Die Kryptoindustrie verlor 2025 einen Rekordbetrag von 3,4 Milliarden US-Dollar durch Hacks, doch die entscheidende Geschichte handelt nicht von fehlerhaftem Solidity-Code. Es geht um kompromittierte Entwickler-Laptops, gestohlene Cloud-Zugangsdaten, monatelange Social-Engineering-Kampagnen und Multisig-Wallets ohne Timelocks.
TL;DR
- Infrastruktur- und operative Fehler verursachten 2025 76 % aller Krypto-Hack-Verluste, während Smart-Contract-Exploits nur 12 % ausmachten
- Nordkoreanische, staatlich gesteuerte Hacker stahlen 2025 2,02 Milliarden US-Dollar, rund 60 % aller globalen Krypto-Diebstähle, und nutzten Spionagetaktiken statt Code-Exploits
- Audits, Bug-Bounties und die Code-Qualität on-chain verbessern sich, doch die Angriffsfläche hat sich weit über den Bereich hinaus ausgedehnt, den diese Werkzeuge abdecken
Die Zahlen zeigen, dass das Problem größer, nicht kleiner wird
Mehrere Sicherheitsfirmen converge auf dieselbe Schlussfolgerung: 2025 war das teuerste Jahr in der Geschichte der Krypto-Sicherheit. Chainalysis meldete 3,4 Milliarden US-Dollar an gestohlenen Geldern, ein Plus von 55 % gegenüber 2,2 Milliarden im Jahr 2024. CertiK documented 3,35 Milliarden US-Dollar über 630 Vorfälle. Es gab weniger Angriffe als 2024, aber die durchschnittliche Auszahlung pro Vorfall stieg um 66,6 % auf 5,32 Millionen US-Dollar.
Die Konzentration der Daten ist extrem. Die drei größten Hacks des Jahres 2025 machten 69 % aller Service-Level-Verluste aus. Der Bybit-Einbruch allein entzog am 21. Februar 2025 1,46 Milliarden US-Dollar und stand damit für rund 43 % des gesamten Jahresdiebstahls.
Entfernt man Bybit, sinken die Verluste 2025 auf etwa 1,5 bis 1,9 Milliarden US-Dollar. Das ist immer noch erhöht, aber näher an den Werten von 2024.
Der Verlauf reveals eine Branche, in der sich die systemische Sicherheit für das durchschnittliche Protokoll verbessert hat, während katastrophale Tail-Risiken aus Infrastrukturkompromittierungen deutlich schlimmer geworden sind.
Q1 2025 war das schlechteste Quartal in der Krypto-Geschichte. Immunefi tracked 1,64 Milliarden US-Dollar über 40 Vorfälle, ein 4,7-facher Anstieg gegenüber den 348 Millionen US-Dollar in Q1 2024. CeFi war für 94 % der Verluste im ersten Quartal verantwortlich, getrieben von nur zwei Vorfällen: Bybit und Phemex (85 Millionen US-Dollar).
DeFi-Verluste fielen im ersten Quartal im Jahresvergleich tatsächlich um 69 %. Die Sicherheit des Codes on-chain hat sich real verbessert, während die operative Sicherheit kollabierte.
Frühe Daten aus 2026 shows zeigen, dass sich der Trend fortsetzt. CertiK meldete Verluste von 501 Millionen US-Dollar im ersten Quartal 2026 über 145 Ereignisse. Der Drift Protocol-Hack am 1. April 2026 zog in 12 Minuten 285 Millionen US-Dollar ab, ausgelöst durch eine sechsmonatige Social-Engineering-Operation. Raffinierte, auf Menschen abzielende Angriffe bleiben der primäre Bedrohungsvektor zu Beginn des Jahres 2026.
Also Read: Why The U.S. Treasury Is Now Sharing Cyber Threat Data With Crypto Firms
Smart-Contract-Bugs sind weiterhin wichtig, aber sie sind nicht mehr die ganze Geschichte
Smart-Contract-Schwachstellen remain stellen nach wie vor die Mehrheit der Vorfälle nach Anzahl dar und machen 54,5 % aller Exploits aus. Mehrere bedeutende Code-Level-Hacks in den Jahren 2025 und 2026 bewiesen, dass traditionelle On-Chain-Risiken bestehen und sich weiterentwickeln.
Der Cetus Protocol-Hack (223 Millionen US-Dollar, 22. Mai 2025) war ein Lehrbuchbeispiel für einen Logikfehler. Ein Integer-Overflow in einer gemeinsam genutzten Mathematikbibliothek namens „integer-mate“ ließ eine Overflow-Prüfung stillschweigend fehlschlagen. Der Angreifer minted riesige Liquiditätspositionen zu vernachlässigbaren Kosten.
Cetus war dreimal von MoveBit, OtterSec und Zellic auditiert worden. Das Zellic-Audit fand keine Probleme außer informativen Hinweisen. Die Schwachstelle existierte in einer Drittanbieter-Abhängigkeit und nicht im eigenen Code von Cetus – ein Beispiel dafür, wie zusammensetzbare Ökosysteme Risiken aus ihrem gesamten Abhängigkeitsgraphen erben.
Weitere bemerkenswerte Smart-Contract-Exploits umfassen:
- Die GMX-v1-Reentrancy (42 Millionen US-Dollar, Juli 2025), ein Beweis dafür, dass Reentrancy weiterhin Opfer fordert – nun durch neuere Cross-Contract-Varianten
- Den Balancer-Rundungs-Exploit (70 bis 128 Millionen US-Dollar, November 2025), der winzige Rundungsfehler über Hunderte Batch Swaps ansammelte – eine Klasse ökonomischer Angriffe, die Standard-Audits völlig übersehen
- Die Yearn Finance-Invarianzverletzung (9 Millionen US-Dollar, Dezember 2025), bei der ein Fehler in der Anteilskalkulation sowohl statische Analysetools als auch Fuzzer aushebelte
Der entscheidende Unterschied: Smart-Contract-Exploits führen tendenziell zu geringeren Verlusten pro Vorfall. TRM Labs calculated einen Durchschnitt von 6,7 Millionen US-Dollar pro Code-Exploit gegenüber 48,5 Millionen US-Dollar pro Infrastrukturangriff. Die Branche ist spürbar besser darin geworden, sicheren On-Chain-Code zu schreiben. Doch dieser Fortschritt wird von der katastrophalen Dimension operativer Fehler überlagert.
Also Read: Stablecoin Volume Could Hit $1.5 Quadrillion By 2035, Chainalysis Report Shows
Die menschliche Ebene: Wie Social Engineering zu einem Top-Krypto-Exploit wurde
Nordkoreanische, staatlich gesteuerte Hacker stellen die größte Einzelbedrohung für die Kryptoindustrie dar. Chainalysis attributed 2,02 Milliarden US-Dollar an Krypto-Diebstahl im Jahr 2025 Akteuren der DVRK zu – ein Anstieg um 51 % gegenüber 1,34 Milliarden im Jahr 2024 und etwa 60 % aller globalen Krypto-Diebstähle. Die kumulierte Summe erreichte bis Ende 2025 insgesamt 6,75 Milliarden US-Dollar.
Was diese Operationen auszeichnet, ist ihre Geduld.
Der Drift-Protocol-Angriff began mit Konferenzbekanntschaften im Herbst 2025, entwickelte sich über Monate des Beziehungsaufbaus und umfasste Einzahlungen von über 1 Million US-Dollar eigenen Kapitals der Angreifer, um Glaubwürdigkeit aufzubauen. Der eigentliche Abzug dauerte 12 Minuten.
Die DVRK-Taktiken haben sich weit über direkte Hacks hinaus diversifiziert:
- Die „Contagious Interview“-Kampagne targets Entwickler über gefälschte Jobangebote auf LinkedIn und Krypto-Jobbörsen und verteilt manipulierte Coding-Challenges, die Backdoors installieren
- Ein frei erfundenes Unternehmen namens „Veltrix Capital“ verteilte schädliche npm-Pakete, die ausdrücklich nach MetaMask-Browsererweiterungen suchten
- Im Mai 2025 entdeckte das Sicherheitsteam von Kraken identified einen nordkoreanischen Agenten, der sich unter dem Alias „Steven Smith“ für eine Entwicklerstelle bewarb – mit während des Interviews veränderter Stimme, was auf Coaching in Echtzeit hindeutete
- Das Programm zur Infiltration von IT-Mitarbeitern generiert laut UN-Schätzungen jährlich 250 bis 600 Millionen US-Dollar; ZachXBT enthüllte ein Netzwerk von 390 Konten, das rund 1 Million US-Dollar im Monat einbrachte
Der Coinbase-Einbruch (Mai 2025) demonstrated einen anderen Social-Engineering-Ansatz. Bestochene, im Ausland ansässige Kundensupport-Mitarbeiter exfiltrierten persönliche Daten von 69.000 Nutzern und ermöglichten nachgelagerte Phishing-Betrügereien mit geschätzten Schäden zwischen 180 und 400 Millionen US-Dollar. Die Smart Contracts wurden nie angetastet.
Also Read: Cardano Defies Bearish Trend With Record Transactions And Surging Whale Interest
Keys, Multisigs und Cloud: die versteckte Zentralisierung in Web3
Die versteckte Zentralisierung von Web3 ist vielleicht das am meisten unterschätzte systemische Risiko der Branche. Halborn found in seiner Analyse der 100 größten DeFi-Hacks, dass nur 19 % der gehackten Protokolle Multisig-Wallets verwendeten und lediglich 2,4 % Cold Storage einsetzten. Off-Chain-Angriffe machten in ihrem Datensatz 80,5 % der gestohlenen Gelder aus.
Trail of Bits published im Juni 2025 einen Reifegradrahmen für Smart-Contract-Zugriffskontrolle mit vier Stufen. Stufe 1 nutzt ein einzelnes externes Konto (EOA), was bedeutet: Ein kompromittierter Private Key = Totalverlust. Stufe 2 verwendet ein zentrales Multisig, behält aber einen einzelnen Kontrollpunkt. Stufen 3 und 4 ergänzen Timelocks, Rollentrennung und letztlich radikale Unveränderlichkeit.
Die Hacks bei Bybit, WazirX und Radiant Capital nutzten allesamt Architekturen der Stufe 2 aus. Der Drift-Protocol-Hack legte einen weiteren Zentralisierungsfehler offen: ein 2-von-5-Multisig ohne jegliche Timelocks auf administrativen Funktionen.
Cloud-Infrastruktur führt einen weiteren Zentralisierungsvektor ein. Der Resolv Labs-Hack (25 Millionen US-Dollar, März 2026) involved eine Kompromittierung des AWS Key Management Service.
Der Angreifer verschaffte sich Zugang zur Cloud-Umgebung, in der ein privilegierter Signing-Key gespeichert war, und nutzte ihn, um 80 Millionen ungedeckte Stablecoin-Token zu minten.
Resolv hatte 18 unabhängige Smart-Contract-Audits bestanden und ein Immunefi-Bug-Bounty von 500.000 US-Dollar eingerichtet. Keines von beidem deckte AWS-IAM-Richtlinien ab.
Viele „dezentralisierte“ Protokolle sind für ihre nutzerorientierten Interfaces vollständig von zentralisierten Infrastrukturprovidern abhängig. Das Frontend von Safe{Wallet} wurde auf AWS S3/CloudFront gehostet – ohne Subresource-Integrity-Hashing zur Erkennung von Codeänderungen. Diese Lücke ermöglichte den Bybit-Angriff.
Das Frontend-Problem: wenn Nutzer gehackt werden, bevor die Blockchain berührt wird
Eine wachsende Kategorie von Angriffen zielt auf die Web-Frontends von DeFi-Protokollen statt auf deren On-Chain-Verträge. In allen dokumentierten Fällen blieben die Smart Contracts sicher und funktionsfähig. Die Schwachstelle lag vollständig in der Web2-Infrastruktur-Schicht, die die Nutzer mit diesen Verträgen verbindet.
Curve Finance erlitt am 12. Mai 2025 einen DNS-Hijack, als Angreifer Zugriff auf den Domain-Registrar iwantmyname erhielten und die DNS-Delegation änderten, um den Traffic auf eine bösartige statische Köderseite umzuleiten.
Während der Frontend-Störung verarbeiteten die Smart Contracts von Curve über 400 Millionen US-Dollar On-Chain-Volumen, was zeigt, dass die Verträge einwandfrei funktionierten, während das Frontend zur Waffe wurde.
Dies war der zweite DNS-Angriff auf Curve über denselben Registrar. Curve migrierte anschließend zur Domain curve.finance und setzte sich für die branchenweite Einführung von ENS ein.
Aerodrome und Velodrome (21. Nov. 2025) verloren etwa 700.000 US-Dollar, als DNS-Hijacking Nutzer auf Phishing-Seiten umleitete. MetaMask und Coinbase Wallet zeigten innerhalb von zwei Minuten nach der ersten bösartigen Transaktion Warnungen an, aber Nutzer, die vor den Warnungen interagierten, verloren Gelder.
Zusätzliche DNS-Angriffe trafen Arrakis Finance (Jan. 2025), OpenEden (Feb. 2026) und Neutrl (März 2026).
Beim Neutrl-Angriff wurde bestätigt, dass er aus einem Social-Engineering-Angriff auf den DNS-Provider selbst hervorging.
Das Muster ist konsistent: den Domain-Registrar kompromittieren, DNS-Einträge ändern, Nutzer auf einen Phishing-Klon umleiten, Wallet-Genehmigungen abgreifen und Vermögenswerte abziehen. Domain-Registrare fungieren als zentralisierte Single Point of Failure für nominell dezentrale Protokolle.
Auch lesen: Cloudflare Follows Google, Sets 2029 Deadline To Go Quantum-Proof
Warum Audits nicht mehr ausreichen
Standard-Smart-Contract-Audits decken Schwachstellen auf Code-Ebene ab: Reentrancy, Überläufe, Fehler bei Zugriffskontrollen und bekannte Verwundbarkeitsmuster.
Sie decken in der Regel keine Frontend- und UI-Sicherheit, API- und Backend-Infrastruktur, Verwaltung von Admin-Keys, Social-Engineering-Vektoren, Supply-Chain-Angriffe auf Abhängigkeiten, DNS- und Domain-Sicherheit oder die Korrektheit von Wirtschaftsmodellen ab.
Trail of Bits stellte im Juni 2025 ausdrücklich fest, dass Private-Key-Angriffe ein aufkommender Vektor sind, den eng gefasste Smart-Contract-Audits und -Wettbewerbe regelmäßig übersehen. Das Unternehmen merkte an, dass blockchain-native Audit-Firmen architektonische Zugriffskontrollprobleme selten als formale Findings markieren.
Die Belege sind umfangreich:
- Cetus Protocol bestand drei Audits renommierter Firmen, bevor durch einen Fehler in einer Drittanbieter-Math-Bibliothek 223 Millionen US-Dollar verloren gingen
- Resolv Labs bestand 18 unabhängige Audits, bevor durch einen AWS-Infrastrukturkompromiss 25 Millionen US-Dollar verloren gingen
- Der Wallet-Provider Safe{Wallet} von Bybit wurde gründlich auditiert, aber die Schwachstelle war der kompromittierte Laptop eines Entwicklers
- Beim Balancer-Rounding-Exploit wurden Sub-Wei-Rundungsfehler über adversariale Batch-Swap-Sequenzen akkumuliert – eine Angriffsart, die durch standardmäßige Tests pro Operation nicht erkannt werden kann
Audits bleiben wertvoll. Nicht auditierte Protokolle haben im ersten Jahr eine Ausbeutungswahrscheinlichkeit von rund 70 % gegenüber 15 % bis 20 % bei auditierten. Aber die Abhängigkeit der Branche von „audited by X“ als Sicherheitszertifikat verkennt grundlegend, was Audits tatsächlich validieren. Sie sind Momentaufnahmen der Code-Korrektheit, keine umfassenden Sicherheitsbewertungen.
Auch lesen: Bitcoin Can Be Made Quantum-Safe Without An Upgrade, But There's A Catch
Wie sicheres Design nach der Hack-Welle 2026 aussieht
Vyper, die Python-artige Smart-Contract-Sprache, die 2017 von Vitalik Buterin entwickelt wurde, verkörpert eine Sicherheits-durch-Einfachheit-Philosophie, die im starken Kontrast zu Soliditys Funktionsreichtum steht. Vyper verzichtet bewusst auf Vererbung, Modifier, Operator-Overloading und Inline-Assembly.
Es bietet automatische Überlaufprüfungen, eingebaute Nonreentrant-Decorator, begrenzungsvalidierte Arrays und strikte Typisierung.
Über 7.959 Vyper-Verträge sichern derzeit mehr als 2,3 Milliarden US-Dollar an Total Value Locked.
Die Sprache sah sich im Juli 2023 einer eigenen Sicherheitskrise gegenüber, als eine Schwachstelle in den Reentrancy-Guards älterer Compiler-Versionen den Curve-Finance-Exploit ermöglichte. Die Reaktion war systematisch: 12 Audits mit Firmen wie ChainSecurity und OtterSec, zwei fest angestellte Sicherheitsexperten, zwei Bug-Bounty-Programme und ein Contract-Monitoring-System, das 30.000 Verträge über 23 Chains indexiert.
Die Entwicklung ist bis 2025 und 2026 aktiv geblieben. Version 0.4.2 „Lernaean Hydra“ (Mai 2025) verbot insbesondere das Aufrufen von Nonreentrant-Funktionen aus Nonreentrant-Funktionen und eliminierte damit eine ganze Klasse potenzieller Schwachstellen.
Zu den großen Anwendern gehören Curve Finance, Yearn Finance V3 und Velodrome/Aerodrome.
Vypers Designphilosophie, dass die entfernten Features wichtiger sind als die hinzugefügten, steht im Einklang mit dem aufkommenden Sicherheitskonsens. Wenn die dominanten Angriffsvektoren menschlich und operativ statt auf Code-Ebene sind, bietet eine Sprache, die besser lesbaren und auditierbaren Code erzeugt, echte strukturelle Vorteile.
Auch lesen: Only 10% Of New CEX Tokens Survive Their First Year, CoinGecko Data Reveals
Sicherheitskultur vs. Sicherheitstheater in Web3
Bug-Bounties haben sich herausgebildet als eine der kosteneffektivsten Verteidigungen. Immunefi hat über 112 Millionen US-Dollar an Bounties über mehr als 3.000 validierte Bug-Reports ausgezahlt. Meldungen mit kritischer Schwere machen 87,8 % aller Auszahlungen aus. Die Plattform beansprucht für sich, über 190 Milliarden US-Dollar an Nutzervermögen geschützt zu haben.
Die Ökonomie ist überzeugend. Die jemals gezahlten Bounties (112 Millionen US-Dollar) entsprechen etwa 3,3 % der Hacks-Verluste allein im Jahr 2025. Schon ein einziger verhinderter Exploit würde enorme Rendite bringen. Aktive Bounty-Programme haben inzwischen einen bedeutenden Umfang erreicht, mit Usual, das ein Maximum von 16 Millionen US-Dollar auf Sherlock anbietet, und Uniswap v4 mit 15,5 Millionen US-Dollar auf Immunefi.
Wettbewerbsorientierte Audit-Plattformen haben sich parallel zu traditionellen Bounties entwickelt. Code4rena veranstaltet Contests mit 16.600 registrierten Forschern und rund 100 Teilnehmern pro Audit.
Sherlock betreibt ein Full-Lifecycle-Modell, das Audit-Contests, Bug-Bounties und Versicherungsschutz kombiniert und über 100 Milliarden US-Dollar an Total Value Locked abgesichert hat.
Bug-Bounties teilen jedoch eine grundlegende Einschränkung mit Audits. Daten von Immunefi zeigen, dass 77,5 % der Auszahlungen auf entdeckte Smart-Contract-Bugs entfallen. Die schädlichsten Angriffsvektoren von 2025, einschließlich Supply-Chain-Kompromittierungen, Social Engineering und Infrastrukturbrüche, liegen weitgehend außerhalb dessen, was Bounty-Forscher testen können.
Die Branche benötigt gleichwertige Anreizstrukturen für Bewertungen der operativen Sicherheit. Code-Review allein passt nicht mehr zu den tatsächlichen Verlustquellen.
Auch lesen: Gemini Survey Reveals 51% Of Gen Z Adults Worldwide Own Crypto
Was Nutzer, Builder und Investoren 2026 anders machen sollten
Die Daten aus 2025 und 2026 machen deutlich, dass sich Sicherheit weit über Smart-Contract-Audits hinaus auf den gesamten operativen Stack erstrecken muss.
Für Protokoll-Builder umfasst das minimale Sicherheits-Niveau jetzt:
- Multisig-Wallets mit Timelocks für alle administrativen Funktionen
- Rollenbasierte Zugriffskontrolle nach dem Prinzip der minimalen Rechtevergabe
- Hardware-Wallet-Signaturen für alle privilegierten Operationen
- Kontinuierliches Monitoring von Berechtigungsänderungen, Upgrades und Hochwert-Transfers
- Subresource-Integrity-Hashing für sämtlichen Frontend-Code, plus DNSSEC und die Prüfung von ENS-gehosteten Alternativen zu zentralisierten Domain-Registraren
Supply-Chain-Sicherheit erfordert das Pinnen von Abhängigkeiten, die Begrenzung der Paketvielfalt, das Absichern von CI/CD-Pipelines mit kurzlebigen Zugangsdaten und die Verifizierung von Release-Artefakten. Incident-Response-Pläne sollten mit Übungen getestet und nicht nur geschrieben und abgeheftet werden.
Für Nutzer sind die praktischen Schutzmaßnahmen überschaubar. Hardware-Wallets bleiben für nennenswerte Bestände essenziell. Transaktionssimulations-Tools wie Pocket Universe geben an, 180.000 Nutzer und über 1 Milliarde US-Dollar an geschützten Geldern zu haben.
Regelmäßiges Widerrufen unbegrenzter Token-Freigaben, das Setzen von Lesezeichen für vertrauenswürdige URLs statt dem Folgen von Links und die Nutzung getrennter Wallets verringern den Schaden einer einzelnen kompromittierten Signatur.
Die Lehre aus dem Blind-Signing beim Bybit-Hack gilt auch für Einzelpersonen. Transaktionsdetails sollten immer auf dem Signiergerät selbst verifiziert werden, nicht nur in der Oberfläche, die die Signatur anfordert.
Für Investoren, die Protokolle bewerten, ist das Label „audited by X“ notwendig, aber völlig unzureichend. Aussagekräftige Sicherheitsindikatoren umfassen mehrere Audits von unterschiedlichen Firmen, aktive Bug-Bounty-Programme mit signifikanten Belohnungen, transparente Multisig-Konfigurationen mit geografischer Verteilung, Timelocks für UpgradesFunktionen, die on-chain sichtbar sind, und eine nachgewiesene Incident-Response-Fähigkeit.
Das Fehlen dieser Indikatoren sollte als explizite rote Flagge fungieren, unabhängig von der Audit-Historie.
Also Read: From Joke To ETF? PEPE's Wall Street Moment Raises Big Questions
Schlussfolgerung
Die Kryptosicherheitslandschaft der Jahre 2025 und 2026 offenbart ein Paradox. Die Technologie wird sicherer, während die Branche mehr Geld verliert als je zuvor.
Die Verluste durch Smart-Contract-Exploits sind zurückgegangen, da sich die Qualität des on-chain-Codes durch bessere Tools, mehr Audits, Wettbewerbsplattformen für Reviews und sicherheitsbewusste Sprachauslegungen wie Vyper verbessert hat. Doch dieser Fortschritt wurde von einer raschen Eskalation von Infrastruktur- und operativen Angriffen überlagert.
Sicherheitsmodelle, die ausschließlich auf Code-Reviews basieren, adressieren nun grob 12 % des tatsächlichen Verlustexposures. Die verbleibenden 88 % liegen auf den Laptops der Entwickler, in AWS-Zugangsdaten, bei Domain-Registraren, auf Multisig-Signer-Geräten, in Einstellungsprozessen für Mitarbeiter und in Frontend-Deployment-Pipelines. Dies sind Web2-Probleme, die Web2-Verteidigungsmaßnahmen erfordern, angewandt auf Web3-Organisationen, denen oft die institutionelle Sicherheitskultur fehlt, um sie umzusetzen.
Die Protokolle, die die nächste Welle staatlich unterstützter Angriffe überstehen werden, sind jene, die nicht nur ihren Code absichern, sondern auch ihre Menschen, ihre Infrastruktur und ihre Vertrauensannahmen als ein verbundenes System. Alles andere ist Sicherheitstheater im Gewand von Dezentralisierungs-Branding.
Read Next: The U.S. Is Redefining Stablecoins — Here's What The New Rules Do