35 Mio. Dollar aus drei Protokollen in sechs Stunden: Kryptografie blieb intakt

In sechs Stunden wurden drei Protokolle um insgesamt mehr als 35 Millionen Dollar geleert. Und das Detail, das mehr zum Nachdenken anregen sollte als jede Zahl, ist folgendes: In keinem der drei Fälle wurde die Kryptografie gebrochen. Der mathematische Code, der Blockchains schützt, hat einwandfrei funktioniert.

Was versagt hat, war alles andere. Eine Lektion, die die Branche partout nicht lernen will, weil sie weit weniger beruhigend ist als ein technisches Problem.

Was in der Nacht zum 23. Juli geschah

In der Nacht vom 22. auf den 23. Juli 2026 ereigneten sich laut Blockaid und Lookonchain drei voneinander unabhängige Angriffe. Am schwersten traf es AFX, eine dezentrale Derivateplattform auf Arbitrum: Rund 24,15 Millionen Dollar wurden abgezogen. Wenige Stunden später verlor die Bridge zwischen Verus und Ethereum rund 7,54 Millionen in Ether, tokenisiertem Bitcoin und mehreren Stablecoins. B² Network büßte anschließend rund 3,86 Millionen ein.

Der Fall Verus: dieselbe Tür, zweimal geöffnet

Das Beunruhigendste betrifft Verus, und es verdient eine Erklärung. Eine Bridge ist ein Werkzeug, das Wert zwischen zwei Blockchains überträgt, die sonst nicht miteinander kommunizieren würden: Echte Token werden auf einer Seite gesperrt, und entsprechende Ansprüche werden auf der anderen Seite ausgegeben. Die Sicherheit hängt vollständig von einer Prüfung ab: Jede Auszahlung auf einer Seite muss tatsächlich durch gesperrte Mittel auf der anderen gedeckt sein.

Verus, Ethereum Bridge Suffers Second Exploit in Two Months, $7.54M Drained

Blockaid detected a new exploit targeting the Verus, Ethereum Bridge, with an attacker abusing the bridge's import path to trigger unbacked Ethereum-side payouts and drain approximately $7.54 million in… pic.twitter.com/eNGo8EILT7

, Wu Blockchain (@WuBlockchain) July 23, 2026

Der Angreifer nutzte den Import-Pfad der Bridge, um auf der Ethereum-Seite Auszahlungen auszulösen, die auf der Verus-Seite nicht gedeckt waren. Die Bridge gab echtes Geld gegen einen Anspruch frei, der nicht existierte. Der eigentliche Punkt ist jedoch ein anderer: Laut Blockaid, dem Sicherheitsunternehmen, das den Angriff entdeckte, handelt es sich um denselben Vertrag, denselben Einstiegspunkt und dieselbe Fehlerklasse, die bereits bei einem Angriff im Mai 2026 ausgenutzt wurden, als rund 11,58 Millionen Dollar gestohlen wurden. Zwei Monate später stand dieselbe Tür noch offen.

Was versagt hat und was nicht

Hier liegt der Kern, den die Branche ungern zugibt. Keiner dieser Angriffe hat die Kryptografie geknackt. Im Fall von B² Network erlangte der Angreifer die Kontrolle über die Upgrade-Berechtigungen des Staking-Vertrags: Nichts wurde erzwungen, er hatte schlicht die richtigen Schlüssel. In den anderen Fällen führte der Code korrekt aus, was ihm befohlen wurde, nur erlaubte die Logik, etwas anzufordern, das nicht möglich hätte sein dürfen.

Das ist exakt dasselbe Muster wie bei dem jüngsten Cardano-Wallet-Vorfall: Die Chain selbst war nicht kompromittiert, der Fehler steckte in der Software, die darauf lief. Die Branche verkauft Blockchain weiterhin als Synonym für Sicherheit, doch eine Blockchain schützt nur die Schicht, die sie direkt berührt. Alles darüber, Bridges, aktualisierbare Verträge, Verwaltungs-Wallets, ist normale Software, geschrieben von normalen Menschen, mit Berechtigungen, die von normalen Menschen verwaltet werden. Für BaFin-regulierte Plattformen und deren Nutzer in Deutschland und Österreich ist das keine abstrakte Debatte: Auch professionell betriebene Dienste können anfällig sein, wenn die Schlüsselverwaltung unzureichend ist.

Die neue Variable: automatisierte Angriffe

Es gibt ein Element, das das Bild ernster erscheinen lässt als eine bloße Pechsträhne. Analysten, die solche Vorfälle beobachten, berichten, dass kompromittierte Schlüssel und schlecht verwaltete Berechtigungen weiterhin die Hauptursache der größten Diebstähle sind, und dass KI-gestützte Einbruchswerkzeuge zunehmend leistungsfähiger werden.

Konkret bedeutet das: Das automatische Durchsuchen von Code nach bekannten Schwachstellenmustern kostet heute weit weniger als früher. Bleibt eine öffentlich bekannte Lücke monatelang offen, wie im Fall Verus, arbeitet die Zeit nicht mehr für die Verteidiger. Drei Angriffe in sechs Stunden auf unterschiedliche Protokolle mögen Zufall sein. Sie sind aber auch ein Abbild einer Branche, in der das Auffinden der falschen Tür deutlich schneller geht, als sie repariert werden kann.

🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵

, Blockaid (@blockaid_) July 23, 2026

Die größere Einordnung

Wer investiert oder aufbaut, sollte eine wenig heroische, aber konkrete Schlussfolgerung ziehen. Bridges bleiben der fragilste Punkt des gesamten Ökosystems, weil sie große Mengen an Geldern konzentrieren und ihre Sicherheit von einer Prüfung abhängt, die, wenn sie auch nur geringfügig falsch ist, einen Abfluss öffnet. Bevor man Vermögen auf einem Protokoll lässt, das verschiedene Chains verbindet, lohnt es sich zu fragen: Wer kontrolliert die Update-Berechtigungen? Gibt es ein aktuelles, unabhängiges Audit? Wurden vergangene Schwachstellen wirklich geschlossen oder nur notdürftig geflickt?

Die eigentliche Nachricht ist nicht, dass jemand 35 Millionen Dollar gestohlen hat. Es ist, dass dafür nichts gebrochen werden musste. Der Angreifer fand schlicht eine Tür, die jemand vor zwei Monaten vergessen hatte zu schließen. Wer die Grundlagen verstehen möchte, kann mit einer Einführung in die Funktionsweise von Blockchains beginnen und sich anschließend mit den Grundprinzipien der sicheren Verwahrung von Kryptowährungen befassen.