Sicherheit

Die Bitcoin-Restaking-Plattform BounceBit hat angekündigt, ihre eigene L1-Blockchain nach einem jüngsten Exploit schrittweise einzustellen. Das Unternehmen fokussiert sich auf BTC-Restaking, die Sicherheitslücke führt nun zur Beendigung des Betriebs der zugrunde liegenden Public-Chain. Details zum Angriff sowie zur Höhe möglicher Verluste hat das Team bislang nicht veröffentlicht. Die Entscheidung zur Abschaltung der L1 trifft die Fundamentaldaten des Projekts deutlich.

Maya Protocol hat den gesamten Betrieb ausgesetzt, nachdem das Protokoll von einem Angriff mit mehreren Sicherheitslücken getroffen wurde. Der Angreifer erbeutete dabei den nativen Token CACAO sowie eine größere Menge an Cross-Chain-Vermögenswerten; die genaue Schadenssumme wurde nicht veröffentlicht. Als dezentrale Cross-Chain-Liquiditätsplattform sieht sich das Protokoll mit beschädigten Kernbeständen und beeinträchtigter Liquidität in den zugehörigen Pools konfrontiert. Der Vorfall hat zudem Bedenken hinsichtlich der Sicherheit von Cross-Chain-Infrastruktur ausgelöst.

Seit dem KelpDAO-Hack ist der Total Value Locked (TVL) bei Aave weiterhin um 43% gefallen und liegt 67% unter dem 52‑Wochen-Hoch. Die Angreifer hinterlegten gestohlenes rsETH als Sicherheit bei Aave und liehen sich dafür echtes ETH, was bei Aave und Compound zusammen schätzungsweise $246 million an notleidenden Forderungen hinterließ. Der TVL sank von $26.4 billion vor dem Angriff auf $14.9 billion, was die Kreditkapazität verringert und die Volatilität erhöht. Der AAVE-Token fiel am Tag nach dem Vorfall um rund 20% und notiert derzeit bei etwa $89, weiterhin unter dem Niveau vor dem Hack.

Der größte regulierte Krypto-Broker Israels, Bits of Gold, hat ein Datenleck gemeldet: Ein Unterstützungs-Analysesystem wurde unbefugt aufgerufen, wodurch potenziell persönliche Daten von bis zu 250.000 Kunden offengelegt wurden. Betroffen sein könnten unter anderem Namen, Ausweisnummern, Telefon- und E-Mail-Daten, IP-Adressen, Bankkontoinformationen sowie öffentliche Krypto-Wallet-Adressen. Passwörter sowie Bilder von Ausweisdokumenten seien nicht kompromittiert, und Kundenvermögen sowie digitale Assets blieben nach Angaben des Unternehmens gesichert. Die offengelegten Kontakt- und Finanzdaten könnten jedoch für Phishing, Identitätsmissbrauch und Social-Engineering-Angriffe genutzt werden.

Am 10. März 2026 löste eine Fehlkonfiguration von Aaves CAPO-Risk-Oracle eine Abweichung des On-Chain-Wechselkurses von wstETH von rund 2,85% unter dem Marktpreis aus und triggert etwa 10.938 wstETH an Liquidationen. Das Liquidationsvolumen lag bei rund 26–27 Mio. US-Dollar, während Liquidatoren Werte von etwa 499–512 ETH abschöpften. Am 15. Februar 2026 führte bei Moonwell eine Governance-Änderung zu einer Fehlkonfiguration eines Chainlink-OEV-Wrappers, wodurch cbETH mit etwa 1,12 US-Dollar statt rund 2.200 US-Dollar bewertet wurde. Dadurch wurden 1.096,317 cbETH liquidiert, und dem Protokoll entstand ein Bad Debt von etwa 1,78 Mio. US-Dollar.

Eine Bridge zwischen dem XRP Ledger und der tx-Chain wurde durch eine Schwachstelle in der Einzahlungs-Erkennung ausgenutzt. Der Angreifer erzeugte Transaktionen ohne tatsächliche Einzahlung, konnte auf der tx-Chain jedoch bridged XRP prägen und diese anschließend in echtes XRP tauschen, wodurch etwa 200.000 XRP über 94 Zahlungen abflossen. Jede Zahlung trug die korrekte Signatur von 17 der 28 Relayer, und auch die eigenen Bridge-Aufzeichnungen wiesen die Einzahlungen als real aus. Das XRP Ledger von Ripple blieb unbeeinträchtigt, allerdings teilt txEcosystem mit, dass bridged XRP auf seiner Chain nicht mehr vollständig gedeckt sei.

Harmony Protocol meldete, dass es am 12. August zu einem unbefugten Minting von ONE gekommen ist. Zunächst ging das Team von 4000000000 ONE aus, eine spätere On-Chain-Rekonstruktion ergab jedoch, dass über sechs gefälschte Crossshard-Transaktionen rund 3010000000000 ONE an vier Angreifer-Adressen ausgegeben wurden. Harmony hat nach eigenen Angaben Sicherheitslücken bei der Verifizierung von Crossshard-Receipts sowie bei der Quorum-Prüfung des Prestaking-Komitees behoben, Mainnet v2026.1.1 ausgerollt und bereitet ein Rollback auf Block 92,730,034 vor.

Harmony hat einen Bericht zu einer Minting-Schwachstelle veröffentlicht und als Ursache einen CrossShard-Receipt-Replay-Bug genannt, durch den gültige Quittungen mehrfach verarbeitet werden konnten. Dadurch sei die Prägung neuer Token ohne entsprechende Abzüge möglich gewesen. Die erste Welle unautorisierter Minting-Vorgänge wurde zunächst mit 400 millionen ONE bestätigt, während die gesamte gefälschte CrossShard-Ausgabe bei etwa 3.01 trillionen ONE liege, so Foresight News. Ein Notfall-Patch wurde am August 12 aktiviert; zudem sind Crosschain-Dienste ausgesetzt und ein Rollback auf Block 92,730,034 in Vorbereitung.

Die Stiftung teilte in einem Bridge-Update mit, dass alle betroffenen Nutzer vollständig entschädigt werden und die fehlenden $XRP-Reserven komplett ergänzt werden, um die 1:1-Deckung für gebrücktes XRP wiederherzustellen. Nach der Wiederherstellung sollen die Reserven onchain verifizierbar sein. Die identifizierte Schwachstelle sei behoben, die Bridge bleibe jedoch bis zum Abschluss einer unabhängigen Sicherheitsprüfung pausiert und soll erst danach wieder starten. Zudem kündigte die Stiftung einen vollständigen technischen Bericht inklusive Wiederherstellungsmechanismus an und warnte vor Betrugsversuchen; offizielle Updates würden ausschließlich über die tx-Kanäle veröffentlicht.

Die DATA Foundation hat die Sperrfristen für Token ihres Teams und ihrer Lead-Investoren um 18 Monate verlängert, nachdem der in einem früheren Angebotsplan genannte Unlock-Termin 13. August verstrichen ist, ohne dass eine Freigabe begann. Ein neues Datum nannte die Organisation nicht. Frühere Unterlagen weisen 21.6% der anfänglichen Menge von 1 billion token den Early Backers und 20% den Core Contributors zu, zusammen 41.6%. In einem Bericht heißt es zudem, dass zurückkehrende VC-Finanzierung eine neue Welle von Token-Unlocks auslösen könnte; Pump Fun will am 12. Juli Insider-Token im Wert von 127M US-Dollar freigeben, etwa doppelt so viel wie das jüngste durchschnittliche Tagesvolumen.