Direkt zum Hauptinhalt

Die 306-Millionen-Dollar-Phishing-Steuer: Warum Kryptos größte Schwachstelle nicht mehr der Code ist

· 14 Min. Lesezeit
Dora Noda
Dora Noda
Software Engineer

Im Januar 2026 nahm eine Person einen Telefonanruf entgegen, beantwortete eine scheinbar routinemäßige Support - Frage und verlor 282 Millionen $ in Bitcoin und Litecoin. Kein Smart Contract wurde ausgenutzt. Kein privater Schlüssel wurde geknackt. Kein Orakel wurde manipuliert. Der Angreifer fragte einfach nach der Seed - Phrase, und das Opfer gab sie ein.

Dieser einzelne Vorfall – nun der größte Social - Engineering - Raub in der Geschichte der Kryptowährungen – macht mehr als die Hälfte aller Verluste im ersten Quartal 2026 aus, die von Hacken verfolgt wurden, der Web3 - Sicherheitsfirma, deren Quartalsbericht zum am genauesten beobachteten Verlustregister der Branche geworden ist. Die Zahlen von Hacken für das erste Quartal 2026 sind ernüchternd: 482,6 Millionen wurdenbei44Vorfa¨llengestohlen,wobeiPhishingundSocialEngineering306Millionenwurden bei 44 Vorfällen gestohlen, wobei Phishing und Social Engineering 306 Millionen oder 63 % des Schadens ausmachten. Smart - Contract - Exploits, die Kategorie, die den DeFi - Hack - Sommer 2022 prägte, trugen nur 86,2 Millionen $ bei.

Die Zahlen beschreiben eine strukturelle Verschiebung, welche die Branche nur langsam verarbeitet. Angreifer versuchen nicht mehr, Solidity - Entwickler technisch zu übertreffen. Sie versuchen, Menschen zu manipulieren. Und die Infrastruktur, die wir gebaut haben, um uns gegen die erste Art von Angriffen zu verteidigen – Audits, Bug - Bounties, formale Verifizierung – bewirkt fast nichts gegen die zweite.

Die Ära der Mega - Hacks fragmentiert sich​

Jahrelang sah Krypto - Sicherheit wie eine Serie katastrophaler Code - Fehler aus. Ronin Bridge verlor 2022 625 Millionen .PolyNetworkverlor2021611Millionen. Poly Network verlor 2021 611 Millionen . Wormhole verlor 325 Millionen $. Das Narrativ war einfach: Finde eine Schwachstelle in einer Bridge oder einem Lending - Protokoll, leere die Schatzkammer, verschwinde durch einen Mixer.

Diese Welt schrumpft messbar. Sherlocks erster Web3 - Sicherheitsbericht für das erste Quartal 2026 – der erste große konkurrierende Datensatz zu Hacken – stellte fest, dass DeFi - spezifische Exploits im Vergleich zum ersten Quartal 2025 im Jahresvergleich um 89 % zurückgegangen sind. Formale Verifizierung verbreitet sich. Bug - Bounties sind höher. Audit - Firmen konkurrieren eher über Tiefe als über Geschwindigkeit. Der Code wird tatsächlich sicherer.

Warum wurden also im ersten Quartal 2026 immer noch fast eine halbe Milliarde Dollar verloren?

Weil die Angriffsfläche migriert ist. Hackens Bericht dokumentiert 28 Smart - Contract - Vorfälle in Höhe von insgesamt 86,2 Millionen –wenigerundkleineralsinjedemQuartalseit2021.AberVersagenbeiderZugriffskontrolle(kompromittierteprivateSchlu¨sselundCloud−Infrastruktur)kamenmitweiteren71,9Millionen– weniger und kleiner als in jedem Quartal seit 2021. Aber Versagen bei der Zugriffskontrolle (kompromittierte private Schlüssel und Cloud - Infrastruktur) kamen mit weiteren 71,9 Millionen hinzu, und die Phishing - Kategorie allein stellte beide zusammen in den Schatten. Die Ära der Mega - Hacks endete nicht. Sie fragmentierte sich in Hunderte von kleineren, auf Menschen ausgerichteten Vorfällen, die kollektiv mehr Kapital abziehen, als es die Bridge - Exploits jemals taten.

Der Hardware - Wallet - Betrug im Januar ist der extremste Datenpunkt, aber er ist kein Ausreißer. Er ist das Signal.

Anatomie eines 282 - Millionen - Dollar - Telefonats​

Der Vorfall vom 10. Januar, der vom On - Chain - Ermittler ZachXBT und der Sicherheitsfirma ZeroShadow rekonstruiert wurde, ist eine detaillierte Untersuchung wert, da er genau zeigt, wie weit sich Social Engineering entwickelt hat.

Der Angreifer gab sich als Support - Mitarbeiter einer Trezor „Value Wallet“ aus. Das Opfer – ein langfristiger Halter mit etwa 2,05 Millionen Litecoin (153 Mio. )und1.459Bitcoin(139Mio.) und 1.459 Bitcoin (139 Mio. ), die auf einer Hardware - Wallet gespeichert waren – wurde dazu manipuliert, Wiederherstellungsdaten während eines scheinbar legitimen Support - Anrufs preiszugeben. Die Vermögenswerte wurden innerhalb von Stunden transferiert. Der bisherige Rekord für Social Engineering lag bei 243 Millionen undwurdeimAugust2024aufgestellt.DerneueRekordu¨bertrafihnum39Millionenund wurde im August 2024 aufgestellt. Der neue Rekord übertraf ihn um 39 Millionen in einem einzigen Gespräch.

Hardware - Wallets wurden entwickelt, um diesen Angriff unmöglich zu machen. Ein Trezor - oder Ledger - Gerät gibt die Seed - Phrase niemals an einen angeschlossenen Computer weiter. Die privaten Schlüssel verlassen niemals das Sicherheitselement. Das gesamte Bedrohungsmodell geht davon aus, dass der Benutzer nicht durch Social Engineering dazu gebracht wird, die Recovery - Phrase in ein Phishing - Formular einzugeben.

Diese Annahme schlug fehl. Und sie schlug auf eine Weise fehl, die kein Audit, keine Bug - Bounty oder formale Verifizierung hätte verhindern können. Die Hardware funktionierte perfekt. Der Mensch nicht.

Dies ist der unangenehme Teil des ersten Quartals 2026: Je besser die kryptografischen Primitiven von Krypto werden, desto konzentrierter wird der dahinterstehende Wert und desto lukrativer wird der Social - Engineering - Angriff. Ein einziger erfolgreicher Phishing - Anruf ist mittlerweile mehr wert als die meisten Protokoll - Exploits. Die wirtschaftlichen Rahmenbedingungen begünstigen den Phisher.

Wenn 18 Audits immer noch nicht ausreichen​

Wenn der Vorfall im Januar die Phishing - Geschichte ist, so findet sich die Geschichte der Audit - Müdigkeit in den Protokollen wieder, die gehackt wurden, obwohl sie alles richtig gemacht haben.

Sechs auditierte Projekte wurden laut Hacken im ersten Quartal 2026 ausgenutzt. Eines davon – Resolv Labs – hatte 18 separate Audits durchlaufen, bevor Angreifer eine Schwachstelle in seinem AWS Key Management Service ausnutzten, etwa 80 Millionen ungedeckte USR - Stablecoin - Token prägten und rund 25 Millionen $ extrahierten. Die Sicherheitslücke betraf nicht den Solidity - Code von Resolv. Sie zielte auf die Cloud - Zugangsdaten ab, die die Ingenieure von Resolv für die Bereitstellung verwendeten.

Venus Protocol, ein weiteres auditiertes Projekt, verlor im März 2,15 Millionen $ durch einen „Donation Attack“, obwohl diese Schwachstellenklasse in seinem eigenen Code4rena - Audit explizit markiert worden war. Der Befund wurde abgetan. Fünf separate Audit - Firmen hatten den Code im Laufe der Jahre überprüft. Keine von ihnen erzwang die Behebung des Problems, und keine von ihnen konnte das tun, da Audits beratenden Charakter haben. Als der Donation Attack einschlug, war das Ergebnis vorhersehbar und die Post - Mortem - Analyse schmerzhaft.

Das Muster ist nun offensichtlich genug, um es klar auszusprechen: Ein auditiertes Protokoll mit hohem TVL ist in absoluten Zahlen nicht sicherer als ein nicht auditiertes mit niedrigem TVL. Es ist attraktiver. Angreifer kalibrieren ihren Aufwand nach der Belohnung. Ein Protokoll mit 500 Millionen TVLund18Auditsisteineha¨rtereNussalseinesmit5MillionenTVL und 18 Audits ist eine härtere Nuss als eines mit 5 Millionen und ohne Audits, aber der Preis ist auch 100 - mal größer, und die gleichen menschlichen Schwächen – abgetane Audit - Befunde, falsch konfigurierte AWS, Mitarbeiter, die auf Links klicken – existieren auf beiden Seiten. Audits erhöhen die Untergrenze; sie erhöhen nicht die Obergrenze.

Dies ist der Teil des ersten Quartals 2026, der Entwickler am meisten beunruhigen sollte. Die Sicherheitsausgaben der Branche sind seit 2022 um etwa das Zehnfache gestiegen, und die Verlustkurve hat sich nicht nennenswert nach unten gebogen. Das Geld floss in die Prüfung von Code. Die Verluste resultierten aus Menschen, Cloud und Schlüsseln.

Die Infrastrukturebene wird zur neuen Frontlinie​

Sherlocks Q1 2026 Bericht benennt den Wandel präzise: „die Migration von Angriffen von der Smart-Contract-Ebene zur Infrastrukturebene.“

Drei Vorfälle aus dem Quartal veranschaulichen die neue Geometrie:

  • Resolv Labs (März 2026): AWS-KMS-Kompromittierung. Die Angreifer rührten die Smart Contracts nie an. Sie kompromittierten die Schlüssel, die zum Signieren von Deployments verwendet wurden, und prägten Token aus dem Nichts.
  • Drift Protocol (1. April 2026): 286 Mio. $ wurden aus Solanas größter Perpetual DEX in einer mit der DVRK in Verbindung stehenden Operation abgezogen. Die Angreifer nutzten Solanas „Durable Nonces“-Funktion – ein Komfort-Primitiv für vorab signierte Transaktionen – und manipulierten das Security Council von Drift mittels Social Engineering dazu, Transaktionen zu unterzeichnen, die schließlich die administrative Kontrolle übergaben. Auch hier gab es keinen Smart-Contract-Fehler. Der Exploit fand an der Nahtstelle zwischen Mensch und Feature statt.
  • Über 40 Mio. $ wurden im Laufe des Quartals extrahiert, und zwar durch gefälschte Venture-Capital-Ansprachen, als Software-Updates getarnte Malware und kompromittierte Laptops von Mitarbeitern (laut Hacken).

Der rote Faden ist, dass keiner dieser Angriffe durch das Lesen von Code hätte erkannt werden können. Sie nutzten die Stellen aus, an denen Code auf Infrastruktur trifft: Cloud-Zugangsdaten, CI/CD-Pipelines, Entwickler-Laptops, Slack-Accounts, Telefonate mit „Support-Agenten“ und vorab signierte Transaktionen, die sich zum Zeitpunkt der Unterzeichnung routinemäßig anfühlten und in der Summe verheerend waren.

Die Verteidigungshaltung von Krypto ist noch nicht an diese Realität angepasst. Die Branche stellt immer noch mehr Solidity-Auditoren ein als IT-Sicherheitsingenieure. Die meisten Protokoll-DAOs geben mehr für Code-Audits aus als für Schulungen zur operativen Sicherheit. Das Phishing-fokussierte Bedrohungsmodell existiert in den meisten Sicherheits-Frameworks kaum.

Die Regulierung holt endlich auf – auf unbeholfene Weise​

Q1 2026 war nicht nur ein Quartal der Verluste. Es war ein Quartal des regulatorischen Umbruchs.

Das MiCA-Framework der EU bewegt sich von der schrittweisen Implementierung hin zur vollständigen Durchsetzung vor der Frist am 1. Juli 2026. Nationale Regulierungsbehörden und die ESMA führen Aufsichtsprüfungen, Stichproben und Untersuchungen durch. DORA – der Digital Operational Resilience Act – trat am 17. Januar 2025 für Finanzinstitute vollständig in Kraft, und seine Verpflichtungen zu IKT-Risiken, Vorfällen und Drittanbietern sind nun EU-weit aktiv. Der GENIUS Act, das erste US-Bundesgesetz für Stablecoins, ist nun in Kraft und unterwirft Emittenten von Zahlungs-Stablecoins den Verpflichtungen des Bank Secrecy Act und Programmen zur Einhaltung von Sanktionen. Dubai strukturierte die föderale Krypto-Aufsicht neu. Singapur begann mit der Durchsetzung der Basel-Kapitalstandards. In Korea erhielt Bithumb – eine Top-Tier-Börse – eine Vorankündigung für eine sechsmonatige teilweise Betriebsuntersagung wegen AML- und KYC-Verstößen, die erste größere Durchsetzungsmaßnahme dieser Art.

Auf dem Papier zielt all dies darauf ab, Krypto sicherer zu machen. In der Praxis geht nichts davon direkt auf das 306-Millionen-Dollar-Phishing-Problem ein. Die Compliance-Anforderungen von MiCA beziehen sich auf Offenlegungen, Reserven und Governance. DORA befasst sich mit IKT-Resilienz und Drittanbieterrisiken. Beim GENIUS Act geht es um Stablecoin-AML. Das, was im ersten Quartal tatsächlich die Wallets der Nutzer leergeräumt hat – ein Telefonanruf, bei dem sich jemand als Support-Team eines Hardware-Wallet-Herstellers ausgab –, liegt zwar in der Nähe all dieser Frameworks, wird aber von keinem von ihnen reguliert.

Diese Lücke erzeugt eine seltsame Asymmetrie. Ein Stablecoin-Emittent, der versehentlich eine erforderliche Offenlegung vergisst, kann nun in mehreren Gerichtsbarkeiten bestraft werden. Eine Wallet-App, die ohne angemessenen Phishing-Schutz auf den Markt kommt, hat fast keine regulatorischen Konsequenzen zu befürchten. Die Compliance-Fläche ist breiter denn je, aber sie ist noch nicht in die Richtung gewachsen, in der die Verluste tatsächlich entstehen.

Erwarten Sie, dass sich das ändert. Der logische nächste Schritt, der bereits in AMLA- und FATF-Arbeitsgruppen diskutiert wird, ist eine Verpflichtung, nach der „Compliance Anti-Phishing-UX beinhalten muss“ – eine Anforderung, dass kundenorientierte Wallets, Börsen und Custody-Anbieter aktive Verteidigungen gegen Social Engineering nachweisen müssen, nicht nur Offenlegungen und Reserven. Wenn dies 2027 kommt, wird es für die meisten Opfer des ersten Quartals 2026 zu spät sein.

Wie ein Phishing-fokussierter Security-Stack aussieht​

Die durch die Zahlen von Hacken implizierte defensive Reorganisation ist bedeutend. Es reicht nicht aus, wenn Protokolle mehr Audits hinzufügen, Börsen mehr Proof-of-Reserves veröffentlichen oder Wallets stärkere kryptografische Primitive implementieren. Der Stack muss davon ausgehen, dass der Nutzer irgendwann von einem überzeugenden Angreifer ins Visier genommen wird und dass die erste Verteidigungslinie das Design ist, nicht der Code.

Mehrere Bausteine zeichnen sich ab:

  • Transaktionsvorschau direkt beim Signieren. MetaMasks 2026 eingeführtes „Transaction Shield“ simuliert Transaktionen vor dem Signieren und markiert bösartige Smart Contracts oder Drainage-Skripte. Der E-Ink-Touchscreen des Ledger Flex löst das Problem des „Blind Signing“, indem er jedes Detail einer Transaktion auf einem sicheren Offline-Bildschirm darstellt. Diese Funktionen sind nicht glanzvoll. Sie verlagern das Schlachtfeld von der reinen Kryptografie hin zum klaren Verständnis des Nutzers – dort, wo der eigentliche Kampf jetzt stattfindet.

  • Hardware-Attestierung für hochwertige Flows. Die Anforderung einer physischen Bestätigung für ungewöhnliche Transaktionen – Beträge über einem Schwellenwert, neue Gegenparteien, Contract-Calls mit unerwarteten Daten – ist günstig und effektiv. Die meisten Hardware-Wallets unterstützen dies. Die meisten Nutzer aktivieren es nicht.

  • Operative Sicherheitsschulungen als Ausgaben auf Protokollebene. Wenn sechs auditierte Projekte trotz dutzender Code-Prüfungen insgesamt über 60 Mio. $ verloren haben, sollte der nächste investierte Dollar für Sicherheit wahrscheinlich nicht in ein 19. Audit fließen. Er sollte in Phishing-Schulungen, Key-Rotation-Drills und Red-Team-Übungen für die Multisig-Unterzeichner fließen, die gemeinsam die Treasury kontrollieren.

  • Identitätsschichten mit selektiver Offenlegung. Da KI-Agenten beginnen, autonome Trades auszuführen – eine separate, aber verwandte Bedrohungsfläche –, benötigen Infrastrukturanbieter zunehmend kryptografische Agenten-Identität (KYA) neben dem traditionellen KYC. Dieselben Primitive, die verifizieren, dass „dieser Agent autorisiert ist, für diesen Menschen zu handeln“, machen es Angreifern auch schwerer, Support-Mitarbeiter, Ratsmitglieder oder Protokoll-Admins zu imitieren.

  • Phishing-fokussierte Sicherheitszertifizierung. Der logische Endpunkt, der von Hacken und anderen ins Spiel gebracht wurde, ist eine neue Art von Sicherheitssiegel – eines, das die Widerstandsfähigkeit einer Wallet oder Börse gegen Social Engineering bewertet und nicht nur gegen Solidity-Exploits. Solange ein solcher Standard nicht existiert, kann der Markt nicht zwischen einem Phishing-resistenten Produkt und einem Produkt unterscheiden, das lediglich sicher klingt.

Nichts davon ersetzt Audits. Code muss weiterhin korrekt sein. Aber die Frontlinie hat sich verschoben, und die Aufmerksamkeit der Sicherheitsbranche muss sich mit ihr verschieben.

Die Frage, die sich Entwickler im Jahr 2026 stellen sollten​

Die unangenehme Schlussfolgerung aus den Zahlen von Hacken für das erste Quartal 2026 ist, dass das Sicherheitsmodell der Branche strukturell falsch bepreist ist. Dreiundsechzig Prozent der Verluste resultieren aus gezielten Angriffen auf Menschen, die keine Code-Überprüfung verhindern kann, und dennoch fließt die überwältigende Mehrheit der Sicherheitsausgaben der Branche weiterhin in Code-Reviews.

Die Entwickler, die dafür in Erinnerung bleiben werden, das Jahr 2026 richtig angegangen zu sein, sind nicht diejenigen, die das sauberste Solidity liefern. Es sind diejenigen, die es Angreifern erschweren, Werte über den Nutzer zu stehlen — indem sie Blind Signing reduzieren, eine UX entwerfen, die von der Anwesenheit von Gegnern ausgeht, in die operative Sicherheit der Mitarbeiter mit derselben Ernsthaftigkeit investieren, mit der Treasuries Audits finanzieren, und indem sie davon ausgehen, dass jedes ausreichend wertvolle System irgendwann einen ausreichend überzeugenden Telefonanruf anziehen wird.

Der Telefonanruf im Januar über 282 Millionen $ war das teuerste Proof-of-Concept, das die Branche je erhalten hat. Das erste Quartal 2026 war lediglich das Quartal, in dem seine Lehren endlich unübersehbar wurden.

BlockEden.xyz betreibt Enterprise-Grade RPC- und Indexierungs-Infrastruktur über 27+ Blockchains hinweg, einschließlich der operativen Sicherheit und Zugriffskontrollen, die API-Schlüssel, Signier-Infrastruktur und Kundendaten in einem Phishing-fokussierten Bedrohungsmodell sicher halten. Erkunden Sie unseren API-Marktplatz, um auf einer Infrastruktur aufzubauen, die für die Bedrohungen entwickelt wurde, die im Jahr 2026 tatsächlich von Bedeutung sind.

Quellen​

Share on Twitter