Was der Bestand tatsächlich zeigt
Über die 25 Vorfälle in unserem Tracker hinweg ist die Schlüsselkompromittierung die größte einzelne Angriffsklasse und taucht in 13 Einträgen auf. Bridge-Exploits folgen mit 7 — und jeder einzelne davon scheiterte ebenfalls am Schlüsselmanagement oder an der Nachrichtenvalidierung, nicht an der Kryptografie.
Reentrancy, jene Schwachstellenklasse, die den Diskurs über Smart-Contract-Sicherheit ein Jahrzehnt lang prägte, taucht zweimal auf.
Wohin die Aufmerksamkeit stattdessen fließt
Audits sind sichtbar, vermarktbar und zählbar. „Von drei Firmen geprüft“ passt auf eine Landingpage. „Unsere Signierenden prüfen Roh-Nutzlasten auf separater Infrastruktur, und wir entziehen Zugänge, sobald Auftragnehmer gehen“ passt nicht.
Doch die Vorfälle, die in unserem Bestand die größten Verluste hervorbrachten — Bybit, Radiant Capital und nun der Coldcard-Entropiefehler —, wiesen überhaupt keinen Contract-Defekt auf. In zwei von ihnen waren sowohl Hardware-Wallets als auch Multisig-Verfahren im Einsatz, und beide verhielten sich genau wie vorgesehen.
Die unbequeme Fassung
Ein Audit sagt Ihnen, dass jemand den Code gelesen hat. Es kann Ihnen nicht sagen, wer die Schlüssel hält, ob Zugänge entzogen wurden, als jemand ausschied, ob die Maschine, die eine Transaktion zusammenstellt, dieselbe ist, die sie anzeigt, oder ob die Entropie hinter einem Seed echt war.
Das sind die Fragen, auf die die Verlustdaten immer wieder zeigen, und sie lassen sich erheblich schwerer auf einer Marketingseite unterbringen.
Quellen
- QuillAudits, July 2026 Crypto Hacks — monthly breakdown (1 Aug. 2026)
- MetaMask, Crypto Security Report: July 2026 (1 Aug. 2026)
Keine Beratung. Conisec berichtet ausschließlich zu Informationszwecken. Nichts in diesem Artikel ist eine Finanz-, Rechts-, Steuer- oder Sicherheitsberatung. Prüfen Sie die oben verlinkten Primärquellen, bevor Sie auf dieser Grundlage handeln.
