885 Millionen Dollar trotz Audit: Warum DeFi-Prüfungen am Ziel vorbeigehen

Fast 900 Millionen Dollar haben auditierte DeFi-Protokolle im ersten Halbjahr 2026 durch Hacks verloren – in Bereichen, die nie Teil der Sicherheitsüberprüfung waren.

Das Audit schützte, der Angriff kam von anderswo

Eine gemeinsame Untersuchung des Sicherheitsunternehmens ack3 und der Tschechischen Technischen Universität Prag analysierte 135 gemeldete DeFi-Vorfälle mit einem Gesamtschaden von knapp 940 Millionen Dollar. Bei 68 dieser Vorfälle existierten nachweislich Audits vor dem Angriff. Das zentrale Ergebnis: Bei zwei Dritteln dieser 68 Fälle lag der Angriffspfad vollständig außerhalb des jeweiligen Audit-Umfangs. Diese Gruppe verursachte 94 Prozent der Verluste im auditierten Subset, rund 681 Millionen Dollar.

Was ist ein Smart-Contract-Audit?

Eine Sicherheitsprüfung, bei der externer Code eines Blockchain-Protokolls zu einem bestimmten Zeitpunkt auf Schwachstellen untersucht wird. Der Prüfumfang ist dabei vertraglich definiert und deckt in der Regel nicht das gesamte System ab.

Moderne DeFi-Systeme bestehen aus weit mehr als einem einzelnen Vertrag. Upgrades, externe Preisdatenquellen, Cloud-Infrastruktur, privilegierte Zugriffsschlüssel oder Frontend-Komponenten gehören in der Regel nicht zum Prüfumfang. Genau dort setzten die Angreifer laut der Studie an.

Ein konkretes Beispiel liefert der ICON-Network-Exploit vom 27. August. Laut dem Post-Mortem der ICON Foundation nutzte ein Angreifer eine Diskrepanz zwischen zwei Prüfmechanismen im Auszahlungspfad aus: Die kryptografische Signatur deckte nur einen Teil der Nachricht ab, ein Migrationsvertrag prüfte einen anderen Teil. Dadurch konnten zwei legitim signierte Nachrichten knapp 1.500 Mal wiedereingespielt werden. Innerhalb von rund 20 Minuten flossen über 119 Millionen ICX und 531.600 bnUSD ab. Der Angriffsvektor lag außerhalb jedes bekannten Audit-Scopes des Projekts.

Allerdings verzerren zwei Großvorfälle das Bild erheblich. Rechnet man die Verluste von Kelp DAO mit 292 Millionen und Drift Protocol mit 285 Millionen Dollar heraus, sinkt der Anteil der Außerhalb-Scope-Verluste auf rund 72 Prozent. Das relativiert die Größenordnung, ändert aber nichts am grundsätzlichen Befund.

Methodische Grenzen und mögliche Interessenkonflikte

Die Studie hat Einschränkungen, die bei der Einordnung wichtig sind. Es fehlt eine Kontrollgruppe nicht-auditierter Protokolle, weshalb keine Aussage möglich ist, ob Audits die Gesamtverlustrate senken. Nicht-öffentliche Audits und nicht gemeldete Vorfälle könnten das Bild verzerren. Zudem sind zwei der Autoren mit ack3 affiliiert, einem Unternehmen, das selbst erweiterte Sicherheitsreviews verkauft. Das schafft einen potenziellen Interessenkonflikt, der die Ergebnisse nicht entwertet, aber Transparenz verlangt.

Warum das jetzt zählt

Der Befund trifft einen Nerv, weil Audit-Siegel in der DeFi-Branche faktisch als Qualitätsmerkmal vermarktet werden. Investoren und Nutzer interpretieren ein bestandenes Audit häufig als umfassende Sicherheitsgarantie. Die Studie legt nahe, dass diese Annahme strukturell falsch ist. Ein Audit prüft einen definierten Ausschnitt, nicht das Gesamtsystem.

Einordnung und Ausblick

Die Untersuchung liefert keine Begründung, Audits abzuschaffen. Sie zeigt aber, dass ein isolierter Code-Check die tatsächlichen Angriffsflächen moderner DeFi-Protokolle nur teilweise abdeckt. Ob die Branche daraus Konsequenzen zieht, etwa durch standardisierte Scope-Definitionen oder verpflichtende Offenlegung der Prüfgrenzen, bleibt offen. Optimistisch betrachtet könnte die Studie als Anstoß für umfassendere Sicherheitsstandards dienen. Skeptisch gesehen besteht das Risiko, dass sich an der gängigen Praxis wenig ändert, solange ein Audit-Siegel weiterhin als Marketinginstrument funktioniert. Die Lücke zwischen wahrgenommener und tatsächlicher Sicherheit bleibt vorerst bestehen.