Jahrelang bestand das Hauptargument für eine Coldcard darin, dass niemand an Ihre Bitcoins gelangen konnte, es sei denn, er hielte das Gerät physisch in seinen Händen.

Dieses Versprechen zerbrach diese Woche, als ein Angreifer leise gefegt Rund 1,082 BTC im Wert von etwa 70 Millionen US-Dollar wurden innerhalb einer Stunde aus über tausend Wallets gestohlen. Das Beunruhigende daran: Der Dieb berührte kein einziges Gerät, führte keinen Phishing-Angriff durch und benötigte weder eine PIN noch ein Passwort. Die Coins befanden sich in Offline-Speichern, genau so, wie es in jeder Anleitung zur Selbstverwahrung empfohlen wird. Und trotzdem verschwanden sie. Für einen Teil der Krypto-Community, in dem Hardware-Wallets als Goldstandard der Sicherheit gelten, ist dies ein wirklich bitterer Rückschlag.

Blockchain-Analysten von Galaxy Digital, die den Datenabfluss verfolgten, bezifferten die Verluste zunächst auf rund 38 Millionen US-Dollar, korrigierten die Zahl aber nach oben, als weitere Adressen im Zuge des Angriffs aufgetaucht waren. Der Hardware-Wallet-Hersteller Coinkite bestätigte die Sicherheitslücke und veröffentlichte umgehend ein aktualisiertes Firmware-Update, doch da war das Geld bereits verloren. Laut Coinkites eigener Sicherheitswarnung ereignete sich der Diebstahl etwa einen Tag, bevor das Unternehmen seine Nutzer öffentlich warnen konnte. Viele Nutzer sahen daher zu, wie ihre Guthaben auf null sanken, bevor sie überhaupt etwas von dem Problem bemerkten. Wenn die gesamte Marke auf extremen Sicherheitsvorkehrungen basiert, ist eine solche Verzögerung äußerst kritisch. Das Unternehmen arbeitet nach eigenen Angaben weiterhin daran, das volle Ausmaß des Schadens zu ermitteln.

Ein fünf Jahre alter Fehler in der Art und Weise, wie die Geldbörse ihre Schlüssel herstellt

Die Ursache ist gleichermaßen banal wie alarmierend. Hardware-Wallets sollen ihre Wiederherstellungsphrase eigentlich aus echten Zufallszahlen generieren, sodass ein Erraten mathematisch unmöglich ist. Irgendwann in einem Firmware-Update vom März 2021 begann die Coldcard-Software jedoch, den dedizierten Hardware-Zufallszahlengenerator zu umgehen und stattdessen auf vorhersehbare Werte des Chips zurückzugreifen. Anstelle der erwarteten 128 Bit Entropie erzeugten betroffene Mk3-Geräte Wiederherstellungsphrasen mit nur etwa 40 Bit, spätere Mk4-, Mk5- und Q-Modelle sogar nur noch mit etwa 72 Bit. Vereinfacht gesagt: Die eigentlich unerratbare Wiederherstellungsphrase konnte von einem entschlossenen Angreifer mit moderner Hardware geknackt werden.

Besonders ärgerlich ist, dass diese Schwachstelle über fünf Jahre lang unentdeckt blieb. Jede Wallet, die mit den betroffenen Builds erstellt wurde, wies von Anfang an dieselbe Sicherheitslücke auf, unabhängig davon, ob der Besitzer etwas falsch gemacht hatte. Einige Forscher vermuten, dass automatisierte oder KI-gestützte Tools dem Angreifer geholfen haben könnten, den reduzierten Schlüsselraum schnell genug zu durchsuchen, um so viele Wallets auf einmal zu löschen. Diese Vermutung ist jedoch nicht bestätigt. Coinkite gibt an, dass die korrigierte Firmware die korrekte Zufälligkeit wiederherstellt, doch ein Patch kann die Vergangenheit nicht umschreiben. Jeder mit der alten Software generierte Seed existiert weiterhin in geschwächter Form. Genau deshalb sind die aktuellen Warnungen so deutlich.

Diejenigen, die getroffen wurden, haben alles "richtig" gemacht.

Dieser Verlust schmerzt besonders, da er diejenigen traf, die sich strikt an die üblichen Empfehlungen gehalten hatten. Die geplünderten Wallets gehörten größtenteils Langzeitinvestoren, die ihre Coins vor Jahren von den Börsen abgezogen und unberührt in Offline-Speichern (Cold Storage) aufbewahrt hatten – was eigentlich als verantwortungsvoller Umgang gilt. Ihre Belohnung für diese Vorsicht: Sie mussten zusehen, wie ihre Guthaben verschwanden, während neuere und weniger disziplinierte Trader auf Verwahrungsplattformen völlig unbeeinträchtigt blieben. Doch es gibt noch eine bittere Wendung: Nutzer, die bei der Einrichtung ihre eigenen Würfelwürfe hinzugefügt oder eine Passphrase bzw. eine Multisignatur-Lösung eingerichtet hatten, schienen geschützt gewesen zu sein. Denn diese zusätzlichen Eingaben stellten die Zufälligkeit wieder her, die die Firmware entfernt hatte. Am stärksten betroffen waren diejenigen, die dem Gerät einfach vertrauten und es seine wichtigste Aufgabe erledigen ließen.

Was tun, wenn Sie eines besitzen?

Wenn Sie eine Coldcard besitzen, ist die Empfehlung von Coinkite eindeutig: Behandeln Sie Ihren Seed als kompromittiert und transferieren Sie Ihre Guthaben. Das bedeutet, die Firmware auf die gepatchte Version zu aktualisieren, auf der aktualisierten Hardware einen neuen Seed zu generieren und anschließend alles an die neue Wallet zu senden. Denn ein Firmware-Update allein behebt nichts, wenn der schwache Seed bereits existiert. Ärgerlicherweise gibt es keinen Selbsttest, der Ihnen anzeigt, ob Ihr Seed im erratbaren Bereich liegt. Die einzige sichere Annahme ist daher, dass dies der Fall sein könnte. Sie können Ihre Firmware-Version im Menü „Erweitert“ des Geräts überprüfen. Alle Seeds, die mit den anfälligen Builds zwischen 2021 und dem kürzlich erfolgten Fix generiert wurden, sollten als verdächtig eingestuft werden. Bitcoin gab um etwa 3 % nach, als das Ausmaß des Problems deutlich wurde. Der Zeitpunkt liefert all jenen, die regulierte Verwahrstellen und Spot-ETFs gegenüber der Selbstverwaltung von Kryptowährungen propagieren, ein willkommenes Argument.

Die unangenehme Lektion ist, dass „Nicht deine Schlüssel, nicht deine Coins“ immer als sicherer Weg verkauft wurde und größtenteils immer noch gilt. Doch deine Schlüssel schützen dich nur, wenn sie von Anfang an tatsächlich zufällig generiert wurden. Ein einziger, unauffälliger Entwicklungsfehler blieb ein halbes Jahrzehnt lang in einem der vertrauenswürdigsten Anbieter für Bitcoin-Selbstverwahrung unentdeckt, und erst ein Diebstahl von 70 Millionen Dollar brachte ihn ans Licht. Das heißt aber nicht, dass Hardware-Wallets Betrug sind oder Cold Storage plötzlich tot ist. Es bedeutet vielmehr, dass die unscheinbaren Dinge – Firmware-Updates, zusätzliche Entropie, Passphrasen und Multisig-Einrichtungen – dich im Stillen schützen, bis zu dem Tag, an dem sie sich als das Einzige erweisen, das dich vor einem leeren Wallet bewahrt.

---------------

Autor: Cedric Holloway
New Yorker Nachrichtenredaktion
Aktuelle Crypto News

Auf dem Galaxy Unpacked Event in London am 22. Juli bestätigte Samsung, dass die Samsung Wallet Stablecoins nativ unterstützen wird. Damit werden an den US-Dollar gekoppelte Token in dieselbe App integriert, die Nutzer bereits zum kontaktlosen Bezahlen mit ihrem Smartphone verwenden. Für eine Branche, die seit Jahren Stablecoins als die ultimative Anwendung für Kryptowährungen preist, ist die offizielle Bestätigung durch einen der größten Hardwarehersteller der Welt ein bedeutender Schritt. Samsung erklärt, dass diese Funktion das Unternehmen zu einer der ersten großen Smartphone-Marken machen würde, die Stablecoins nativ auf ihren Geräten unterstützen – und genau diese Reichweite ist der entscheidende Faktor. Samsung liefert jährlich Hunderte Millionen Smartphones aus, sodass die potenzielle Verbreitung alles übertrifft, wovon eine eigenständige Krypto-Wallet je träumen könnte.

Und dennoch hüllte sich Samsung angesichts dieser wichtigen Ankündigung in seltsames Schweigen zu den wirklich entscheidenden Details. Zwar wurde auf der Bühne ein Modell mit Circles USDC präsentiert, doch weder USDC noch Tether oder ein anderer Emittent wurden als bestätigter Partner genannt. Es gibt weder ein Startdatum noch Informationen zu den unterstützten Blockchains, eine Liste der teilnahmeberechtigten Länder und keine Antwort auf die wichtigste Frage für alle, denen ihre Finanzen am Herzen liegen: Verwahrt Samsung die Gelder oder übernimmt Samsung die Verwahrung selbst? Dieser letzte Punkt – Verwahrung versus Selbstverwaltung – ist der entscheidende Unterschied zwischen einer echten Krypto-Wallet und einer bloßen Guthabenanzeige, und Samsung hat sich dazu bisher nicht geäußert. Für eine Funktion, die Vertrauen schaffen soll, bleiben viele Fragen offen.

Die Kreditkarte ist der Teil, der tatsächlich versendet wird.

Fast unbemerkt von den Schlagzeilen um Stablecoins ging Samsungs eigentliche Produkteinführung am selben Tag unter: die Samsung Galaxy Card. Diese Kreditkarte wird von Barclays ausgegeben und läuft im Visa-Netzwerk. Sie wurde am 22. Juli in den USA eingeführt – ohne jegliche Ankündigung. Das Bonusprogramm zielt klar darauf ab, Kunden an Samsung zu binden: 5 % Cashback auf Samsung-Einkäufe, 3 % auf alle Käufe über die Samsung Wallet und 2 % auf Streaming-Dienste. Für sich genommen ist das eine recht gewöhnliche Co-Branding-Karte, wie sie jede große Marke irgendwann einführt, um treue Kunden zu gewinnen. Interessant wird sie jedoch durch den Kontext: Samsung versucht ganz offensichtlich, die Wallet von einem Ort zur Speicherung von Flugtickets zu einem vollwertigen Finanzzentrum auszubauen, und Stablecoins sollen dem Ganzen einen modernen Anstrich verleihen.

Zusammengenommen deuten die Karte und die angekündigte Stablecoin-Funktion auf dasselbe Ziel hin: Samsung möchte, dass Wallet die zentrale Anlaufstelle für Geld ist – zum Aufbewahren, Ausgeben und schließlich auch für Geldtransfers –, ohne dass eine separate Banking- oder Krypto-App geöffnet werden muss. Die Karte dient aktuell dem Bezahlen und funktioniert einwandfrei. Die Stablecoin-Unterstützung soll, sobald sie verfügbar ist, den Geldtransfer ermöglichen und es Nutzern erlauben, digitale Dollar so einfach zu versenden wie ein Foto. Auf dem Papier klingt das schlüssig, doch Pläne können bekanntlich scheitern, und Samsung hat sich durch die fehlende Festlegung auf einen konkreten Termin selbst genügend Spielraum gelassen.

Weitere Implikationen

Selbst wenn Sie persönlich nie vorhaben, auch nur einen Cent USDC auf Ihrem Smartphone zu speichern, sind das gute Nachrichten für Krypto-Trader. Die Akzeptanz von Kryptowährungen im Einzelhandel konzentrierte sich in der Vergangenheit zunächst auf Stablecoins und erst später auf Spekulationsgeschäfte. Jemand, der bereits ein Stablecoin-Guthaben in einer vertrauenswürdigen App hält, kann Bitcoin oder Ether viel schneller kaufen als jemand, der noch gar keine Kryptowährungen besitzt und sich erst bei einer Börse anmelden muss. Wenn Samsung tatsächlich eine einfache Stablecoin-Funktion für einen Großteil seiner Nutzerbasis bereitstellt, erweitert das Unternehmen still und leise den Markt für alle. Dieser Effekt wirkt sich langsam aus und wird sich – egal wie sehr man es sich wünscht – nächste Woche nicht in einem Candlestick-Chart zeigen.

Genau deshalb sollten Sie keine unmittelbaren Kursbewegungen erwarten. Die Kryptoindustrie hat eine lange und wenig beeindruckende Geschichte von Schlagzeilen über „wichtige Partnerschaften“ und „breite Akzeptanz“, die im Moment zwar euphorisch wirkten, aber im Folgemonat keinerlei Auswirkungen auf die Kurse hatten. Infrastrukturankündigungen funktionieren oft so. Ihre Bedeutung entwickelt sich über Jahre, nicht über Tage, und diese Ankündigung ist besonders vage, da vieles noch aus Entwürfen und Versprechungen besteht und nicht aus fertigem Code. Betrachten Sie sie als Richtungshinweis für die Entwicklung von Fintech-Lösungen für Endverbraucher – die eindeutig in Richtung digitaler Währungen in bereits genutzten Apps geht – und nicht als Grund, Ihr Portfolio heute umzuschichten.

Das Kleingedruckte

Was bedeutet das nun konkret? Samsung hat sich lautstark und glaubwürdig dazu bekannt, Stablecoins einem breiten Publikum zugänglich zu machen, und dieses Engagement ist für die langfristige Akzeptanz durchaus bedeutsam. Doch ein Versprechen ohne namentlich genannten Partner, ohne Datum, ohne Blockchain und ohne Verwahrungsmodell ist im Grunde nur eine Absichtserklärung, und Absichtserklärungen sind in dieser Branche bekanntlich nicht viel wert. Die Galaxy Card ist real und bereits erhältlich, die Stablecoin-Wallet hingegen nur eine Präsentation und ein Prototyp. Diese Diskrepanz sollte man sich vor Augen halten, wenn einem das nächste Mal erzählt wird, Kryptowährungen seien über Nacht zum Mainstream geworden. Die weiteren Details in den kommenden Monaten werden zeigen, ob Samsung tatsächlich eine echte Krypto-Wallet entwickelt oder nur eine ansprechendere Darstellung von Zahlen.

Was man mit dem Geld tatsächlich kauft

Die hier zugrunde liegende Struktur ist wichtig, denn sie entspricht nicht dem, was die meisten Menschen unter einem „Konsortium“ verstehen. Die 15 Millionen Dollar fließen nicht in einen gemeinsamen Topf, über den ein Komitee entscheidet. Jedes Mitglied verwaltet seinen Anteil unabhängig und wählt selbst aus, welche Entwickler, Forscher oder Organisationen es mit seinen Mitteln unterstützt. Die Gruppe hat erklärt, die Entwicklung von Bitcoin nicht zu lenken, bei vorgeschlagenen Protokolländerungen keine Partei zu ergreifen und sich in keiner Weise in die Governance einzumischen. Vereinfacht gesagt: Sie stellen Schecks aus und ziehen sich dann zurück. Für ein Netzwerk, das auf dem Prinzip basiert, dass kein großer Akteur die Kontrolle übernehmen sollte, ist dies ein bedeutsames öffentliches Versprechen.

Galaxy hatte sich bereits einen Vorsprung verschafft und zwei Tage zuvor ein separates, 5 Millionen Dollar teures Projekt zur Vorbereitung auf Quantencomputer gestartet , das sich auf quantenresistente Signaturen, Tools zur Wallet-Migration und Sicherheitsaudits konzentriert. Ob diese Mittel in die Gesamtsumme von 15 Millionen Dollar einfließen oder separat verwaltet werden, blieb unklar – ein kleiner Hinweis darauf, dass sich dieser gesamte Bereich noch in der Entwicklung befindet. Entscheidend ist die Richtung, in die es geht. Vor einem Jahr spielte die Quantentechnologie-Frage hauptsächlich in wissenschaftlichen Publikationen und den dunkleren Ecken der Krypto-Community eine Rolle. Jetzt ist sie ein fester Budgetposten in einigen der größten Finanzunternehmen der Welt, und allein diese Entwicklung zeigt, dass sich etwas verändert hat.

Warum die Quantenphysik uns alle nachts wach hält

Die Sicherheit von Bitcoin beruht auf einer mathematischen Methode, die herkömmliche Computer in absehbarer Zeit nicht knacken können. Ein ausreichend leistungsstarker Quantencomputer, der den sogenannten Shor-Algorithmus verwendet, könnte dies ändern, indem er vom öffentlichen Schlüssel zum privaten Schlüssel rechnet, der die Coins kontrolliert. Das Beunruhigende daran ist, dass jede Adresse, die jemals ihren öffentlichen Schlüssel in der Blockchain offengelegt hat, potenziell von einem solchen Angriff betroffen sein kann. Forscher schätzen, dass sich etwa ein Viertel aller Bitcoins in Adressen mit offengelegten öffentlichen Schlüsseln befindet, darunter rund 1.9 Millionen BTC im ältesten Adressformat und mehrere Millionen weitere in wiederverwendeten Adressen. Niemand geht davon aus, dass eine solche Maschine heute schon existiert, und glaubwürdige Schätzungen gehen davon aus, dass es noch einige Jahre dauern wird.

Das Beunruhigendere daran ist, dass ein Angreifer nicht einmal einen Quantencomputer benötigt, um sich vorzubereiten. Öffentliche Schlüssel auf einer öffentlichen Blockchain können sofort kopiert und archiviert und später entschlüsselt werden, sobald die Hardware so weit ist. Sicherheitsforscher bezeichnen dieses Warten als „Ernten jetzt, Entschlüsseln später“. Das bedeutet, dass die Zeit bereits läuft, obwohl die Waffe noch nicht existiert. Es erklärt, warum Unternehmen mit großen Bitcoin-Beständen lieber Jahre im Voraus in die Behebung des Problems investieren, anstatt darauf zu spekulieren, wann genau die Bedrohung real wird. Prävention ist deutlich günstiger, als zu versuchen, bereits verschwundene Coins in der Wallet eines Quantenangreifers zurückzuholen.

Die Münzen, die niemand retten kann

Es gibt einen Bitcoin-Bestand, den das Konsortium niemals schützen kann, egal wie gut die neue Kryptographie auch werden mag. Satoshi Nakamotos geschätzte eine Million Coins befinden sich im ursprünglichen Pay-to-Public-Key-Format, wobei die öffentlichen Schlüssel direkt in der Blockchain für jedermann einsehbar sind. Um diese Bitcoins auf eine sicherere, quantenresistente Adresse zu übertragen, müsste eine Transaktion mit Satoshis privaten Schlüsseln signiert werden, und der Bitcoin-Erfinder schweigt seit über einem Jahrzehnt. Daher bleiben diese Coins genau dort, wo sie sind – permanent sichtbar und somit ein riesiges Ziel, das auch dann noch bestehen wird, wenn Quantenhardware endlich verfügbar ist. Es ist eine der seltsamsten Spannungen im gesamten Kryptobereich: Das unantastbare Vermögen des Gründers ist gleichzeitig die offensichtlichste Schwachstelle des Netzwerks.

Die gute Nachricht ist, dass die Werkzeuge zur Behebung der meisten Probleme bereits existieren, da Standardisierungsgremien mehrere Post-Quanten-Signaturverfahren genehmigt haben, die Bitcoin möglicherweise übernehmen könnte. Was bisher fehlte, waren Geld, Koordination und ein ausgeprägtes Dringlichkeitsbewusstsein seitens der Akteure, die am meisten zu verlieren haben – genau diese Lücke versucht das Konsortium zu schließen. Fünfzehn Millionen Dollar allein werden Bitcoin nicht quantensicher machen, und die schwierigste technische und politische Arbeit, das Protokoll tatsächlich zu ändern, steht noch bevor. Wenn jedoch so große Unternehmen Jahre im Voraus beginnen, ein Problem zu finanzieren, bevor es sich zu einem Notfall entwickelt, lohnt es sich in der Regel, genauer hinzusehen, was sie beunruhigt.

Allbridge verbrachte das Jahr 2023 damit, zu erklären, warum genau dieser Angriff bei ihren Pools nie wieder funktionieren könnte.

Am Sonntagabend entwendete ein Angreifer rund 1.65 Millionen US-Dollar in Stablecoins aus den Solana-Liquiditätspools von Allbridge Core. Die Methode war keine neuartige Zero-Day-Schwachstelle, die niemand vorhergesehen hatte. Es handelte sich um eine Manipulation des Flash-Loan-Pool-Verhältnisses – dieselbe Angriffsart, die im Mai 2023 die BNB-Chain-Pools von Allbridge traf und etwa 570,000 US-Dollar kostete. Damals veröffentlichte das Team eine Analyse des Vorfalls, akzeptierte den Verlust und verpflichtete sich zu einer Architekturänderung, die diese Angriffsart künftig strukturell unmöglich machen sollte. Drei Jahre später traf dieses Versprechen auf einer anderen Blockchain auf die Realität – und die Realität setzte sich durch. Das Protokoll hat Core daraufhin vorübergehend außer Betrieb genommen, um den Vorfall zu untersuchen.

Für alle, die Liquidität für Cross-Chain-Bridges bereitstellen, lohnt es sich, genauer hinzusehen und nicht nur die Zahl in der Überschrift zu betrachten. Der Dollarbetrag ist im Vergleich zu den Standards von 2026 gering, deutlich niedriger als der Verlust, den Ostium nur fünf Tage zuvor durch einen kompromittierten Oracle-Schlüssel erlitten hat, und weit entfernt von den dreistelligen Millionenbeträgen, die Bridge-Katastrophen im letzten Zyklus verursacht haben. Doch die Höhe des Verlustes ist hier nicht der entscheidende Punkt. Vielmehr geht es darum, dass eine dokumentierte Sicherheitslücke mit einer dokumentierten Lösung drei Jahre lang in einer Produktionskette unentdeckt blieb, bis jemand mit einem Kamino-Konto beschloss, dies zu überprüfen.

Wie der Angreifer es angeblich geschafft hat

Die Sequenz begann mit einem Flash-Kredit über 1.12 Millionen US-Dollar von Kamino, einem Solana-Kreditprotokoll. Flash-Kredite ermöglichen es, hohe Summen ohne Sicherheiten zu leihen, solange sie in derselben Transaktion zurückgezahlt werden. Dadurch eignen sie sich ideal für alle, die kurzfristig einen Pool aus dem Gleichgewicht bringen wollen. Der Angreifer nutzte das geliehene Kapital, um USDC in den Solana-Pools von Allbridge schnell gegen USDT zu tauschen und so das Verhältnis der beiden Währungen massiv zu verzerren. Die Preisberechnung von Allbridge behandelte dieses verzerrte Verhältnis als real, wodurch der Angreifer mehr abziehen konnte, als er eingezahlt hatte. Wiederholt man den Vorgang, zahlt den Kredit zurück, behält die Differenz und erhält so in etwa der Zeit, die man zum Lesen dieses Absatzes benötigt, rund 1.65 Millionen US-Dollar.

Nichts davon ist ungewöhnlich. Manipulationen von Flash-Loan-Pools stehen seit 2020 auf jeder Checkliste für DeFi-Sicherheit, und Prüfer weisen routinemäßig darauf hin. Die Ursache liegt in einer spezifischen strukturellen Bedingung: Zwei oder mehr tauschbare Assets in Pools, mit denen innerhalb einer einzigen atomaren Transaktion interagiert werden kann. Fehlt diese Bedingung, hat der Angriff keine Angriffsfläche. Genau das gab Allbridge nach dem BNB-Chain-Vorfall an.

Die für 2023 geplante Lösung, die Solana nie erreichte

Nach dem Angriff im Mai 2023 bestand Allbridges Lösung darin, pro Blockchain nur noch einen Liquiditätspool zu verwenden. Ein einziger Pool bedeutet, dass es keine anderen Pools mehr gibt, gegen die getauscht werden könnte, keine verzerrten Verhältnisse mehr bestehen und Flash-Kredite keinen Nutzen mehr bringen. Theoretisch ist dies eine saubere Lösung, und sie beruhigt die Einleger, da sie das System grundlegend verändert, anstatt nur ein Symptom zu beheben. Das Team konnte zudem rund 465,000 US-Dollar der Verluste von 2023 durch eine Vereinbarung mit dem Angreifer zurückerhalten, was damals als ein durchaus kompetenter Umgang mit den Folgen der Krise erschien.

Die Solana-Implementierung betrieb jedoch weiterhin USDC- und USDT-Pools parallel. Genau diese Konfiguration sollte die Single-Pool-Richtlinie eigentlich abschaffen. Ob die Migration nie erfolgte, ob sie zwar erfolgte, aber später rückgängig gemacht wurde oder ob sie einfach vor der Richtlinie existierte und niemand sie überprüfte – das praktische Ergebnis ist dasselbe. Eine Sicherheitszusage, die in einem Blogbeitrag enthalten war, existierte im Code mindestens einer Blockchain nicht, und es gab offenbar keinen Prozess, der diese Sicherheitslücke erkannte. On-Chain-Analysten, darunter Forscher, die den Vorfall verfolgten, bemerkten die Unterbrechung und die Geldbewegungen innerhalb weniger Stunden.

Wohin das Geld geflossen ist und was Allbridge verlangt

Die gestohlenen Stablecoins wurden von Solana zu Ethereum transferiert und anschließend auf mehrere Adressen verteilt. Berichten zufolge wurden Teile davon in Privacy Pools geleitet, um die Rückverfolgung zu erschweren. Dieses Vorgehen ist mittlerweile bekannt und bedeutet in der Regel, dass die Chancen auf eine Rückerstattung rapide sinken, sobald die Gelder eingegangen sind. Allbridge hat den Core-Betrieb vorübergehend eingestellt, Liquiditätsanbieter zum Abzug aufgefordert und eine weitere Bitte geäußert, die viel über den tatsächlichen Ablauf solcher Ereignisse aussagt: Händler, die von dem vorübergehenden Ungleichgewicht im Pool profitiert haben, wurden gebeten, ihr Geld zurückzuzahlen. Herkömmliche Arbitrage-Bots haben mit ziemlicher Sicherheit von der ungleichen Verteilung der Pools profitiert, und diese Betreiber haben nichts Verbotenes getan, außer ein vom Markt angebotenes Geschäft zu nutzen. Die Rückerstattung des Geldes ist eine Frage des guten Willens, nicht der Durchsetzung von Gesetzen; daher sollte niemand damit rechnen.

Es wurde noch kein Entschädigungsplan bekannt gegeben und es gibt noch keinen Zeitplan für die Wiederinbetriebnahme von Core. Anleger, deren Kapital noch in Allbridge-Pools angelegt ist, sollten die Auszahlungsempfehlung als verbindliche Anweisung betrachten und nicht die Ergebnisse der Untersuchung abwarten.

Gewonnene Erkenntnisse?

Bridges gehören aus gutem Grund zu den am häufigsten angegriffenen Schwachstellen in der Kryptowelt: Sie bündeln viel ungenutztes Kapital in Smart Contracts, die gleichzeitig Vertrauensbedingungen auf zwei verschiedenen Blockchains erfüllen müssen. Was hier geschah, ist schlimmer als ein ausgeklügelter Exploit, denn ein solcher impliziert zumindest, dass die Verteidiger durch etwas Neues überlistet wurden. Hier handelte es sich um einen bekannten Angriff auf eine bekannte Konfiguration eines Protokolls, das bereits einmal Opfer eines solchen Angriffs geworden war und dessen Lösung öffentlich bekannt gegeben hatte.

Wenn Sie irgendwo Liquidität bereitstellen, sollten Sie bedenken, dass eine Nachbesprechung lediglich eine Absichtserklärung ist, kein Nachweis für abgeschlossene Arbeiten. Fragen Sie nach, auf welchen Blockchains ein Fix tatsächlich ausgeliefert wurde. Multi-Chain-Deployments geraten außer Kontrolle, und die Blockchain, die niemand mehr im Auge behält, ist diejenige, die am meisten betroffen ist. Allbridge wird dies angesichts des vergleichsweise geringen Verlusts wahrscheinlich überstehen, aber der Reputationsschaden, der durch die eigenen Fehler bei der Planung für 2023 entsteht, wird deutlich länger nachwirken als 1.65 Millionen US-Dollar.

Was sie tatsächlich gefunden haben

Hexens beschrieb das Problem als einen „Stale-Cache-Bug“, der zu einer Typverwechslungs-Schwachstelle führte. Vereinfacht ausgedrückt bedeutet das, dass die Software dazu gebracht werden konnte, eine bestimmte Art von On-Chain-Ressource als eine völlig andere zu behandeln. Wenn Sie schon einmal jemandem den falschen Schlüssel gegeben und beobachtet haben, wie er eine Tür öffnete, die er niemals hätte berühren sollen, können Sie sich das Prinzip vorstellen. Laut dem Unternehmen ermöglichte der Fehler einem Angreifer potenziell, On-Chain-Strukturen und Autoritätsressourcen zu übernehmen. Diese zentralen Datenstrukturen legen fest, wem was gehört und wer was tun darf. Werden diese manipuliert, verlieren die üblichen Regeln zur Besitzverteilung ihre Bedeutung.

Typenverwechslung ist eine jener Fehlerklassen, die zunächst theoretisch klingen, bis sie sich auf reale Kosten auswirkt. Sie plagt traditionelle Software seit Jahrzehnten, und die Programmiersprache Move wurde speziell entwickelt, um solche Fehler zu vermeiden. Daher ist diese Enthüllung auch etwas ärgerlich. Der Hauptvorteil von Move liegt darin, dass digitale Assets als besondere Ressource behandelt werden, die der Compiler streng schützt. Daher ist es, als würde man ein Leck in dem einen Boot entdecken, das angeblich unsinkbar ist.

Das Beängstigende daran: Es kostete 3,000 Dollar, um es zu realisieren.

Viele Blockchain-Exploits erfordern hohe finanzielle Mittel, Insiderzugriff oder die Kontrolle über einen großen Teil des Netzwerks. Dieser hier angeblich nicht. Hexens gibt an, den Angriff unter realen Netzwerkbedingungen mit einer Erfolgsquote von über 90 Prozent simuliert zu haben. Dafür wurde ein Server-Setup verwendet, das rund 3,000 US-Dollar kostete und etwa ein Drittel der Validatoren repräsentierte. Keine Sonderberechtigungen, keine Hilfe von Insidern, keine Kooperation von bereits im System befindlichen Personen. Diese Kombination verwandelt eine technische Kuriosität in einen echten Notfall, denn die Eintrittsbarriere war praktisch nicht vorhanden. Wenn die Kosten für das Knacken eines Systems in Hunderten oder wenigen Tausend Dollar liegen und der Gewinn in Milliardenhöhe, ist man vollständig darauf angewiesen, dass niemand sonst die Schwachstelle bemerkt.

Woher die Zahl von 70 Milliarden Dollar stammt

Eine Summe von 70 Milliarden US-Dollar klingt für eine Blockchain, deren Token-Marktkapitalisierung nur einen Bruchteil davon ausmacht, fast schon absurd und bedarf daher einer Erklärung. Hexens behauptete nicht, dass sich 70 Milliarden US-Dollar direkt auf Aptos befänden. Die Schätzung umfasst vielmehr alle potenziellen Auswirkungen des Sicherheitsfehlers über die Verbindungen, die die Kryptowelt in den letzten Jahren still und leise aufgebaut hat. Dazu gehören Werttransfers über Bridges, kettenübergreifende Nachrichtensysteme, die Verwaltung von Stablecoins und Vermögenswerte, die von zentralisierten Börsen verwahrt werden, welche mit dem Netzwerk verbunden sind. Moderne Kryptowährungen sind eng miteinander verflochten, und eine Sicherheitslücke in einer wichtigen Kette beschränkt sich nicht auf diese. Das ist die eigentliche Warnung, und sie gilt für weit mehr als nur Aptos.

Die stille Lösung, von der bis jetzt niemand etwas gehört hat

Und hier kommt der entscheidende Punkt, der die Geschichte vor einem Horrorszenario bewahrt. Hexens meldete die Sicherheitslücke am 25. Februar über das Bug-Bounty-Programm von Aptos Labs. Das Team gibt an, dass innerhalb weniger Stunden nach der Entdeckung ein Fix entwickelt, getestet und im Hauptnetz bereitgestellt wurde. Ein Sprecher von Aptos erklärte gegenüber CoinDesk , dass zu keinem Zeitpunkt Nutzer oder Gelder betroffen waren und die Details erst Monate später öffentlich gemacht wurden – genau so, wie verantwortungsvolle Offenlegung funktionieren sollte. Die Forscher wurden bezahlt, die Sicherheitslücke wurde geschlossen, bevor sie von jemandem mit bösen Absichten ausgenutzt werden konnte, und die Öffentlichkeit erfuhr davon, als es unbedenklich war, darüber zu sprechen.

Dennoch lohnt es sich, über das beinahe Geschehene nachzudenken. Eine Sicherheitslücke, die sich auf vernetzte Vermögenswerte im Wert von 70 Milliarden US-Dollar hätte auswirken können, wurde durch ein Bug-Bounty-Programm und eine schnelle Reaktion der Entwickler geschlossen – nicht durch Glück im Moment des Angriffs. Wären ethische Hacker nicht zuvorgekommen, sähe die Geschichte ganz anders aus. Die Lehre für alle Krypto-Besitzer ist, nicht in Panik zu geraten, da die Sicherheitslücke bei Aptos inzwischen geschlossen ist, sondern sich bewusst zu machen, wie sehr die Sicherheit dieser Branche immer noch davon abhängt, dass eine kleine Gruppe ethischer Hacker sich entscheidet, eine E-Mail zu senden, anstatt eine Wallet zu plündern. Das ist ein schmaler Grat, und man sollte sich das merken, wenn eine Blockchain behauptet, unknackbar zu sein.

Eine neue Untersuchung hat nun eine Zahl für etwas genannt, worüber sich jeder Krypto-Nutzer Sorgen machen sollte.

Das Threat-Intelligence-Unternehmen Infoblox identifizierte 236,493 verschiedene Second-Level-Domains, die alle auf dem gleichen chinesischen Open-Source-App-Framework, DCloud Uni-App, basieren. Ein Großteil dieser Domains dient nur einem Zweck: dem Plündern von Krypto-Wallets und dem Betrieb gefälschter Börsen. Das Framework selbst ist völlig legitim und wird von Entwicklern weltweit genutzt, um Apps für iOS, Android und das Web mit einer einzigen Codebasis zu veröffentlichen. Genau diese einfache Handhabung macht es für Betrüger so attraktiv. Sie erhalten innerhalb von Tagen statt Monaten eine professionelle, mobile-optimierte Fake-Börse oder ein gefälschtes Investment-Dashboard, und der zugrundeliegende Code ist von dem tausender echter Startups nicht zu unterscheiden.

Warum dies schlimmer ist als die übliche Flut an Betrugsseiten

Die Zahlen sprechen für sich und zeigen, wie schnell die Situation außer Kontrolle geriet. Vor Oktober 2024 verzeichnete Infoblox monatlich einige Tausend neue, mit DCloud-Daten identifizierte Betrugsseiten – bereits eine beträchtliche Menge. Nachdem der RainbowEx-Skandal im Herbst desselben Jahres international für Schlagzeilen sorgte, schnellte die Zahl auf bis zu 15,000 neu entdeckte Seiten pro Monat in die Höhe. Betrüger hatten die Berichterstattung offenbar zur Kenntnis genommen und beschlossen, die Vorgehensweise in großem Stil zu kopieren, anstatt sie aufzugeben. Die Seiten zielen auf Nutzer von mindestens acht Sprachen ab und sind auf allen Kontinenten verbreitet. Sie geben sich als alles Mögliche aus, von großen Börsen über Einzelhandelsriesen bis hin zu Messaging-Plattformen. Die meisten werden auf Cloudflare, AWS, Alibaba Cloud und Tencent Cloud gehostet, wodurch sie sich nahtlos in die Online-Welt echter Unternehmen einfügen und einfache IP-Sperrlisten praktisch wirkungslos machen.

Few RainbowEx und die argentinische Stadt, die ausgelöscht wurde

Wer verstehen will, was Opfer tatsächlich erleben, findet im Fall RainbowEx ein Paradebeispiel. Im Jahr 2024 investierten Einwohner von San Pedro, Argentinien, viel Geld in eine scheinbar seriöse Kryptowährungsbörse. Das Dashboard zeigte Live-Transaktionen an, die Kontostände stiegen stetig, und Einzahlungen in Stablecoins liefen problemlos. Doch dann funktionierten keine Auszahlungen mehr. Tausende Menschen in der kleinen Stadt entdeckten, dass die Transaktionen manipuliert, die Kontostände gefälscht und die Betreiber verschwunden waren. Die argentinischen Behörden verhafteten später sieben mutmaßliche Beteiligte, doch der Großteil des Geldes ist weg. Das gleiche System, lediglich mit kosmetischen Änderungen am Branding, ist nun auf einem messbaren Anteil der 236,000 Domains aktiv.

Was ein durchschnittlicher Händler tatsächlich tun sollte

Hier gibt es keine einfache Lösung, da die zugrundeliegende Software legitim ist und die Hosting-Anbieter etablierte Cloud-Anbieter sind, die nicht ihre gesamte Kundschaft sperren können. Etwa 6 % der bestätigten Betrugsdomains liefen auf sicheren Hosting-Plattformen wie CTG Server Limited, die bereits wegen betrügerischer Aktivitäten aufgefallen sind. Zumindest in diesen Fällen ist der Täter also klar identifiziert. Die übrigen Domains verstecken sich im normalen Datenverkehr. Wer eine neue Börse, eine Airdrop-Seite oder eine Investitionsmöglichkeit aus einer Telegram-Gruppe, einem WhatsApp-Chat oder einer Twitter-Direktnachricht prüft, sollte sich von der professionellen Gestaltung der Website nicht täuschen lassen. Prüfen Sie, ob das Unternehmen irgendwo registriert ist, ob Auszahlungen kleiner Beträge funktionieren, bevor Sie größere Beträge überweisen, und ob die Domain in den letzten Monaten registriert wurde. Wenn Ihnen eine dieser Fragen verdächtig vorkommt, sollten Sie Abstand nehmen. Weitere technische Details finden Sie auf Hacker News .

Die Erkenntnis aus dieser Zählung ist zwar unangenehm, aber wichtig. Die Kryptobetrugsszene besteht nicht mehr aus einer verstreuten Ansammlung einzelner Webseiten, die von Betrügern im Keller erstellt wurden. Sie ist eine industrielle Produktionslinie, die mit gemeinsam genutzten Tools, gängigen Hosting-Anbietern und bewährten Methoden arbeitet. Und 236,000 solcher Webseiten sind nur die, die sichtbar genug waren, um gezählt zu werden. Behandeln Sie jeden unbekannten Link zu einer Kryptobörse so, wie Sie eine unerwünschte E-Mail behandeln würden, in der nach Ihrem Passwort gefragt wird, denn in diesem Ausmaß stehen die Chancen schlecht für Sie.

Warum diese Lizenz mehr wert ist, als es auf dem Papier aussieht

Das grüne Lichtschreiben ist nur ein erster Schritt. Die CSSF muss noch die Bedingungen finalisieren, bevor die Lizenz vollständig wirksam wird. Doch aufgrund der Struktur von MiCA fungiert diese eine luxemburgische Genehmigung als Pass für alle 30 Länder des Europäischen Wirtschaftsraums. Schluss mit länderspezifischen Anträgen, einem Flickenteppich an Genehmigungen und dem Jonglieren mit 27 verschiedenen Formularsätzen in 24 verschiedenen Sprachen. Eine Lizenz, dreißig Märkte und rund 450 Millionen potenzielle Kunden.

Für Ripple ergänzt die CASP-Lizenz die bereits bestehende EU-Lizenz als E-Geld-Institut. Diese Kombination ist der Aspekt, über den das Unternehmen am liebsten spricht. Die E-Geld-Lizenz deckt den Fiat-Bereich ab, also Ein- und Auszahlungen in Euro, die als reguläres elektronisches Geld reguliert sind. Die CASP-Lizenz hingegen deckt den Krypto-Bereich ab, einschließlich Verwahrung, Umtausch, Überweisungen und den Betrieb des Stablecoins RLUSD. Durch die Kombination beider Lizenzen können europäische Banken und Fintechs sowohl traditionelles Bargeld als auch digitale Vermögenswerte über eine einzige Ripple-Integration abwickeln. Bislang erforderte eine solche Komplettlösung fast immer die Zusammenarbeit mit verschiedenen Anbietern und Compliance-Teams.

Der MiCA-Engpass, den niemand eingeplant hatte

Als der MiCA-Entwurf entstand, ging man davon aus, dass Kryptofirmen sich bei den verschiedenen nationalen Aufsichtsbehörden in der EU anstellen und den Prozess geordnet durchlaufen würden. Doch das geschah nicht. Die Aufsichtsbehörden in größeren Märkten wie Deutschland und Frankreich wurden mit Anträgen überhäuft. Einige Firmen entschieden, dass sich die Kosten für die Einhaltung der Vorschriften angesichts der europäischen Einnahmen nicht lohnten. Andere zögerten ab und hofften, die Frist würde erneut verschoben. Das wird sie nicht. Die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) signalisiert seit Monaten, dass der 1. Juli der Stichtag bleibt, und die Mitgliedstaaten haben im Stillen Durchsetzungspläne vorbereitet.

Unternehmen wie Coinbase, Kraken, OKX und Bitstamp, die frühzeitig aktiv wurden, wählten ihre Standorte sorgfältig aus. Einige entschieden sich aufgrund der vertrauten regulatorischen Gegebenheiten für Irland. Andere wählten die Niederlande oder Malta. Luxemburg hat sich als Geheimtipp für institutionelle Zahlungsdienstleister etabliert, da die CSSF als schnell, technisch versiert und erfahren im Umgang mit grenzüberschreitenden Finanzunternehmen gilt. Ripples Wahl passt in dieses Muster. Das Unternehmen spricht schon seit Jahren von Luxemburg als europäischem Hauptsitz, und auch seine bestehende EMI-Lizenz wurde dort ausgestellt.

Was ändert sich dadurch für Ripples europäische Expansion?

Ripples Führungskräfte verfolgen seit mindestens einem Jahr eine aggressive Europastrategie. Das Unternehmen sieht Europa als den Ort, an dem regulierte Stablecoins und institutionelle Kryptozahlungen den Sprung von Pilotprojekten in den regulären Markt schaffen können. RLUSD, der an den US-Dollar gekoppelte Stablecoin des Unternehmens, ist Teil dieser Strategie. Ebenso wie das grenzüberschreitende Zahlungsgeschäft, das seit Langem Ripples Kerngeschäft darstellt. Sobald die CASP-Zulassung erteilt ist, kann Ripple Banken und Unternehmen eine regulierte Plattform anbieten, die Wettbewerber ohne Lizenz rechtlich nicht bieten können.

Auch für XRP ist dies relevant, selbst wenn Ripple die Kommunikation vorsichtig gestaltet. Eine breitere Verfügbarkeit regulierter Dienstleistungen im Zusammenhang mit Ripples Infrastruktur führt tendenziell langfristig zu mehr institutionellen Kontaktpunkten für den Token, obwohl die CASP-Lizenz selbst die Dienstleistungserbringung und nicht den Vermögenswert betrifft. Händler haben dies dennoch bemerkt, und die Lizenzierungsnachricht war diese Woche eines der wichtigsten Gesprächsthemen auf den europäischen Kryptomärkten. Das Handelsvolumen an regulierten europäischen Handelsplätzen stieg nach der Ankündigung an – genau die Reaktion, die Ripple sich wohl erhofft hatte.

Das große Ganze für alle anderen

Die Ripple-Ankündigung ist gewissermaßen ein Lagebericht für die gesamte europäische Kryptoindustrie. Knapp zwei Wochen vor Ablauf der Frist ist die Gruppe der lizenzierten Unternehmen klein, die der nicht lizenzierten groß, und diese Kluft wird sich nicht rechtzeitig schließen. Im kommenden Monat ist mit einer Welle von Abhebungen, Partnerschaften und Ankündigungen stillschweigender Pausen zu rechnen. Die lizenzierten Unternehmen werden diese Zeit voraussichtlich nutzen, um Marktanteile zu gewinnen. Und die Regulierungsbehörden werden voraussichtlich recht schnell sichtbar aktiv werden, allein schon, um zu verdeutlichen, dass die Frist ernst gemeint war.

Für Händler und Institutionen in Europa bedeutet dies konkret, dass sie prüfen sollten, ob die von ihnen genutzten Plattformen legal arbeiten. Nach dem 1. Juli sind die Folgen eines Verstoßes gegen die Vorschriften nicht mehr nur theoretischer Natur. Kundengelder könnten bei einer zur Abwicklung gezwungenen Plattform eingefroren werden, Zahlungsströme könnten unterbrochen werden, und jede Plattform ohne Lizenz sieht sich einem zunehmenden Risiko von Sanktionen ausgesetzt. Das ist eine äußerst unangenehme Situation, in der sich viele Krypto-Unternehmen bald wiederfinden werden.

Die Prämien, die den Leuten Unbehagen bereiten

Die reißerischen Zahlen locken Klicks magisch an, und Pump.fun scheint das zu wissen. Eine angebotene Belohnung liegt bei rund 50,000 US-Dollar für einen Freiwilligen, der bereit ist, in einem Ganzkörperkostüm mit einem Memecoin-Maskottchen in ein WM-Spiel zu springen – inklusive Live-Video als Beweis. In einer anderen Anzeige werden 23,525 US-Dollar für ein zweiminütiges Videointerview mit der Familie eines verurteilten Mörders oder dem Polizisten, der ihn hinter Gitter gebracht hat, geboten. Kleinere Prämien gibt es für ein Tattoo mit einem Token-Ticker auf der Stirn, einen Flitzer-Auftritt bei einem NBA-Finalspiel oder einen Laufweltrekord, der gefilmt wird. Das Dashboard zeigt Hunderte aktive Angebote und fast 144,000 US-Dollar an nicht beanspruchten Belohnungen – eine Menge Geld, das nur darauf wartet, von der nächsten Idee eines Anbieters ins Auge gefasst zu werden.

Dann gibt es da noch den Fall, den niemand ignorieren kann. Eine Belohnung von 10,000 SOL, umgerechnet etwa 690,000 US-Dollar zum aktuellen Kurs, tauchte im Zusammenhang mit einer selbstverletzenden Handlung auf, und die Screenshots verbreiteten sich schneller, als die Plattform das Angebot entfernen konnte. Kritiker argumentieren, dass dies genau das vorhersehbare Ergebnis einer offenen Bounty-Plattform mit Krypto-Auszahlungen sei, da diejenigen, die am ehesten zu solch grausamen Mutproben bereit sind, das Geld am dringendsten benötigen. Der Marktplatz verstärkt diesen Druck, anstatt ihn zu dämpfen. Pump.fun hat darauf keine detaillierten Moderationsrichtlinien veröffentlicht, was die Kritik nur noch verstärkt. Eine Stellungnahme mag irgendwann folgen, doch im Moment spricht das Schweigen für sich.

Ein Gouverneur, ein Verbot und eine Black Mirror-Folge

Die New Yorker Gouverneurin Kathy Hochul bezeichnete die Funktion als „dystopischen Albtraum“ und kündigte an, ein Gesetz zum vollständigen Verbot von GO zu unterstützen. Immer wieder wird der Vergleich mit der Black-Mirror -Folge „Common People“ gezogen, in der ein verzweifelter Mann auf einer Livestream-Plattform immer erniedrigendere Aktionen vorführt, um die medizinische Versorgung seiner Frau zu finanzieren. Dieser Bezug ist so allgegenwärtig, dass er mittlerweile in fast jeder Schlagzeile zum Start der Funktion auftaucht. Für ein Projekt, das im vergangenen Jahr nach einer Reihe von Memecoin-Skandalen um sein Image kämpfte, ist dies ein bemerkenswertes Eigentor.

Die wirtschaftliche Geschichte ist fast so kurios wie die Außendarstellung. Während das Dashboard mit sechsstelligen Gewinnsummen wirbt, liegt die höchste tatsächlich verzeichnete Einzelauszahlung bei 686.44 US-Dollar, gefolgt von den beiden nächstplatzierten mit 596.51 US-Dollar und 487.11 US-Dollar. Diese Diskrepanz zwischen den beeindruckenden Angeboten und den bescheidenen Auszahlungen in der Realität deutet stark darauf hin, dass es sich bei den meisten dieser Prämien um PR-Aktionen, Token-Pumping-Systeme oder Scherze handelt, die bald wieder verschwinden werden. Der Token selbst, $PUMP, legte nach der Ankündigung des Starts kurzzeitig um etwa 3 % zu, bevor er sich wieder einpendelte. Ob die Plattform die regulatorischen Prüfungen übersteht, ist eine andere Frage, die sich möglicherweise schon vor dem erwarteten Kurssturz beantwortet.

Abschlussgedanken

Das eigentliche Problem ist nicht, dass jemand ein Krypto-Bounty-Board entwickelt hat, denn solche Plattformen gibt es in verschiedenen Formen schon seit Jahren. Vielmehr ist es Pump.fun, das ein Board ohne nennenswerte Hürden beim Einstieg, mit einer bereits auf virale Aufmerksamkeit konditionierten Zielgruppe und einem Treuhandsystem aufgebaut hat, das den Eindruck erweckt, das Geld sei sicher, obwohl der Großteil davon in PR-Aktionen steckt, die nie ausgezahlt werden. Die Diskrepanz zwischen Marketing und tatsächlichen Auszahlungen trägt maßgeblich dazu bei, dass die Nutzer weiterhin Beiträge veröffentlichen – und genau diese Dynamik nehmen die Regulierungsbehörden nun ins Visier. Sollte ein Generalstaatsanwalt oder die SEC dies als systematischen Anreiz zur Schädigung von Personen einstufen, wird das rechtliche Risiko sehr schnell von theoretisch zu unmittelbar.

Für Trader, die das Geschehen von außen beobachten, ist die Schlussfolgerung einfacher. Pump.fun hat ein erfolgreiches Geschäftsmodell auf Volatilität und Empörung aufgebaut, und GO ist die logische Weiterentwicklung dieser Strategie, nicht etwa eine Abkehr davon. Die bisherige Erfolgsbilanz der Plattform lässt vermuten, dass das Team sie weiterentwickeln, die problematischsten Angebote drosseln und den Marktplatz in irgendeiner Form am Leben erhalten wird. Doch die politische Lage rund um Krypto-Anreize hat sich deutlich verschärft, und die nächste regulatorische Reaktion dürfte wenig freundlich ausfallen. Falls jemand noch eine Erinnerung daran brauchte, dass die Memecoin-Ökonomie anderen Regeln folgt als der Rest des Kryptomarktes, hat diese Woche sie geliefert.

Warum gerade jetzt? Weil der Sektor gerade die 130-Milliarden-Dollar-Marke überschritten hat.

Prognosemärkte galten einst als Nischenthema für Politik- und Pokerbegeisterte. Das änderte sich, als Polymarket und Kalshi die US-Wahlen 2024 zu einem Referendum darüber machten, ob On-Chain-Quoten ein aussagekräftigeres Signal liefern als traditionelle Umfragen. Das kombinierte Handelsvolumen der beiden Plattformen erreichte 2025 rund 50 Milliarden US-Dollar und hat 2026 bereits die 130-Milliarden-Dollar-Marke überschritten. Analysten von Bernstein schätzen, dass der Markt bis 2030 ein jährliches Volumen von einer Billion US-Dollar erreichen könnte – eine Zahl, die den CEO eines sozialen Netzwerks mit drei Milliarden Nutzern dazu veranlasst, sich den Nachmittag freizunehmen. Zuckerbergs Team bezeichnete die Arena-Initiative als „experimentell“, aber gleichzeitig als „höchste Priorität“, was in SilicoDie Übersetzung von „n Valley“ bedeutet in der Regel, dass er den Projektleiter an den Wochenenden immer wieder kontaktiert hat.

Der große Unterschied – Kein Bargeld, keine Kryptowährung... vorerst

Hier wird die Geschichte für alle Krypto-Fans interessant. Polymarket basiert auf Polygon und wickelt Transaktionen in USDC ab. Kalshi ist von der CFTC reguliert und verwendet Bargeld. Beide haben die regulatorischen Hürden auf unterschiedliche Weise überwunden: Polymarket als Nicht-US-Protokoll, das den Handel mit Stablecoins ermöglicht, Kalshi als registrierter Vertragsmarkt. Metas Punktesystem umgeht diese Hürden und positioniert die App im Wesentlichen als Gelegenheitsspiel. Dadurch kommt Arena schneller auf den Markt, aber die Nutzer können am Starttag nicht das tun, was Polymarket ursprünglich so faszinierend machte: mit echtem Geld auf den Sieg in Iowa wetten. Laut Berichten soll der Handel mit Geld später möglich sein. Ob das Monate oder Jahre bedeutet, ist ungewiss.

Metas Erfolgsbilanz im Kryptobereich ist, um es gelinde auszudrücken, durchwachsen.

Dies ist nicht Metas erster Versuch, im Bereich der Finanzinfrastruktur Fuß zu fassen. Das Libra-Projekt, später in Diem umbenannt, sollte ein globaler Stablecoin werden, der von einem Konsortium mit Sitz in der Schweiz betrieben wird. Regulierungsbehörden in der halben Welt machten jedoch deutlich, dass sie eher Glassplitter zerkauen würden, als das Projekt zu genehmigen, und so wurde es schließlich verkauft und stillschweigend eingestellt. Das Unternehmen unternimmt derzeit einen weiteren Anlauf im Stablecoin-Bereich und plant Berichten zufolge, noch in diesem Jahr über eine Drittanbieterintegration in den Markt für an den US-Dollar gekoppelte Token einzusteigen. Ein Pilotprojekt zur Auszahlung von USDC-Creator-Auszahlungen läuft bereits in Kolumbien und auf den Philippinen. Parallel dazu startet Arena, wodurch Meta nun einen punktebasierten Vorhersagemarkt und gleichzeitig ein Stablecoin-Zahlungssystem betreiben muss. Sollten beide Projekte erfolgreich sein, wird die Frage der Integration schnell sehr interessant.

Die Investoren von Polymarket und Kalshi haben die Nachricht nicht gut aufgenommen.

Die Reaktion auf die Enthüllung der New York Times ließ nicht lange auf sich warten. DraftKings schloss den Tag mit einem Minus von über 2 Prozent, Flutter Entertainment, die Muttergesellschaft von FanDuel, fiel um fast 2 Prozent, erholte sich dann aber leicht, und Robinhood (das Vorhersagemarktverträge von Kalshi anbietet) folgte diesem Beispiel . Der Kurssturz basierte auf der simplen Tatsache, dass ein Meta-Klon mit 3 Milliarden Nutzern ein wachstumsstarkes Segment in einen hart umkämpften Markt verwandeln kann. Polymarket selbst ist weiterhin privat und hat erst kürzlich eine bedeutende Finanzierungsrunde mit einer Bewertung in Milliardenhöhe abgeschlossen. Kalshi verzeichnete mit Sportveranstaltungsverträgen und politischen Märkten einen rasanten Aufschwung. Beide Branchen brauchen derzeit keine existenzielle Bedrohung und sind zudem nicht wahlberechtigt.

Wie wird sich dies auf den Gesamtmarkt auswirken?

Das hängt davon ab, was Zuckerbergs Ziel ist. Sollte Arena starten und sich zu einer Plattform mit Echtgeldeinsätzen entwickeln, stünden alle oben genannten Unternehmen vor der ungewöhnlichen Situation, dass die „neue Konkurrenz“ mit 3 Milliarden Nutzern startet. Bis dahin werden die bestehenden Märkte jedoch keine Nutzer an einen reinen Punktemarkt verlieren – ihre Nutzer sind schließlich darauf aus, um echtes Geld zu spielen.

Bislang ist lediglich bestätigt, dass ein kleines Team innerhalb von Meta mit der Entwicklung beauftragt wurde. Der Rest wird sich nach und nach durch Produktlecks ereignen.

Der Jäger wurde zum Gejagten, und der Jäger besaß zum Zeitpunkt des Geschehens ein Vermögen an gestohlenem ETH.

JaredFromSubway.eth, der aktivste und verhassteste MEV- oder „Front-Running“-Bot auf Ethereum, sucht nach Gelegenheiten, sich vor einem anstehenden Trade einzuschleichen. Er drängelt sich durch höhere Gasgebühren vor, kauft die Token, die eigentlich Ihnen zugestanden hätten, und zwingt so Ihre Order, mit höherpreisigen Token ausgeführt zu werden. Sobald Sie zu viel für Ihre Coins bezahlt haben, verkauft er die gekauften Token sofort zum neuen, höheren Preis. Auch wenn der Gewinn pro Transaktion oft gering ist, summiert sich das bei Hunderten von Transaktionen pro Stunde zu zusätzlichen Kosten in Millionenhöhe für Trader jährlich. 

Doch es waren die Favoriten, die am Wochenende von einem Angreifer, der eine aufwendige Konstruktion errichtet hatte, getroffen wurden. Honeypot Der Bot war so konzipiert, dass er genau die Art von Gewinnmöglichkeit nachahmte, auf die er programmiert war. Das Sicherheitsunternehmen Blockaid enthüllte die Sicherheitslücke am Samstag, und die On-Chain-Analyse sorgte in der gesamten Krypto-Community für große Freude. Der Bot tat genau das, wofür er entwickelt worden war. Der Angreifer hatte lediglich sichergestellt, dass er die falschen Smart Contracts nutzte. Für alle, die schon einmal beim Tauschen auf Uniswap ein paar Cent durch einen Sandwich-Angriff verloren haben, dürfte dies die erfreulichste Nachricht des Jahres sein.

Über das Kopfgeldangebot hinaus gibt es vom Betreiber keinen Kommentar, und es ist unwahrscheinlich, dass in naher Zukunft ein weiterer folgen wird.

Wie ein Jäger eine bessere Falle baute

Der Angreifer setzte 66 gefälschte Token-Verträge ein, die Aussehen und Benutzeroberfläche realer Assets wie WETH, USDC und USDT imitierten, und verknüpfte jeden mit einem Schein-Liquiditätspool. Die Routen waren sorgfältig so gestaltet, dass die automatisierte Entscheidungslogik des Bots die Verträge als legitime Sandwich-Transaktion einstufte. Die ersten Köder funktionierten exakt wie ein normaler MEV-Handel. Kleine Genehmigungen wurden erteilt, der Tausch wurde reibungslos abgeschlossen, und die Genehmigungen wurden durch den Handel verbraucht. Das Risikomodell des Bots hatte keinen Grund zur Reaktion.

Dann schnappte die Falle zu. Bei den größeren Ködertransaktionen hatte der Angreifer die Swaps so strukturiert, dass die Genehmigungen offen blieben, anstatt für einen echten Handel verwendet zu werden. Als es jemand bemerkte, hatte JaredFromSubway unbemerkt mehreren vom Angreifer kontrollierten Hilfsverträgen die Berechtigung erteilt, Token in USDC, USDT und WETH auszugeben. Der Bot wurde nicht im herkömmlichen Sinne gehackt. Es gab keinen Fehler im Smart Contract, keinen kompromittierten privaten Schlüssel und keine durchgesickerte Seed-Phrase. Der Exploit war ein Verhaltens-Exploit: Der Bot wurde dazu gebracht, die Genehmigung auf dieselbe Weise zu erteilen wie sonst auch, nur eben an die falsche Wallet.

Irgendwo zwischen 7 und 15 Millionen Dollar in ETH, weg

Nachdem die Genehmigungen erteilt waren, plünderte der Angreifer das Betriebskapital des Bots und tauschte den Großteil davon in rund 4,427 ETH, die zum Zeitpunkt der Transaktion etwa 7.7 Millionen US-Dollar wert waren. On-Chain-Analysten von HTX und anderen Tracking-Unternehmen beobachteten, wie 1,000 ETH dieser Gelder umgehend an Tornado Cash, den Mixer, der vom US-Finanzministerium sanktioniert, aber Anfang des Jahres wieder von der Sanktionsliste gestrichen wurde, weitergeleitet wurden. Die restlichen Gelder werden weiterhin in verschiedenen Wallets verfolgt, und mehrere Börsen haben bereits Einzahlungsadressen markiert, die mit dem Angreifer in Verbindung stehen. Einige Berichte gehen von einem höheren endgültigen Verlust aus; BleepingComputer beziffert die Summe nach Berücksichtigung aller Genehmigungen auf fast 15 Millionen US-Dollar.

Der Betreiber von JaredFromSubway, der sich nie öffentlich zu erkennen gegeben hat, schwieg nicht. Nur wenige Stunden nach dem Diebstahl bot er dem Angreifer über eine On-Chain-Nachricht eine Belohnung von 2,150 ETH – fast die Hälfte des gestohlenen Betrags – für die Rückgabe des Restbetrags innerhalb von 48 Stunden an. Der Betreiber erklärte, dass keine weiteren Maßnahmen ergriffen würden, sobald das Geld zurückerhalte. Die Frist begann zu laufen, und bis zum jetzigen Zeitpunkt war noch nichts zurückgezahlt worden. Wie hoch die endgültige Summe auch sein mag, es handelt sich um den größten Einzelverlust eines privaten MEV-Unternehmens in der Geschichte von Ethereum. Die Belohnungsauslobung ist das erste Mal, dass sich das JaredFromSubway-Team auf anderem Wege als über Blocktransaktionen öffentlich geäußert hat.

Der kosmische Witz, den niemand verpasst

Es fällt schwer, Mitleid mit dem Betreiber eines Bots zu haben, der jahrelang jedem einzelnen Privatanleger, der dumm genug war, mit Standard-Slippage zu tauschen, den verdienten Gewinn aus der Tasche gezogen hat. Der angeklagte Angreifer hat effektiv eine Anti-MEV-Operation durchgeführt – eine Taktik, die zwar seit Jahren in wissenschaftlichen Arbeiten theoretisch erörtert, aber selten in diesem Ausmaß umgesetzt wurde. Indem er scheinbar profitable Gelegenheiten schuf, die in Wirklichkeit darauf abzielten, Genehmigungen zu erschleichen, machte der Angreifer die größten Stärken des Bots – Geschwindigkeit und Aggressivität – zu seiner größten Schwachstelle. Es ist das, was der Kryptowelt in diesem Jahr am nächsten an poetischer Gerechtigkeit kommt, und eines der deutlichsten Beispiele dafür, wie der Jäger zum Gejagten wird, seit es dieses Genre gibt.

Die wichtigste Lektion für jeden Sandwich-Anbieter oder jedes andere automatisierte Arbitragesystem auf Ethereum ist, dass sich die Rahmenbedingungen ändern. MEV-Konter sind nicht länger nur Forschungsarbeit, und die Genehmigungslogik, die jeder Bot zur Interaktion mit neuen Smart Contracts verwendet, ist Teil der Angriffsfläche geworden. Betreiber, die jahrelang auf maximale Geschwindigkeit und geringe Gaskosten optimiert haben, müssen nun auch Vertrauen schaffen. JaredFromSubway hat sich seit dem Abfluss nicht mehr in der Blockchain gemeldet, die Belohnungsfrist läuft noch, und die Community amüsiert sich immer noch. Irgendwo da draußen beobachtet ein sehr geduldiger Honeypot-Entwickler, wie 7.7 Millionen Dollar in neuen Wallets eintreffen. Ob die Belohnung angenommen wird oder nicht, die Botschaft ist bereits an alle anderen MEV-Bot-Betreiber im Netzwerk übermittelt worden. Gier hat ihren Preis, und dieser wird nun in derselben Währung bezahlt, mit der sie erbeutet wurde.

Eine Zentralbank macht ihre eigenen Hausaufgaben normalerweise nicht öffentlich zunichte, aber die Bank von England tat genau das am Montag.

Die Bank verbrachte fast ein Jahr damit, zu verkünden, dass der Besitz von Sterling-Stablecoins auf 20,000 Pfund pro Person begrenzt sei. Für Unternehmen galt eine Obergrenze von 10 Millionen Pfund. Die Begründung lautete, dass bei einem zu starken Abfluss von Einlagen von den Banken hin zu digitalen Token die Kreditvergabe, die Hypotheken und Dispokredite günstig hält, ins Stocken geraten könnte. Dies war die offizielle Linie in der Konsultation vom November 2025, die in der Branche auf heftige Ablehnung stieß. Coinbase, Circle und alle britischen Fintech-Unternehmen mit Stablecoin-Ambitionen erklärten in den letzten sechs Monaten lautstark, dass diese Obergrenzen das gesamte Geschäft ins Ausland treiben würden, noch bevor es überhaupt richtig gestartet war.

Am Montagmorgen verwarf die Bank das gesamte Konzept der Obergrenzen für den Besitz von Sterling-Stablecoins. Privatkunden und große Unternehmen unterliegen nun keinen Beschränkungen mehr hinsichtlich Menge, Häufigkeit oder Art der Transaktionen. Vizegouverneurin Sarah Breeden, die diese Änderung in den letzten Monaten in Interviews und Ausschusssitzungen bereits angekündigt hatte, äußerte sich ungewöhnlich deutlich zu den Gründen: Der ursprüngliche Plan sei „übermäßig konservativ“ und „für eine vorübergehende Maßnahme operativ zu umständlich“ gewesen. Wenn die Aufsichtsbehörde, die die eigenen Regeln verfasst, ihren Entwurf öffentlich als umständlich bezeichnet, ist eine Überarbeitung nur eine Frage der Zeit. Die interessante Frage ist nun, was die Obergrenzen ersetzen sollte, und die Antwort ist cleverer als erwartet.

Was ersetzt die persönliche Obergrenze von 20,000 Pfund?

Anstatt die Höhe des Guthabens in privaten Wallets zu reglementieren, setzt die Bank eine Obergrenze für die Emittenten selbst. Jeder systemrelevante Stablecoin des britischen Pfunds darf maximal 40 Milliarden Pfund im Umlauf haben – eine vorübergehende Regelung, die die Bank mit zunehmender Marktreife schrittweise aufheben will. Dieser Betrag entspricht bei den aktuellen Wechselkursen etwa 50 Milliarden US-Dollar und gilt pro Coin, nicht für den gesamten Markt. Sollten also drei verschiedene Emittenten konkurrieren wollen, könnte jeder bis zu dieser Obergrenze wachsen, ohne die anderen zu verdrängen. Die Bank hat zudem die Reservevorschriften gelockert und erlaubt Emittenten nun, bis zu 70 Prozent der Deckungsaktiva in kurzfristigen britischen Staatsanleihen anzulegen, anstatt der ursprünglich vorgesehenen 60 Prozent. Der Rest verbleibt bei der Zentralbank. Zinszahlungen an Coin-Inhaber sind weiterhin verboten, wodurch verhindert wird, dass diese Token zu sehr wie getarnte Sparkonten wirken.

Warum die Bank nachgegeben hat

Sechs Monate anhaltender Widerstand aus der Branche und ein scharfer Bericht eines Ausschusses des britischen Oberhauses haben den Großteil der Arbeit geleistet. Katie Harries, Leiterin der Europa-Politik bei Coinbase, erklärte gegenüber Reportern: „Eine Obergrenze für Stablecoin-Bestände bremst Innovationen und birgt reale und erhebliche Risiken für die Wettbewerbsfähigkeit Großbritanniens.“ Emittenten warnten, sie würden sich nicht mit dem britischen Markt befassen, wenn jeder Privatkunde anhand einer willkürlichen Obergrenze für Bestände überprüft werden müsse, insbesondere da die EU, Singapur und Hongkong alle auf branchenfreundlichere Rahmenbedingungen hinarbeiten. Die Gefahr, dass London das nächste Jahrzehnt des Fintech-Aufbaus stillschweigend anderen Hauptstädten überlässt, scheint nun auch in der Threadneedle Street angekommen zu sein. Harries fügte jedoch hinzu, dass Obergrenzen für Gesamtemissionen weltweit immer noch ungewöhnlich seien und keine andere große Jurisdiktion sie zur Grundvoraussetzung gemacht habe. Daher sei der neue Rahmen auch kein Grund zum Feiern für die Branche.

Was dies für die Nutzer und die nächsten 12 Monate bedeutet

Die Konsultation zum neuen Rahmenwerk läuft noch bis zum 22. September 2026. Der endgültige Verhaltenskodex wird bis Ende des Jahres erwartet, und die Einführung von in Großbritannien regulierten Stablecoins ist für 2027 geplant. Für Leser in Großbritannien bedeutet das konkret: Wenn im nächsten Jahr ein Stablecoin in Pfund Sterling von einem regulierten Emittenten auf den Markt kommt, wird Ihnen nicht mitgeteilt, dass Sie ein persönliches Limit von 20,000 Pfund erreicht haben. Für die gesamte Branche ist dies einer der seltenen Fälle, in denen eine große Zentralbank öffentlich von ihrer Position abrückt, weil Markt und Gesetzgeber nicht mitspielten. Die Bank behält ihren Sicherheitsmechanismus durch die Obergrenze auf Emittentenebene bei, nur eben ohne die restriktive Version für Privatanleger, die niemand kontrollieren wollte. Ob sich 40 Milliarden Pfund pro Coin als großzügig oder erdrückend erweisen, hängt davon ab, wie schnell die Nachfrage tatsächlich anzieht. Vorerst hat die Regulierungsbehörde jedoch entschieden, den Markt zuzulassen, anstatt ihn abzuschotten.

Es dauerte volle sieben Tage, bis irgendjemand bemerkte, dass 4.67 Millionen Dollar von der Axelar-zu-Secret-Network-Brücke verschwunden waren.

Der Abfluss ereignete sich am 10. Juni und blieb unbemerkt, bis am 17. Juni eine routinemäßige Cross-Chain-Überweisung fehlschlug und jemand den Treuhandkontostand bei Axelar überprüfte. Das Konto war leer. Da Secret Network auf einem standardmäßig datenschutzorientierten Design basiert, bei dem Vertragsstatus und Transaktionsdetails vor der Öffentlichkeit geschützt sind, blieben die On-Chain-Spuren, die Sicherheitsforscher normalerweise innerhalb von Minuten alarmieren, schlichtweg unsichtbar.

Das verschaffte dem Angreifer eine ganze Woche Zeit, um die Gelder unbemerkt beiseitezuschaffen. Axelars Notfallkomitee hat die Verbindungen zwischen Secret und Secret-SNIP inzwischen deaktiviert, doch das Geld ist bereits weg.

Ein Fehler, der unendlich viele Mints ermöglicht und in einem benutzerdefinierten Vertrag verpackt ist

Die Schwachstelle befand sich in einem modifizierten CW20-ICS20-Smart-Contract auf der Secret-Seite der Bridge. Dieser Code verarbeitet eingehende Assets über Cosmos IBC und erstellt Secret-gekapselte Versionen davon. Diese gekapselten Versionen sind die saTokens, die DeFi-Nutzer auf Secret halten und handeln. Dem Angreifer wird vorgeworfen , eine elegant simple Vorgehensweise angewendet zu haben: Er startete eine eigene Single-Validator-Cosmos-Chain, öffnete einen neuen IBC-Kanal direkt zum Secret-Bridge-Smart-Contract und leitete anschließend gefälschte Pakete mit Token-Stückelungen, die der Zulassungsliste des Smart-Contracts entsprachen, selbst weiter. Der Smart-Contract prüfte die eingehende Stückelung, jedoch nicht den Kanal, über den diese Stückelung eigentlich stammen sollte.

Dieser eine fehlende Scheck ist der Schlüssel zur ganzen Geschichte. Da der saToken-Smart-Contract jedem korrekt formatierten IBC-Paket mit bekanntem Nennwert vertraute, konnte der Angreifer problemlos vollständig gedeckte saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH aus dem Nichts erzeugen. Diese frisch erzeugten saToken wurden anschließend über den legitimen Axelar-IBC-Kanal eingelöst, wodurch die tatsächlich hinterlegten Vermögenswerte auf Axelar-Seite freigegeben wurden. Die Secret-Chain bemerkte nichts Ungewöhnliches, da die Erzeugung technisch gültig war. Auch die Axelar-Chain bemerkte nichts Ungewöhnliches, da die Einlösungen technisch gültig waren. Lediglich die Berechnungen auf dem Treuhandkonto stimmten nicht, und niemand beachtete sie.

Eine individuelle Überarbeitung, die nie extern geprüft wurde

Die Ermittler von Secret berichten, dass der Bridge-Vertrag bei der Axelar-Integration von einem Standard-Treuhandmodell auf ein Mint-Modell umgestellt wurde. Dabei wurden zwei Validierungsfunktionen entfernt , die genau diese Art von gefälschtem Kanalangriff erkannt hätten . Axelar soll vor der Aktivierung der Verbindung nie ein externes Audit angefordert haben. Ein benutzerdefinierter Bridge-Code ohne Sicherheitsprüfungen, bereitgestellt ohne erneutes Audit auf einer Blockchain, deren Vertragsstatus von außen nicht ohne Weiteres überwacht werden kann – das ist wohl die denkbar schlechteste Kombination von Faktoren. Der Exploit selbst war fast schon banal, sobald man die Funktionsweise des Vertrags verstanden hatte. Dass er eine Woche lang unentdeckt blieb, sollte jedes Team, das einen CW20-ICS20-Fork betreibt, beunruhigen.

AXL steigt um 5 %, Secret-Aktionäre weniger amüsiert

Axelars Notfallkomitee hat bestätigt, dass das restliche Axelar-Netzwerk normal funktioniert und der Angriff auf die Secret-Verbindung beschränkt war. Börsen und Strafverfolgungsbehörden wurden Berichten zufolge informiert, und die Ermittlungen dauern diese Woche noch an. Erstaunlicherweise ist der AXL-Kurs seit Bekanntwerden der Nachricht um rund 5 % gestiegen, möglicherweise weil der Markt die schnelle Abschaltung als Beweis dafür interpretiert hat, dass die Notfallmaßnahmen wie angekündigt funktionieren. Für Secret Networks SCRT hingegen verläuft die Woche weniger erfreulich. Inhaber, die die Bridge genutzt haben, warten nun ab, ob die Secret-Community den Verlust auf die Treasury- oder Staker-Fonds verteilt und ob sich Axelar an der Wiederherstellung beteiligt.

Brücken versagen immer wieder auf die gleiche Weise

Wer sich schon länger mit Kryptosicherheit beschäftigt, kennt dieses Szenario: Ein angepasster Fork eines Standardvertrags, bei dem einige Sicherheitsprüfungen stillschweigend entfernt wurden, keine externe Prüfung und ein cleverer Angreifer, der den Vertragscode schneller liest als die Entwickler. Neu ist hier die Rolle, die der Datenschutz im zeitlichen Ablauf spielte. Die gleiche Intransparenz auf der Blockchain, die Secret Network für Nutzer mit dem Wunsch nach geschützten Guthaben attraktiv macht, hat auch die breitere Sicherheitsgemeinschaft darüber hinweggeblendet, dass bereits seit einer Woche ein Datendiebstahl im Gange war. Es besteht dringender Diskussionsbedarf darüber, wie Privacy-Chains eine Out-of-Band-Überwachung implementieren, damit der nächste Vorfall innerhalb von Stunden statt Tagen erkannt wird. Aktuell verlieren Bridge-Nutzer rund viereinhalb Millionen Dollar, und eine weitere Integration wird derzeit im laufenden Betrieb rückgängig gemacht.

Acht Namen von Abiturienten, fünf Monate und eine schmerzliche Abgangsliste

Bei den Abgängen um Wang handelt es sich nicht um unbekannte Nachwuchsforscher außerhalb von Ethereum. Carl Beek, Julian Ma, Barnabe Monnot, Tim Beiko, Alex Stokes und der langjährige Ökosystemkoordinator Trent Van Epps haben das Unternehmen bereits verlassen oder ihren Austritt für 2026 angekündigt. Fünf dieser Abgänge ereigneten sich allein im Mai. Rechnet man Stanczak und Wang hinzu, sind damit in weniger als sechs Monaten rund zehn Führungskräfte aus der Organisation verschwunden, bei insgesamt etwa 19 Entlassungen und Abgängen innerhalb der Foundation in diesem Jahr. Was auch immer intern bei EF vor sich geht, es ist kein stiller Rinnsal mehr. Die Ausscheidenden sind größtenteils diejenigen, die die Zusammenhänge kannten, und dieses Wissen geht nun verloren.

Die Abgänge verschärfen ein weiteres, ebenso heikles Problem. Van Epps nutzte seine eigene Austrittsfrist, um öffentlich darauf hinzuweisen, dass die Entwickler der Ethereum-Basisschicht in den nächsten drei bis neun Monaten mit einem erheblichen Finanzierungsengpass konfrontiert sein könnten. Er beziffert die Kosten für die Aufrechterhaltung der Kernentwicklung auf rund 30 Millionen US-Dollar pro Jahr. Die Stiftung hat die Ausgaben in allen Bereichen gekürzt, und das Client Incentive Program, das die Auszahlung von Provisionen an Kunden unterstützte, wurde im April eingestellt. Die daraus resultierenden Zahlen sind alles andere als erfreulich, und Van Epps ist mit den damit verbundenen Problemen bestens vertraut.

Der Plan, die Beteiligung zur Finanzierung zu nutzen, reicht dafür nicht aus.

Anfang des Jahres stellte die Stiftung auf ein „Staking-to-Fund“-Modell um und investierte rund 70,000 ETH (damals etwa 143 Millionen US-Dollar) in Staking, um Renditen zu erwirtschaften, anstatt ihre eigenen ETH direkt am Markt zu verkaufen. Die Rechnung ist einfach, aber nicht optimal: Die Staking-Renditen belaufen sich auf etwa 4 bis 5 Millionen US-Dollar pro Jahr, während der jährliche Bedarf bei 30 Millionen US-Dollar liegt. Um die Differenz zu decken, hat die Stiftung trotzdem stillschweigend ETH abgezogen. Im April wurden etwa 17,000 ETH abgezogen, im Mai weitere 21,270 ETH (rund 50 Millionen US-Dollar) und mindestens 15,000 ETH wurden außerbörslich an BitMine verkauft, darunter ein Geschäft über 10,000 ETH, das am 1. Mai für rund 22.9 Millionen US-Dollar abgeschlossen wurde. Angesichts dieser dokumentarischen Belege wird es immer schwieriger, die Behauptung aufrechtzuerhalten, man werde keine ETH verkaufen.

Das Merkwürdige daran ist, dass all dies geschieht, obwohl das Netzwerk selbst intakt erscheint. Die On-Chain-Aktivität ist hoch, der Post-Merge-Stack stabil, die Anzahl der Validatoren enorm, und Ethereum ist nach wie vor die Settlement-Schicht, auf der die meisten ernstzunehmenden L2-Systeme aufbauen. Das Risiko liegt nicht in der Protokollschicht selbst, sondern in der Koordinationsschicht. Wenn Client-Teams und Kernforscher nicht zuverlässig finanziert werden können, verlangsamen sich die Upgrade-Roadmaps, die Sicherheitsarbeit wird vernachlässigt, und die Verantwortlichen erhalten Angebote von L2-Stiftungen und finanzstarken Stakern. Das ist kein Problem von morgen, sondern ein Problem des nächsten Jahres, möglicherweise sogar früher – genau das, worauf Van Epps in seiner Abschiedsrede hinwies .

Was ETH-Inhaber daraus tatsächlich mitnehmen sollten

Nichts davon bedeutet, dass Ethereum in der von Krypto-Twitter an einem ruhigen Samstag so dramatisierten Lage steckt. ETH als Asset und ETH als Netzwerk sind nicht dasselbe wie die Stiftung, die sie mitentwickelt hat. Es gibt gut finanzierte Akteure im Ökosystem, darunter Client-Teams, L2-Stiftungen und sehr große Staker, die allen Grund haben, den Betrieb aufrechtzuerhalten, selbst wenn die Ethereum Foundation nicht mehr zahlen kann. Es bedeutet aber, dass das institutionelle Zentrum, das einst in einer einzigen Organisation in Zug konzentriert war, sich in Echtzeit auflöst. Teilweise mag dies eine gesunde Dezentralisierung sein, da eine Schweizer Non-Profit-Organisation wohl kaum die tragende Säule des zweitgrößten Krypto-Netzwerks sein sollte. Teilweise handelt es sich um normale Fluktuationen in einem turbulenten Markt. Und teilweise ist es eine Finanzierungslücke von 30 Millionen Dollar, die jemand schließen muss, bevor Client-Teams andere Entscheidungen treffen. Die nächsten Monate werden zeigen, was davon tatsächlich zutrifft, und Wangs Ausscheiden ist ein deutlicher Hinweis darauf, wie spät es bereits ist.

Der größte Kritikpunkt an Krypto-"Governance"-Token war schon immer derselbe: Die Inhaber erhalten zwar ein paar ausgefallene Stimmrechte, aber sonst nicht viel.

Jito Labs hat nun einen ganz anderen Ansatz gewählt. Das Team hinter Solanas größtem Liquid-Staking-Protokoll kündigte JTX an, eine neue Self-Custody-Handelsplattform, die im Juli startet, und verknüpfte sie mit einem der aggressivsten Wertschöpfungsmechanismen im gesamten DeFi-Bereich: 80 % aller JTX-Einnahmen fließen in Rückkäufe des JTO-Tokens am offenen Markt. Händler reagierten schnell. JTO stieg Mitte Juni innerhalb einer Woche um rund 26 %, und dieser Anstieg ist weniger auf Hype als auf mathematische Berechnungen zurückzuführen. Wenn JTX so skaliert, wie Jito es erwartet, wird jeder Dollar an Handelsgebühren zu einer kleinen Kauforder für JTO. Die 20 %, die das Protokoll einbehält, werden für die Weiterentwicklung der Plattform verwendet.

Im Vergleich zum üblichen DeFi-Modell, bei dem ein Governance-Token das Protokoll nur vage repräsentiert, während das Team stillschweigend Gebühren einstreicht, ist dies ein seltener Fall, in dem Anreize für Token-Inhaber und Protokolleinnahmen tatsächlich in dieselbe Richtung weisen. Die Struktur ist zudem transparent, öffentlich und an einen messbaren Umsatzstrom gekoppelt – mehr, als die meisten großen DeFi-Protokolle je schriftlich zugesichert haben.

Warum Jito überhaupt eine Trading-App entwickelt

JTX positioniert sich als Alternative zu zentralisierten Börsen mit Selbstverwahrung . Solana-Händler sollen die Geschwindigkeit und den Komfort einer Benutzeroberfläche im Stil von Binance oder Coinbase, TradingView-Charts, Stop-Loss-Orders, voreingestellte Strategien und schnelle Ausführung erhalten – ohne private Schlüssel preiszugeben. Der Spothandel bildet den Einstieg, Perpetual Futures und Prognosemärkte sind geplant. Damit gerät JTX in direkten Wettbewerb mit Hyperliquid und dYdX im Perpetual-Futures-Markt sowie mit Polymarket im Prognosemarkt. Ein ambitioniertes Angebot in einem hart umkämpften Markt in jeder Kategorie.

Jito ist im Solana-Ökosystem kein unbeschriebenes Blatt. Das Unternehmen betreibt das führende Liquid-Staking-Produkt des Netzwerks und hat jahrelang die MEV-Infrastruktur optimiert, die einen bedeutenden Teil jedes Solana-Blocks berührt. Die Integration einer kundenorientierten Handelsplattform ist weniger eine strategische Neuausrichtung als vielmehr eine Erweiterung – eine Möglichkeit, den bereits bestehenden Orderfluss zu monetarisieren. Das Team gehört zudem zu den wenigen Solana-eigenen Projekten mit genügend technischer Expertise, um die von Hyperliquid etablierte, elegante CEX-ähnliche Ausführung ernsthaft infrage zu stellen.

Das 80%-Versprechen und warum es jetzt wichtig ist

DeFi hat jahrelang Token-Inhaber davon überzeugt, eine weiche Wertsteigerung zu akzeptieren: Mitbestimmungsrechte, vergünstigte Gebühren und vielleicht einen kleinen Anteil am Treasury-Wachstum. Die harte Variante, bei der tatsächlich Geld zum Rückkauf des Tokens am freien Markt verwendet wird, war selten, vor allem weil Regulierungsbehörden dies in der Vergangenheit als Warnsignal für die Wertpapierklassifizierung ansahen. In mehreren US-amerikanischen Fällen wurde argumentiert, dass an die Plattform-Performance gekoppelte Rückkäufe Dividenden und diese wiederum Investmentverträgen sehr ähnlich sehen. Das rechtliche Risiko war so real, dass fast alle großen Protokolle diese Struktur jahrelang stillschweigend vermieden.

Jito macht das ohnehin, und das Timing ist entscheidend. Die regulatorischen Rahmenbedingungen in den USA haben sich bis 2026 deutlich gelockert. Mit dem CLARITY Act, der den Kongress passiert, und der Abschwächung der strengen Durchsetzungspraxis der SEC testen Projekte ihre Grenzen aus – oder, je nach Sichtweise, was sie endlich tun können, ohne dafür verklagt zu werden. Ein so expliziter Rückkaufmechanismus wäre vor zwei oder drei Jahren undenkbar gewesen. 2026 gehört er zu den wichtigsten Marketingpunkten in Pressemitteilungen.

Worauf Händler tatsächlich achten sollten

Die entscheidende Kennzahl für den Erfolg dieser Strategie ist das Handelsvolumen von JTX. Aktienrückkäufe skalieren mit dem Umsatz, und der Umsatz wiederum mit dem Volumen. Hyperliquid, der offensichtliche Vergleichsmaßstab, verzeichnete in Spitzenwochen ein tägliches Handelsvolumen von mehreren Milliarden Dollar. Erreicht JTX auch nur einen Bruchteil davon, wird der Rückkauf von JTO zu realem Kapital. Andernfalls bleibt es ein strukturell eleganter Token, der kaum tatsächlichen Kaufdruck erzeugt. Die anfängliche Kursentwicklung war vielversprechend, doch Begeisterung und Umsetzung sind zwei Paar Schuhe.

Das andere Risiko liegt in dem, was Jito nicht offen ausspricht: 80 % der Einnahmen für Token-Rückkäufe zu verwenden, ist zwar ein starkes Bekenntnis, doch können solche Zusagen im DeFi-Bereich später durch Abstimmungen der Governance geändert werden. Token-Inhaber sollten daher die tatsächlichen Zahlen nach dem Start von JTX genau im Auge behalten und gleichzeitig jeden zukünftigen Vorschlag, der die Summe stillschweigend reduziert, kritisch beobachten. Der Sinn dieses Konzepts besteht darin, dass die Berechnungen transparent sein sollen. Sollte das Team oder die DAO diese Berechnungen als Verhandlungsmasse betrachten, verpufft der Anreiz schnell.

Aktuell sieht es gut aus. JTO ist einer der wenigen großen Token im Solana-Ökosystem, dessen Kurspotenzial klar begründet ist und nicht von einem parabolischen Anstieg des Solana-Kurses abhängt. Im Juli wird das Produkt tatsächlich ausgeliefert, und dann verringert sich auch die Diskrepanz zwischen Versprechen und tatsächlicher Umsetzung. Bis dahin dürfte der Kurs weiterhin das Vertrauen des Marktes in den Erfolg von Jito widerspiegeln. Beobachten Sie die Kennzahlen zum Marktstart genau, sobald erste Volumendaten vorliegen.