Private Keys sind für 40 % der Krypto-Hacks verantwortlich

Neue Branchendaten von CertiK zeigen, dass Key Management das größte Risiko ist, während MPC-Wallets und Social Recovery als Antwort auf den Diebstahl privater Keys an Bedeutung gewinnen.

Wichtigste Erkenntnisse

• Rund 40 % der 16,69 Milliarden Dollar an Krypto-Schäden gehen auf geleakte oder gestohlene private Keys zurück.
• CertiK sieht mehr operative Vorfälle, während Smart-Contract-Exploits eher zurückgehen.
• Die Branche setzt stärker auf MPC Wallets, Account Abstraction, Hardware Wallets und strengeres Key Management.

Krypto-Projekte verlieren weiterhin hohe Summen durch Hacks und Exploits. Neue Branchendaten zeigen jedoch, dass das Kernproblem nicht in der Blockchain selbst liegt. Von den insgesamt 16,69 Milliarden Dollar (14,6 Milliarden Euro) Schaden durch Hacks, DeFi-Exploits und Angriffe auf Bridges entfallen rund 40 % auf geleakte oder gestohlene private Keys. Damit rückt Key Management als eine der größten Schwachstellen der Krypto-Branche in den Fokus, während Smart Contracts seltener die unmittelbare Ursache sind.

Private Keys bleiben die Schwachstelle

Ein private Key ist in der Praxis vergleichbar mit dem Passwort für eine Krypto-Wallet. Gelangt er in falsche Hände, können Angreifer direkt auf die Gelder zugreifen. Anders als im klassischen Bankwesen gibt es dabei meist keine Wiederherstellungsfunktion und keinen Fraud-Service, der eine Transaktion noch stoppen könnte. Laut CertiK verschiebt sich das Risikoprofil zudem: Operative Vorfälle nehmen zu, während Smart-Contract-Exploits eher zurückgehen.

Das passt auch dazu, wie viele Angriffe tatsächlich ablaufen. In manchen Fällen versuchen Täter es mit Brute-Force-Methoden, häufig bleibt aber unklar, auf welchem Weg der Schlüssel überhaupt abgeflossen ist. Das Ergebnis ist in beiden Fällen dasselbe: Der Angreifer erhält Zugriff auf die Wallet und kann die Assets verschieben.

Die Branche kennt inzwischen eine lange Reihe schwerer Diebstähle, vom frühen Mt. Gox-Hack bis zum LuBian-Mining-Pool-Hack im Jahr 2020. Beide Fälle zeigen, wie groß der Schaden werden kann, wenn Zugriffsschlüssel oder Verwaltungsprozesse versagen. Auch physische Angriffe auf Krypto-Besitzer haben 2025 deutlich zugenommen. Das unterstreicht, dass Sicherheit nicht nur ein digitales Thema ist. Zugleich fügt sich das in breitere Warnungen ein, wonach Krypto-Sicherheit mehr als nur Audits braucht, weil menschliche und operative Schwächen oft schwerer wiegen als Fehler im Code.

Sicherheit verlagert sich auf das Schlüsselmanagement

Laut Wish Wu, Mitgründer und CEO von Pharos, arbeitet die Branche zwar daran, die Schwachstelle bei privaten Keys zu entschärfen, allerdings noch nicht überall mit derselben Konsequenz. Er nennt unter anderem MPC Wallets, Account Abstraction mit Social Recovery, Passkey-Logins, Hardware Wallets und strengere Key-Management-Prozesse als Ansätze, die an Bedeutung gewinnen. Gleichzeitig warnt er davor, dass viele dieser Maßnahmen bislang eher als Zusatzfunktionen behandelt werden, statt als fester Bestandteil des Protokolls.

Cysic-Gründer Le Fan formuliert das Problem noch direkter: Aus seiner Sicht handelt es sich nicht um ein kryptografisches Versagen, sondern um ein Problem im Key Management. Nicht die Mathematik hinter der Kurve sei das Problem, sondern die Art und Weise, wie Schlüssel gespeichert, genutzt und verwaltet werden.

Was das für europäische Leser bedeutet

Für europäische Krypto-Investoren ist das relevant, weil Sicherheit immer stärker von operativer Disziplin abhängt und nicht nur von Code-Audits. Das gilt für Plattformen ebenso wie für Custody-Lösungen und für Nutzer, die ihre Krypto selbst verwalten. Vor allem bei größeren Beständen könnten Multi-Signature Wallets und andere Formen verteilter Freigaben an Bedeutung gewinnen, da ein einzelner Schlüssel dort ein besonders hohes Risiko darstellt.