Im Krypto-Sektor sind Sicherheitsvorfälle, bei denen Gelder gestohlen werden, leider keine Seltenheit. Der Fall, der das Cosmos-Ökosystem traf, eines der bedeutendsten Blockchain-Projekte weltweit, hebt sich jedoch deutlich ab: Das eigentliche Problem ist nicht der Angriff selbst, sondern was ihn möglich gemacht hat. In einem nach dem Vorfall veröffentlichten Analysedokument gestand das Unternehmen, das die zugrunde liegende Software entwickelt, dass es vier Monate vor dem Exploit über die Sicherheitslücke informiert worden war und sie fälschlicherweise als harmlos eingestuft hatte.
Das Ergebnis war ein Angriff, der innerhalb weniger Tage sechs verschiedene Blockchains traf und laut The Block rund 5,7 Millionen Dollar erbeutete. Die Summe ist für Branchenmaßstäbe überschaubar. Weit aufschlussreicher ist, was dieser Vorfall über eine strukturelle Schwäche im Aufbau großer Teile des Krypto-Universums offenbart. Nachfolgend eine Analyse des Geschehens und der Konsequenzen, die besonders für europäische und DACH-Investoren relevant sind, da auch BaFin-regulierte Projekte auf geteiltem Code-Ökosystemen aufbauen können.
cosmos
Ein Fehlurteil von vier Monaten
Die Chronologie steht im Zentrum des Problems. Ende April wurde die Schwachstelle ordnungsgemäß über das sogenannte Bug-Bounty-Programm gemeldet, also jenes System, das Sicherheitsforschern eine Prämie zahlt, wenn sie Lücken aufdecken. Die Ingenieure begingen jedoch einen folgenreichen Bewertungsfehler: Sie gingen davon aus, dass der Defekt nur eine bestimmte technische Konfiguration betreffen könnte, die von den aktiven Haupt-Blockchains nicht genutzt wird. Daraus schlossen sie, dass die Gelder in den realen Netzwerken nicht gefährdet seien.
Auf Basis dieser Fehleinschätzung wurde im Mai eine Korrektur „still“ eingespielt, ohne die Betreiber der verschiedenen Blockchains über die Schwere des Problems zu informieren. Der Patch wurde als Routine-Update behandelt. Erst Anfang August erkannten andere Sicherheitsforscher, dass die ursprüngliche Bewertung falsch war und die Lücke weit mehr Netzwerke betraf als angenommen. Es begann ein Wettlauf gegen die Zeit, um eine öffentliche Korrektur herauszugeben. Doch es war zu spät: Der Patch erschien am 19. August, und der erste Angriff folgte wenige Stunden danach.
cosmos
Wie der Angriff funktionierte
Der technische Mechanismus des Exploits ist so raffiniert wie lehrreich, und er widerlegt eine verbreitete Fehlannahme. Viele glauben, solche Angriffe würden einfach eine unbegrenzte Menge an Münzen „aus dem Nichts“ erzeugen. Hier verlief es anders. Der Angreifer nutzte einen mathematischen Fehler aus, der als „Integer Underflow“ bekannt ist: Es gelang ihm, den Kontostand eines Kontos unter null zu drücken. Statt einen Fehler auszulösen und den Vorgang abzubrechen, interpretierte das System diesen negativen Wert aufgrund seiner Programmierung als die größtmögliche Zahl.
Von dort aus konnte der Angreifer über den umgekehrten Mechanismus Token von anderen Konten auf sich selbst übertragen. Der entscheidende Punkt ist, dass die Gesamtmenge der umlaufenden Münzen im Wesentlichen unverändert blieb: Es wurden keine gefälschten Münzen erzeugt, sondern Assets von bestimmten Zielkonten abgezogen, häufig sogenannte „schlafende“ Adressen oder technische Wallets. Im Fall des am stärksten betroffenen Netzwerks wurden laut dem offiziellen Post-Mortem von Cosmos Labs Hunderte Millionen Token von einer „Burn-Adresse“ und einem alten Wallet verschoben, ohne dass die Sicherheitsschlüssel des Netzwerks kompromittiert wurden. Eine technisch wichtige Unterscheidung, um das tatsächliche Schadensausmaß zu verstehen.
Der Fall Cosmos: Was schiefgelaufen ist
Die Chronologie des Fehlers. Quelle: Cosmos Labs, The Block, 2026
- Der Fehler: Der im April gemeldete Bug wurde als nicht gefährlich für reale Netzwerke eingestuft. Eine falsche Einschätzung.
- Der Angriff: Rund 5,7 Millionen Dollar wurden zwischen dem 20. und 25. August von sechs Blockchains entwendet, wenige Stunden nach dem Patch.
- Das eigentliche Problem: Dutzende Chains teilen dieselbe Software und damit dieselben Schwachstellen, ohne einen schnellen gemeinsamen Update-Mechanismus.
Die Kontroverse: Zwanzig Stunden reichten nicht
Einer der umstrittensten Aspekte betrifft das Krisenmanagement in der Schlussphase. Als die Korrektur am 19. August veröffentlicht wurde, fehlte ein klarer Hinweis auf die Schwere und Dringlichkeit des Problems. Wenige Stunden später veröffentlichte ein externer Forscher online eine detaillierte Beschreibung, wie die Lücke ausgenutzt werden kann, und lieferte Angreifern damit eine fertige Anleitung. Der erste Angriff folgte nur wenige Stunden später.
KiiChain
Die betroffenen Blockchains übten scharfe Kritik an diesem Vorgehen. Eine von ihnen betonte, dass die äußerst kurze Zeitspanne realistisch nicht ausreichte, um ein derart komplexes Update zu koordinieren, zu testen und auszuspielen, das die Zustimmung von Dutzenden unabhängiger Validatoren erfordert, zumal kein spezifischer Hinweis auf die Dringlichkeit gegeben worden war. Ein anderes Netzwerk äußerte sich noch deutlicher und argumentierte, das Unternehmen hätte die betroffenen Netzwerke sofort auffordern müssen, die Blockproduktion einzustellen, da dies der einzige Schritt gewesen wäre, der die Diebstähle hätte verhindern können. Offen bleibt auch ein technischer Streitpunkt: Eines der betroffenen Netzwerke behauptet, dem Angriff hätten mehr Schwachstellen zugrunde gelegen als jene, die das entwickelnde Unternehmen öffentlich behoben hat, eine These, die in dessen Bericht nicht direkt adressiert wird. Die Frage der Verantwortung ist zwischen den Parteien also weiterhin ungeklärt.
Das eigentliche Problem: die Fragilität des Multi-Chain-Modells
Damit kommen wir zu dem Punkt, der diesen Fall weit über den Einzelfall hinaus bedeutsam macht. Das Cosmos-Ökosystem basiert auf einer wirkungsvollen Idee: eine gemeinsame Software bereitzustellen, die es jedem ermöglicht, einfach eine eigene Blockchain zu starten, alle miteinander verbunden. Das ist ein überaus erfolgreiches Modell, doch dieser Vorfall hat seine Achillesferse offenbart. Wenn Dutzende oder gar Hunderte verschiedener Blockchains dieselbe Basissoftware teilen, teilen sie auch deren potenzielle Schwachstellen.
Das Problem besteht darin, dass es trotz gemeinsamer Software keinen zentralisierten Mechanismus gibt, um all diese Netzwerke im Notfall gleichzeitig und dringlich zu aktualisieren. Jede Blockchain ist unabhängig und muss Korrekturen eigenständig einspielen, ein langsamer und aufwendiger Prozess. Die wohl bemerkenswerteste Erkenntnis aus dem Vorfall: Das entwickelnde Unternehmen räumte laut eigenem Bericht ein, nicht einmal über eine vollständige Liste aller Netzwerke zu verfügen, die seine Software nutzen. Im Verlauf der Notlage entdeckte es elf Blockchains, von deren Existenz es keine Kenntnis hatte. Das lässt sich vergleichen mit einem Hersteller eines fehlerhaften Bauteils, das in Millionen von Fahrzeugen verbaut ist, der aber weder weiß, in welchen Fahrzeugen es steckt, noch eine Möglichkeit hat, alle zurückzurufen. Diese strukturelle Schwäche geht weit über einen einzelnen menschlichen Fehler hinaus. Kein Einzelfall: Das Thema versteckter Sicherheitslücken im Code betrifft die gesamte Branche, wie sich etwa bei dem vier Jahre lang verborgenen Bug in Zcash gezeigt hat.
Das größere Bild
Der Cosmos-Vorfall ist eine wertvolle Lektion, die weit über den wirtschaftlichen Schaden hinausgeht, der sich letztlich in Grenzen hielt. Er erinnert daran, dass Sicherheit im Kryptobereich nicht allein von der Qualität des Codes abhängt, sondern ebenso, wenn nicht sogar vorrangig, von den menschlichen und organisatorischen Prozessen, mit denen dieser Code verwaltet, aktualisiert und kommuniziert wird. Eine Fehleinschätzung, eine unklare Kommunikation, das Fehlen einer vollständigen Übersicht über die zu schützenden Systeme: Diese Faktoren haben, mehr als die einzelne technische Lücke, aus einem bekannten Problem einen realen Schaden gemacht.
Für Beobachter ergibt sich eine doppelte Erkenntnis. Zum einen lädt dieser Vorfall dazu ein, die weit verbreitete Annahme kritischer zu betrachten, dass das einfache Starten vieler vernetzter Blockchains ausschließlich ein Vorteil sei. Das Teilen von Code bedeutet zwangsläufig auch das Teilen von Risiken und erfordert Sicherheits- und Koordinierungsmechanismen, die dem gerecht werden, an denen es häufig noch mangelt. Zum anderen ist es eine Mahnung zur Transparenz: Die Art, wie ein Projekt auf eine Krise reagiert, eigene Fehler eingesteht und mit den betroffenen Parteien zusammenarbeitet, ist genauso bedeutsam wie die Fähigkeit, eine solche Krise zu verhindern. Der veröffentlichte Bericht von Cosmos ist ein Schritt in die richtige Richtung, doch die geäußerte Kritik zeigt, wie viel noch zu tun bleibt, damit das Multi-Chain-Ökosystem wirklich so sicher und widerstandsfähig wird, wie es verspricht zu sein.
