Von Bitcoin Suisse

Im Frühjahr 2026 verzeichnete DeFi so viele Exploits in einem einzigen Monat wie nie zuvor – 28 an der Zahl, dazu den grössten Krypto-Hack des Jahres.

Bei DeFi-Exploits handelt es sich um die Ausnutzung einer Schwachstelle in einem Decentralized-Finance-Protokoll, also in den Smart Contracts, die auf einer Blockchain automatisiert Finanzdienstleistungen wie Lending, Trading oder Staking abwickeln. Diese Protokolle verwalten teils Vermögenswerte in dreistelliger Millionenhöhe.

Sicherer im Kern

Der Befund scheint eindeutig: DeFi wird unsicherer. Wer die Zahlen jedoch aufschlüsselt, stösst auf zwei Angriffskategorien mit gegenläufiger Entwicklung. Zur einen gehört der grösste Einzel-Exploit des Jahres; die andere richtet von Jahr zu Jahr weniger Schaden an.

An den Rändern ist DeFi gefährlicher geworden – im Kern hingegen sicherer. Für Finanzdienstleister ergeben sich daraus zwei unterschiedliche Prüfaufgaben, und die jüngsten Vorfälle zeigen exemplarisch, weshalb.

Angriffe verlieren an Schlagkraft

Das Fundament jeder DeFi-Anwendung sind Smart Contracts: öffentlich einsehbarer Code, der regelt, wie ein Kreditpool, eine Handelsplattform oder ein Ertragsprodukt funktioniert. Wer eine solche Anwendung angreift, sucht nach einem Fehler in diesem Code – so, wie man nach einem Schlupfloch in einem Finanzvertrag sucht.

Genau diese Angriffe haben deutlich an Schlagkraft verloren: Lag der durchschnittliche Schaden pro Vorfall zwischen 2020 und 2022 noch bei rund 156 Millionen Dollar, sind es seit 2023 noch etwa 14 Millionen. Die Sicherheit der Kernprotokolle hat sich offenkundig verbessert, Angreifer weichen auf kleinere Ziele an der Peripherie aus.

Dass die Zahl der Hacks dennoch steigt, sagt weniger über die Tiefe der Schäden aus als über die Breite der Angriffsfläche. Nie waren mehr Smart Contracts im Einsatz, viele Integrationen schleppen technische Altlasten aus früheren Wachstumsphasen mit, und KI-Werkzeuge machen die Suche nach Schwachstellen im Code so günstig wie nie. Die Angriffsfläche ist gewachsen – der Schaden erfolgreicher Protokoll-Exploits geschrumpft.

Gefährlicher an den Rändern

Am anderen Ende des Spektrums liegt der erfolgreiche Angriff auf Kelp DAO: Als «Ausreisser nach oben» zeigt er die Kehrseite. Der Verlust von 292 Millionen Dollar, einer der grössten Krypto-Exploits des Jahres 2026, traf kein Protokoll, sondern die Infrastruktur, die Vermögenswerte zwischen Blockchains bewegt: jene Verifizierungsebene, die Cross-Chain-Transaktionen bestätigt – funktional vergleichbar mit dem Nachrichtennetz, das Finanzinstitute untereinander verbindet.

Diese Infrastruktur hing an einem einzigen Verifizierungsknoten. Angreifer, die der nordkoreanischen Lazarus Group zugeschrieben werden, verschafften sich per Social Engineering Zugriff auf diesen Knoten und fälschten damit eine scheinbar gültige Anweisung: Sie gab 292 Millionen Dollar in rsETH frei, einem Token für gestaktes Ether – ohne jede reale Deckung. Kein Audit der Smart Contracts von Kelp hätte die Lücke gefunden, denn im Vertragscode existierte sie nicht.

Trigger für Milliarden-Abzug

Was danach geschah, macht deutlich, weshalb Infrastrukturausfälle systemischer wirken als Protokoll-Exploits. Der Angreifer hinterlegte die gefälschten Token als Sicherheit bei Aave, der grössten Kreditplattform im DeFi-Bereich, und lieh sich dagegen echte Vermögenswerte im Wert von rund 190 Millionen Dollar. Als die Fälschung aufflog, froren Aave und zwei weitere grosse Kreditplattformen ihre Märkte ein, um faule Kredite zu verhindern.

Innerhalb von 48 Stunden zogen Anleger rund 13 Milliarden Dollar von DeFi-Plattformen ab: Aus dem Infrastrukturausfall eines einzelnen Protokolls wurde binnen eines Tages ein marktweites Liquiditätsereignis. Genau das kennzeichnet das Composability-Risiko – die Gefahr, dass sich ein Ausfall an einer Stelle über die finanziellen Verflechtungen im ganzen System fortpflanzt.

Zwei Risikofragen statt einer

Aus der Unterscheidung zwischen Kern und Rand folgt für Finanzdienstleister mit DeFi-Exposure oder mit Kunden, die DeFi-Vermögenswerte halten, eine handfeste Konsequenz.

Ein Protokoll-Audit, das Standardinstrument der DeFi-Due-Diligence, hätte die Lücke bei Kelp nicht entdeckt. Ob ein gut geprüftes DeFi-Protokoll im Portfolio liegt oder ein Vermögenswert, dessen Deckung an Cross-Chain-Infrastruktur hängt, sind zwei verschiedene Risikofragen mit verschiedenen Ausfallmustern. Die jüngsten Vorfälle sprechen dafür, Bridge-, Governance- und Composability-Risiken als eigenständige Dimensionen einer DeFi-Position zu behandeln – nicht als Unterkategorien des Smart-Contract-Risikos, sondern als eigene Ebenen, an die Standard-Audits nicht heranreichen.

Nachholbedarf auf der Infrastrukturebene

Immerhin: Dieselben KI-Werkzeuge, die Angreifern die Suche nach Schwachstellen erleichtern, stehen auch den Verteidigern zur Verfügung. Sicherheitsteams finden und schliessen Lücken heute schneller als je zuvor.

Das Research-Team von Bitcoin Suisse rechnet damit, dass sich die Verbesserung auf Protokollebene fortsetzt. Nachholbedarf besteht auf der Infrastrukturebene – an den Rändern, nicht im Kern. Für Finanzdienstleister lautet die entscheidende Frage deshalb nicht mehr, ob DeFi sicher ist, sondern welche Ebene betroffen wäre, und was ein Ausfall dort tatsächlich auslösen würde.

Quelle: Bitcoin Suisse, Daten: DefiLlama. Datenstand: 30. April 2026.