DeFi-Sicherheit 2026: Die Protokolle werden robuster, die Risiken verlagern sich

Im Frühjahr 2026 kam es innerhalb eines einzigen Monats zu einer Rekordzahl von 28 DeFi-Exploits – darunter der grösste einzelne Krypto-Hack des Jahres.

Ein DeFi-Exploit bezeichnet die Ausnutzung einer Schwachstelle in einem Smart Contract eines dezentralen Finanzprotokolls – also in den Smart Contracts, die Finanzdienstleistungen wie Kreditvergabe, Trading oder Staking auf einer Blockchain automatisch ausführen. Solche Protokolle verwalten mitunter Vermögenswerte in dreistelliger Millionenhöhe.

Auf den ersten Blick scheint die Schlussfolgerung eindeutig: Die Sicherheit im DeFi-Sektor verschlechtert sich. Ein genauerer Blick auf die Zahlen zeigt jedoch zwei Angriffskategorien, die sich in entgegengesetzte Richtungen entwickeln. Die eine umfasst den grössten einzelnen Exploit des Jahres. Die andere ist im Zeitverlauf deutlich weniger schadenträchtig geworden.

DeFi ist an den Rändern riskanter geworden, im Kern jedoch tatsächlich sicherer. Für Finanzdienstleister ergeben sich daraus unterschiedliche Anforderungen an die Due Diligence – und die jüngsten Ereignisse haben genau gezeigt, warum.

DeFi-Anwendungen werden durch Smart Contracts gesteuert: öffentlich einsehbaren Code, der festlegt, wie ein Lending Pool, eine Börse oder ein Renditeprodukt funktioniert. Einen solchen Smart Contract auszunutzen bedeutet, eine Schwachstelle in diesem Code zu finden – vergleichbar mit einer Lücke in den Bedingungen eines Finanzvertrags.

Diese Form von Smart-Contract-Sicherheitsversagen ist messbar weniger gravierend geworden: Die durchschnittlichen Verluste pro Vorfall sanken von rund USD 156 Millionen im Zeitraum 2020 bis 2022 auf etwa USD 14 Millionen seit 2023. Das deutet darauf hin, dass sich die Sicherheit der Kernprotokolle verbessert hat, während Angreifer zunehmend auf kleinere, peripherere Ziele ausweichen.

Die steigende Zahl von DeFi-Hacks ist daher eher als Zeichen grösserer Reichweite denn grösserer Tiefe zu verstehen. In DeFi sind mehr Smart Contracts im Einsatz als je zuvor, mehr Integrationen haben technische Altlasten aus früheren Wachstumsphasen angesammelt, und KI-gestützte Tools haben die Kosten gesenkt, Code nach Smart-Contract-Schwachstellen zu durchsuchen. Die Angriffsfläche ist grösser geworden – während der Schaden bei erfolgreichen Protokoll-Exploits zurückgegangen ist.

Am anderen Ende des Spektrums steht der erfolgreiche Angriff auf Kelp DAO. Als Ausreisser nach oben zeigt er die Kehrseite der Entwicklung: Der Verlust von USD 292 Millionen – einer der bislang grössten einzelnen Krypto-Exploits des Jahres 2026 – war kein Angriff auf das Protokoll selbst. Es handelte sich um einen Cross-Chain-Bridge-Hack, also um einen Angriff auf die Infrastruktur, die Vermögenswerte zwischen Blockchains bewegt: jene Verifizierungsschicht, die Cross-Chain-Transaktionen bestätigt – vergleichbar mit der Messaging-Infrastruktur, die Finanzinstitute miteinander verbindet.

Diese Bridge-Infrastruktur stützte sich auf einen einzelnen Verifizierungs-Node, um solche Transaktionen freizugeben. Angreifer, die der nordkoreanischen Lazarus Group zugeschrieben werden, kompromittierten diesen Node mittels Social Engineering. Anschliessend nutzten sie ihn, um eine scheinbar gültige Anweisung zu erstellen, durch die rsETH im Wert von USD 292 Millionen freigegeben wurde – ein Token, der gestakten Ether repräsentiert, jedoch in diesem Fall ohne reale Deckung. Kein Smart-Contract-Audit des DeFi-Protokolls von Kelp hätte diese Schwachstelle erkannt, da sie nicht im Contract-Code lag.

Was auf den Kelp-DAO-Exploit folgte, zeigt, weshalb Cross-Chain-Bridge-Ausfälle ein systemischeres Risikoprofil haben als Protokoll-Exploits – und weshalb DeFi-Lending-Risiken über jene Plattformen hinausreichen, auf denen Vermögenswerte tatsächlich hinterlegt werden.

Der Angreifer hinterlegte die gefälschten Tokens bei Aave, der grössten DeFi-Lending-Plattform, als Sicherheiten und nahm daraufhin rund USD 190 Millionen an realen Vermögenswerten als Kredit auf. Als die Fälschung offensichtlich wurde, froren Aave und zwei weitere grosse Lending-Plattformen ihre Märkte ein, um die Entstehung fauler Kredite zu verhindern.

In den folgenden 48 Stunden wurden rund USD 13 Milliarden an Vermögenswerten von DeFi-Plattformen abgezogen, als ein Infrastrukturausfall bei einem einzelnen Protokoll innerhalb eines Tages zu einem marktweiten Liquiditätsereignis wurde. Das zentrale Merkmal von Composability-Risiken – manchmal auch als DeFi-Contagion bezeichnet – ist die Fähigkeit eines Ausfalls in einem Teil des Systems, sich über die finanziellen Verbindungen im Umfeld weiter auszubreiten.

Die Unterscheidung zwischen Kern- und Randrisiken hat direkte praktische Folgen für Finanzdienstleister mit DeFi-Exposure oder für Kunden, die DeFi-Vermögenswerte halten.

Ein Smart-Contract-Audit – das Standardinstrument der Due Diligence zur Bewertung von DeFi-Sicherheit – hätte die Schwachstelle bei Kelp DAO nicht aufgedeckt. Das Exposure gegenüber einem gut auditierten DeFi-Protokoll und das Exposure gegenüber einem Asset, dessen Deckung von Cross-Chain-Bridge-Infrastruktur abhängt, sind zwei getrennte Risikofragen mit unterschiedlichen Ausfallmechanismen.

Eine umfassende DeFi-Risikobewertung muss Bridge-Risiken, Governance-Risiken und Composability-Risiken heute als eigenständige Dimensionen einer DeFi-Position behandeln: nicht als Unterkategorien von Smart-Contract-Risiken, sondern als separate Ebenen, die von klassischen DeFi-Audit-Prozessen nicht vollständig erfasst werden. Für Institutionen, die Krypto-Counterparty-Risiken bewerten, muss der Prüfungsumfang über die Anwendungsebene hinausgehen.

Gleichzeitig stehen dieselben KI-gestützten Tools, die die Kosten für das Auffinden von Protokollschwachstellen gesenkt haben, auch den Verteidigern zur Verfügung. Blockchain-Security-Teams können Smart-Contract-Schwachstellen dadurch schneller identifizieren und beheben als zu jedem früheren Zeitpunkt in der Geschichte von DeFi.

Das Research-Team von Bitcoin Suisse erwartet, dass sich der Verbesserungstrend auf Protokollebene fortsetzt. Der verbleibende Aufholbedarf konzentriert sich auf die Infrastrukturebene – also auf die Ränder, nicht auf den Kern. Für Finanzdienstleister hat sich damit die entscheidende Frage zur DeFi-Sicherheit verschoben: nicht ob DeFi sicher ist, sondern welche Ebene betroffen wäre – und was ein Ausfall auf dieser Ebene tatsächlich in Gang setzt.

Quelle: Bitcoin Suisse. Daten: DefiLlama. Daten per 30. April 2026.

Die ursprüngliche Analyse ist im Bitcoin Suisse Industry Rollup – May 2026 verfügbar.