Krypto-Hacks verlagern sich 2026 auf Keys und Governance

Immunefi sieht, dass Angriffe immer häufiger über Signing Keys, Governance und Infrastruktur laufen. BonkDAO und Humanity Protocol zeigen, wie groß der Schaden auch ohne Smart-Contract-Bug sein kann.

Wichtigste Erkenntnisse

• 2026 verlagern sich Krypto-Angriffe vor allem auf Keys, Governance und operative Sicherheit, nicht nur auf Smart-Contract-Bugs.
• Immunefi meldet, dass in diesem Jahr bereits rund 972 Millionen Dollar gestohlen wurden, mit Beispielen wie BonkDAO und Humanity Protocol.
• Audits allein reichen nicht aus, weil auch Key Management, Custody und Signing große Verluste verursachen können.

2026 entstehen die größten Schäden im Krypto-Sektor nicht mehr nur durch Fehler in Smart Contracts. Immer häufiger stehen Schwachstellen bei Keys, Governance und operativer Sicherheit im Mittelpunkt. Laut Immunefi wurden in diesem Jahr bereits rund 972 Millionen Dollar (854 Millionen Euro) gestohlen. Auffällig ist dabei, dass Angriffe zunehmend über Signing Keys, Abstimmungen und Infrastruktur laufen und weniger über klassische Codefehler.

Keys werden zur Schwachstelle

Der Fall BonkDAO zeigt, wie schnell eine Treasury ausgeräumt werden kann, ohne dass ein Smart Contract selbst versagt. Ein Angreifer soll rund 4 Millionen Dollar (3,5 Millionen Euro) eingesetzt haben, um sich bei geringer Beteiligung genug Tokens für einen Governance-Vorschlag zu sichern. Anschließend wurde der Vorschlag genau so umgesetzt, wie er formuliert war. In diesem Fall lag die Schwachstelle also in den Regeln selbst.

Auch Humanity Protocol folgt diesem Muster. Dort gingen im Juni mehr als 30 Millionen Dollar (26,4 Millionen Euro) verloren, nachdem ein Private Key auf dem Rechner eines Teammitglieds kompromittiert worden war. Der Contract blieb dabei unangetastet. Das passt zu einer breiteren Verschiebung, die sich in der ersten Hälfte von 2026 gezeigt hat: Wallet-Kompromittierungen und andere operative Fehler verursachten finanziell teils größere Schäden als klassische Smart-Contract-Angriffe. Dazu passt auch der breitere Trend, dass Private Keys einen großen Teil der Hacks erklären und nicht nur Fehler im Code.

Audits reichen nicht aus

Mitchell Amador, Gründer und CEO von Immunefi, betont, dass ein Audit immer nur den Code zu einem bestimmten Zeitpunkt bewertet. Es sagt jedoch nichts darüber aus, wer die Signing Authority besitzt, wie ein Key verwahrt wird oder was passiert, wenn ein Laptop übernommen wird. Ein Protokoll kann also mehrere Audits bestehen und trotzdem hohe Verluste erleiden. Laut dem Text verlor ein Projekt sogar 128 Millionen Dollar (112 Millionen Euro), obwohl es 11 Audits durchlaufen hatte.

Auch die Zahlen stützen diesen Befund. In einer Analyse von 425 Hacks zwischen 2021 und 2025 entfiel ein vergleichsweise kleiner Teil der operativen Fehler auf den größten Teil des Schadens. Im Zeitraum 2024 bis 2025 gingen 54,6 % des gesamten verlorenen Werts, verteilt auf 191 Hacks, auf die Kompromittierung von centralized Exchanges zurück. Gemeint sind damit vor allem Keys, Custody und Signing oberhalb der Contract-Ebene.

Warum das Anleger betrifft

Für europäische Krypto-Anleger ist das relevant, weil die größten Risiken immer weniger direkt im Code sichtbar sind. Infrastruktur, Key Management und Governance-Prozesse rücken damit genauso in den Fokus wie Audits oder formale Code-Reviews. Sicherheit ist damit nicht nur ein technisches Thema, sondern auch eine Frage für Anlageprodukte, Custody und die internen Kontrollen von Krypto-Unternehmen.

Immunefi zufolge können kontinuierliche, incentivierte Sicherheitsprogramme einen spürbaren Unterschied machen, weil Forscher dafür bezahlt werden, Schwachstellen zu finden, bevor Angreifer sie ausnutzen. Dieser Ansatz muss nach derselben Logik aber über Smart Contracts hinausgehen und auch die Menschen, Systeme und Regeln einbeziehen, die ein Protokoll überhaupt funktionsfähig halten.