schwereklassen trägt die Information. Entscheidend ist der zweite Teil des Befunds: Dass keine Feststellung als kritisch gilt, deckt den Programmcode ab. Den Angriffsweg von April, der über getäuschte Menschen und vergebene Rechte lief, deckt ein Code-Audit nicht ab. Dafür steht die Prüfung der operativen Sicherheit, und deren Ergebnisse sind schwerer von außen zu beurteilen als eine Liste von Code-Fundstellen.

Wie belastbar ein Handelsplatz ist, zeigt sich für dich an drei nachprüfbaren Dingen: ob Prüfberichte öffentlich und datiert vorliegen, ob der Code offen ist, und ob jemand für Ausfälle haftet. Die ersten zwei Punkte erfüllt Velocity. Beim dritten wird es dünn, und hier hilft der Blick auf regulierte Kryptobörsen, deren Pflichten gesetzlich festgeschrieben sind.

Perp-DEX ohne MiCA-Zulassung: Die Rechtslage für deutsche Nutzer

MiCA, die EU-Verordnung über Märkte für Kryptowerte, regelt seit 2024 schrittweise, wer in der Europäischen Union Kryptodienstleistungen anbieten darf. Ein Anbieter mit Zulassung unterliegt Anforderungen an Eigenkapital, Trennung von Kundengeldern, Beschwerdeverfahren und Aufsicht durch eine Behörde; in Deutschland ist das die BaFin. Welche Pflichten dabei auf Unternehmen zukommen, haben wir in der Übersicht zur MiCA-Lizenz und ihren Pflichten zusammengestellt.

Velocity tritt nicht als zugelassener Anbieter in der EU auf. Damit greifen die Schutzmechanismen von MiCA für dich nicht. Es gibt keine Aufsicht, an die du dich bei einem Streit wenden kannst, keine gesetzliche Pflicht zur Trennung von Kundengeldern und keine Einlagensicherung. Dass im April private Mittel eingesammelt wurden, zeigt den Unterschied deutlich: Dort entschieden Unternehmen freiwillig, hier hätte eine Behörde Vorgaben gemacht.

Das ist kein Sonderfall dieses Anbieters, sondern die Regel bei dezentralen Terminbörsen. Dieselbe Lage gilt bei Hyperliquid, das ebenfalls ohne MiCA-Zulassung aus Deutschland erreichbar ist. Technisch nutzbar und rechtlich geschützt sind zwei verschiedene Dinge.

Hebel und Liquidation: Das Risiko bleibt unverändert

Am Produkt selbst hat der Neustart nichts geändert. Ein Perpetual läuft ohne Verfallstag, und die Finanzierungsrate, englisch Funding Rate, gleicht in regelmäßigen Abständen die Differenz zum Kassakurs aus; je nach Marktlage zahlst du sie oder bekommst sie. Liquidation heißt, dass die Börse deine Position automatisch schließt, sobald dein Pfand die Verluste nicht mehr deckt. Bei hohem Hebel reicht dafür eine Kursbewegung von wenigen Prozent.

Der Markt dazu ist derzeit ruhig und das täuscht leicht. Solana notiert zum Monatswechsel bei rund 118 Dollar und hat in zwei Monaten etwa 63 Prozent zugelegt, von ungefähr 73 Dollar aus. Die DeFi-Einlagen auf Solana stehen wieder bei 6,5 Milliarden Dollar, ein Plus von 38 Prozent in zwei Monaten. Rechnet man die Erholung jedoch in SOL statt in Dollar, relativiert sie sich: Bei 63 Prozent Kursgewinn und 38 Prozent Plus beim Dollarwert liegt in der Summe eher weniger SOL in den Protokollen als vorher. Eine steigende Dollarzahl ist kein Beweis für zurückgekehrtes Vertrauen.

Steuer auf Perp-Gewinne: Die Haltefrist greift hier nicht

Bei Kryptowerten, die du direkt hältst, ist ein Gewinn nach einem Jahr Haltedauer in Deutschland steuerfrei; innerhalb des Jahres greift die Freigrenze für private Veräußerungsgeschäfte. Diese Logik stammt aus Paragraf 23 des Einkommensteuergesetzes und setzt voraus, dass du ein Wirtschaftsgut gekauft und wieder verkauft hast.

Bei einem Perpetual kaufst du den Coin nicht. Du hältst einen Terminkontrakt, und Gewinne daraus werden regelmäßig als Einkünfte aus Kapitalvermögen nach Paragraf 20 des Einkommensteuergesetzes behandelt, mit der Abgeltungsteuer und den dort geltenden Verrechnungsbeschränkungen für Verluste aus Termingeschäften. Eine Haltefrist, nach der etwas steuerfrei wird, gibt es dort nicht. Die Einordnung im Einzelfall hängt an deiner Gesamtsituation, und die Rechtslage zu Termingeschäften ist in Bewegung; eine steuerliche Beratung ersetzt dieser Text nicht. Was du unabhängig davon brauchst, ist eine vollständige Aufzeichnung jeder Position, und dafür braucht es eine saubere Dokumentation jeder Position.

Velocity und Drift: Deine nächsten drei Schritte

1. Alten Kontostand klären. Hattest du im April Guthaben auf Drift, rufe deinen Stand im Konto selbst auf und halte fest, was von den Ansprüchen bedient ist. Das Rettungspaket über bis zu 147,5 Millionen Dollar deckt den Abfluss von 285 Millionen Dollar nicht vollständig, Zusammenfassungen von außen ersetzen den eigenen Blick nicht; für die Dokumentation deiner Positionen nutzt du Steuer-Tools und Portfolio-Tracker.
2. Settlement-Wechsel einplanen. Rechne durch, was der Tausch von USDC auf USDT dich an Gebühr kostet, und entscheide, wie viel Guthaben du überhaupt dauerhaft auf einer Börse ohne MiCA-Zulassung liegen lässt. Alternativen mit gesetzlicher Aufsicht stehen im Vergleich der regulierten Kryptobörsen.
3. Bestände von der Börse trennen. Was du langfristig hältst, gehört nicht auf einen Handelsplatz, sondern in eigene Verwahrung; nur die Mittel für offene Positionen bleiben dort. Welche Geräte dafür taugen, zeigt der Vergleich der Hardware-Wallets.

Die Primärquelle zum Neustart ist der Auftritt der Börse Velocity. Die Zahlen zu Abfluss und Erholung der Einlagen auf Solana hat Crypto Briefing zusammengetragen.

(Stand: 1. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)