Kurzfassung

  • DeFi-Protokolle haben in den ersten fünf Monaten des Jahres 2026 über 840 Millionen US-Dollar verloren, wobei allein im April mehr als 600 Millionen US-Dollar durch Drift, Kelp DAO und ein Dutzend kleinerer Angriffe abflossen.
  • Laut TRM Labs entfielen auf Akteure mit Verbindungen zu Nordkorea 76 % der weltweiten Krypto-Hack-Verluste bis April 2026, gegenüber 64 % im Jahr 2025 und unter 10 % im Jahr 2020.
  • Experten zufolge senkt KI die Hürde für die Entdeckung von Exploits, wobei ältere und nicht verifizierte Smart Contracts zunehmend Ziel automatisierter Aufklärung werden.

Es ist eines der schlimmsten Jahre für DeFi-Hacks, und wir sind noch nicht einmal zur Hälfte durch.

In den ersten fünf Monaten des Jahres 2026 gingen durch DeFi-Hacks mehr als 840 Millionen US-Dollar verloren – wobei allein im April mehr als 600 Millionen US-Dollar gestohlen wurden, angeführt von zwei der größten Angriffe des Jahres: dem 292-Millionen-Dollar-KelpDAO-Exploit und dem 285-Millionen-Dollar-Drift-Protocol-Breach.

Die Verluste setzten sich im Mai fort, als THORChain den Handel einstellte, nachdem Sicherheitsforscher einen mutmaßlichen Cross-Chain-Exploit entdeckt hatten, der mehr als 10 Millionen US-Dollar betraf.

TrustedVolumes, Echo Protocol, Step Finance, Truebit, Resolv Labs, Volo Protocol, Rhea Finance, Verus-Ethereum-Brücke und viele andere vervollständigen eine Liste von Opfern, die laut DeFiLlama-Daten wie ein Stresstest für jede Vertrauensannahme aussieht, auf die DeFi angewiesen ist.

Experten, mit denen Decrypt sprach, sind sich weitgehend einig, dass die jüngsten DeFi-Hacks strukturelle Schwächen in Brücken und Verwaltungssystemen offenlegen, während Fortschritte in der KI Angreifern helfen könnten, Schwachstellen schneller zu finden.

Natalie Newson, leitende Blockchain-Ermittlerin bei der Web3-Sicherheitsplattform CertiK, sagte gegenüber Decrypt, dass der April zwar ungewöhnlich schwerwiegend für Krypto-Exploits war, der breitere Trend jedoch stabiler bleibt und unter dem Höchststand der Vorfälle von 2023 liegt.

„April 2026 war ein schlechter Monat für Krypto-Exploits; es gab nur drei Tage ohne einen Exploit, bei dem mindestens 10.000 Dollar erbeutet wurden“, sagte sie.

„Wenn wir jedoch das größere Bild betrachten, war die Anzahl der Vorfälle (ohne Phishing) wohl ziemlich konstant und immer noch niedriger als ein Höhepunkt im Jahr 2023“, bemerkte Newson und fügte hinzu, dass die Schwere im April durch 14 Exploits mit Verlusten von über 1 Million Dollar getrieben wurde, nur übertroffen von den 16 im September 2025.

Der Nordkorea-Faktor

Ari Redbord, Global Head of Policy and Government Affairs bei TRM Labs, sagte gegenüber Decrypt, dass der Anstieg auf einen einzigen staatlichen Akteur zurückgeht, der sich in fünf Jahren von einem Randspieler zu einer bestimmenden Bedrohung entwickelt hat.

„Der dominierende Treiber ist Nordkorea, und diese Kampagne wird schärfer, nicht breiter“, sagte Redbord und merkte an, dass mit Nordkorea verbundene Akteure in den ersten vier Monaten des Jahres 2026 für 76 % der weltweiten Krypto-Hack-Verluste verantwortlich waren, gegenüber 64 % im Jahr 2025 und weniger als 10 % im Jahr 2020.

„Nordkorea nutzt nicht nur Technologie, um den Raum anzugreifen, sondern auch ausgeklügelte und gut geplante Social Engineering“, sagte er.

Der bisher größte DeFi-Hack des Jahres traf KelpDAO am 18. April, als Angreifer etwa 116.500 rsETH im Wert von rund 292 Millionen Dollar aus einer Cross-Chain-Brücke abzogen.

LayerZero, dessen Messaging-Infrastruktur die Brücke untermauerte, sagte im neuesten Post-Mortem-Bericht, dass der Angriff am 6. März begann, als ein Entwickler sozial manipuliert wurde und Sitzungsschlüssel erbeutet wurden.

Das Cross-Chain-Messaging-Protokoll sagte, der Angriff sei von Mandiant, CrowdStrike und unabhängigen Forschern dem nordkoreanischen Bedrohungsakteur TraderTraitor, auch bekannt als UNC4899, zugeschrieben worden.

Der strukturelle Grund, warum DeFi ständig die Schläge einsteckt, so Redbord, liegt darin, wo das Geld sitzt und wie es sich bewegt.

„Die kettenübergreifende Komplexität von DeFi macht es zu einer zielreichen Umgebung – Brücken verursachen durchweg die größten Einzelverluste, und die Fehlermuster wiederholen sich mit auffälliger Beständigkeit, weil das Kernproblem architektonischer Natur ist“, bemerkte er.

Wiederkehrende Muster

Raz Niv, Mitbegründer und CTO der Onchain-Sicherheitsplattform Blockaid, sagte gegenüber Decrypt, dass sich drei technische Muster bei den größten Vorfällen des Jahres wiederholen: Fehler bei der privilegierten Zugriffskontrolle, bösartige Proxy-Upgrades, bei denen Angreifer Implementierungsverträge gegen hintertürige Versionen austauschen, und Lücken bei der kettenübergreifenden Nachrichtenverifikation.

In Bezug auf privilegierten Zugriff sagte Niv, dass das Unternehmen auf „anomale ‚Role Granted‘-Ereignisse und unbefugte Rechteausweitung“ überwacht, wobei Vorfälle wie der Echo-Protocol-Exploit auf kompromittierte oder falsch konfigurierte Admin-Schlüssel zurückgehen.

„Angreifer erschleichen sich entweder durch Social Engineering private Schlüssel oder nutzen schlecht gestaltete Multisig-Schwellenwerte aus“, fügte er hinzu.

Er wies auf Fehler bei privilegierten Zugriffskontrollen, bösartigen Proxy-Upgrades und kettenübergreifenden Verifikationssystemen hin und sagte, dass jüngste Angriffe tiefere Schwächen in den Annahmen offenlegen, die eine zunehmend komplexe Infrastruktur verbinden.

„Der gemeinsame Nenner ist nicht die Komplexität an sich“, sagte Niv. „Es ist, dass jede Abstraktionsebene (Proxies, Admin-Rollen, kettenübergreifende Nachrichten) Vertrauensannahmen einführt, die Angreifer methodisch testen.“

KI-Einfluss

Niv sagte, dass KI zunehmend die Entdeckung von Exploits verändert, warnte jedoch, dass ihre Auswirkungen oft missverstanden werden.

Aktuelle Modelle werden immer effektiver darin, bekannte Schwachstellen in großem Umfang zu identifizieren und „automatisieren, was erfahrene Prüfer tun“, sagte er, während er warnte, dass „die eigentliche Sorge nicht ist, dass KI menschliche Angreifer ersetzt“, sondern dass KI „Angreifer verstärkt“, indem sie Aufklärungsarbeit übernimmt und ihnen ermöglicht, sich auf ausgefeiltere Techniken zu konzentrieren.

„Die gute Nachricht ist, dass Verteidiger dieselben Werkzeuge nutzen können. KI-gestützte Überwachung und Simulation wird für Sicherheitsteams, die Schritt halten wollen, unverzichtbar“, fügte Niv hinzu.

Im Fall der Zunahme von DeFi-Hacks wies Newson auf einen ähnlichen Trend hin und sagte: „Ein Faktor, der wahrscheinlich dazu beiträgt, wenn auch nicht der einzige, sind die Fortschritte in der KI.“

Sie fügte hinzu, dass CertiK einen Anstieg von älteren und ungeprüften Verträgen beobachtet hat, die ausgenutzt werden, was „die logische Annahme nahelegt, dass KI hilft, Schwachstellen zu finden.“

Ähnlich sagte Redbord, dass „böswillige Akteure KI in großem Umfang einsetzen“ bei Aufklärung, Social Engineering und Exploit-Design, und fügte hinzu, dass die Raffinesse, die bei Angriffen wie auf Drift zu sehen ist, „mit KI-gestützten Arbeitsabläufen übereinstimmt.“

TRM-Analysten glauben, dass nordkoreanische Betreiber zunehmend KI-Tools in ihre Operationen integrieren, wobei er sagte: „Die Antwort ist, KI in der Verteidigung mit der gleichen Aggression einzusetzen, mit der Gegner sie in der Offensive einsetzen.“

Über dem Code

Redbord sagte, DeFi-Hacks seien „ein lösbares Problem“, aber die Branche müsse ehrlicher darüber sein, wo Fehler tatsächlich auftreten.

Er merkte an, dass „Audits vor Code-Fehlern schützen“, aber nicht vor ausgeklügelten Social-Engineering-Kampagnen wie bei Drift, wo nordkoreanische Strohmänner Berichten zufolge Monate damit verbrachten, Zugang zu schaffen, bevor der Einbruch stattfand.

„Das Modell, das funktioniert, ist die Echtzeit-Koordination zwischen öffentlicher und privater Hand“, fügte der Experte hinzu.

Newson sagte, 2026 könnte „einen evolutionären Wendepunkt“ darstellen, und meinte, die Branche lerne, dass Cybersicherheit ein „Full-Stack-Problem“ sei, das „KI, die DVRK oder Infrastruktur und Personal“ umfasse.

„Es spielt keine Rolle, wie perfekt Ihre Mathematik on-chain ist, wenn Ihre menschlichen Prozesse off-chain anfällig sind“, sagte sie und merkte an, dass die Branche sich zunehmend in Richtung „praktischer, struktureller Lösungen“ bewege, um Infrastruktur- und Social-Engineering-Risiken anzugehen.

Vertrauensverlust

Der Schaden für das Vertrauen in den DeFi-Bereich ist schwerer zu quantifizieren, aber leicht zu beobachten.

Der Kelp-DAO-Exploit löste eine 6,2 Milliarden Dollar schwere Abzugswelle allein von Aave aus, bevor eine von Aave-CEO Stani Kulechov geleitete Hilfsaktion mit dem Namen „DeFi United“ 132.650 ETH im Wert von rund 303 Millionen Dollar aufbrachte, um die faulen Kredite abzusichern.

Die koordinierte Reaktion zeigt, dass die Branche mobilisieren kann. Sie zeigt auch, wie viel Kapital nötig ist, um einen einzigen Bridge-Exploit zu überdecken.

Newson sagte, die Folgen hängen ganz davon ab, wer betroffen ist.

„Erfahrene Branchenveteranen mögen die letzten sechs Wochen als normal ansehen – einfach die nächste evolutionäre Norm und eine harte Erfahrung, aus der man lernen muss“, sagte sie.

Sie wies darauf hin, dass die Auswirkungen wiederholter Angriffe für neuere Marktteilnehmer ganz anders aussehen, und warnte, dass für Nutzer, die erhebliche Gelder verlieren, der Schaden keine „Lernerfahrung“ sei, sondern „existenzielle Fragen“ zur langfristigen „Lebensfähigkeit und Sicherheit“ von Kryptowährungen aufwerfe, wobei technische Korrekturen oft zu spät kämen, um den Schaden rückgängig zu machen.