Drei DeFi-Brücken in 24 Stunden gehackt: Der $35,5-Millionen-Coup vom Juli 2026

Der Angreifer kompromittierte fünf von sieben Hot-Signing-Keys der Brücken-Validatoren. Die Smart-Contract-Logik selbst wurde nicht umgangen – fünf legitime Validator-Signaturen autorisierten die Abhebung. Der Vertrag führte also exakt das aus, wofür er programmiert war . Der Angreifer ließ rund 24,15 Millionen Dollar in USDC aus der AFX-Bridge abfließen, transferierte das Geld nach Ethereum und tauschte es in etwa 12.467,5 ETH, die er in einer einzigen Wallet bündelte .

AFX Trade reagierte, indem es den Brückenbetrieb aussetzte, eine Untersuchung mit externen Sicherheitsexperten startete und dem Hacker öffentlich eine 30-Prozent-Belohnung (umgerechnet etwa 7,2 Millionen Dollar) für die Rückgabe der restlichen 70 Prozent anbot . Das Protokoll betonte, dass die Handelsinfrastruktur, das Mainnet und andere Komponenten nicht betroffen seien . Offchain Labs, die Entwickler von Arbitrum, bestätigten, dass die native Arbitrum-Brücke nicht kompromittiert wurde – betroffen war nur die von AFX betriebene Drittanbieter-Brücke .

Verus-Ethereum-Bridge – 7,54 Millionen Dollar (23. Juli)

Die Verus-Ethereum-Bridge wurde am 23. Juli um 03:45 UTC getroffen . Die Angriffsmethode war eine gefälschte Cross-Chain-Proof: Der Hacker nutzte den „Importpfad“ der Brücke aus, um auf der Ethereum-Seite Auszahlungen auszulösen, die auf der Verus-Seite durch keine hinterlegten Vermögenswerte gedeckt waren .

Besonders gravierend: Dies war derselbe Vertragspfad und dieselbe Sicherheitslücke, die bereits im Mai 2026 zu einem Exploit von 11,58 Millionen Dollar geführt hatte – ein Fehler, der nicht vollständig behoben worden war . Verus hatte die nach dem Mai-Angriff über eine Belohnung zurückgeholten Gelder am 8. Juli 2026 wieder in dieselbe Brücke eingezahlt – nur zwei Wochen vor dem erneuten Angriff .

Der Angreifer erbeutete rund 7,54 Millionen Dollar in einem Mix aus verschiedenen Assets, darunter etwa 1.137 ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD . Die gestohlenen Werte wurden in etwa 3.916,1 ETH umgewandelt und dann an Tornado Cash zur Verschleierung weitergeleitet . Die Sicherheitsfirmen Blockaid und PeckShield untersuchten den Vorfall, der scharfe Kritik an der ungelösten Sicherheitslücke hervorrief .

B² Network – 3,86 Millionen Dollar (23. Juli)

Das B² Network, ein Bitcoin-Layer-2-Projekt auf BNB Chain, verlor rund 3,86 Millionen Dollar bei einem Angriff, der vom Chain-Analysten Specter am 23. Juli (UTC+8) entdeckt wurde . Anders als bei den anderen beiden Vorfällen handelte es sich nicht um einen kryptographischen Brückenbruch, sondern um eine Kompromittierung administrativer Schlüssel: Der Angreifer erlangte unbefugten Zugriff auf eine Vertrags-Upgrade-Berechtigung und konnte so B2-Token abziehen .

Der Angreifer ließ rund 8,591 Millionen B2-Token abfließen, tauschte sie in 5.409 WBNB (≈3,11 Millionen Dollar), transferierte die Gelder nach Ethereum und leitete sie Berichten zufolge über NEAR Intents in Richtung Zcash weiter . Der Verkaufsdruck durch den Token-Dump ließ den Kurs von B2 stark einbrechen . B² Network setzte das Token-Staking nach der Entdeckung des unbefugten Zugriffs aus .

AFX-Trade-Angreifer wäscht Geld über THORChain

Am 25. Juli 2026 – etwa drei Tage nach dem ersten Exploit – begann der AFX-Trade-Hacker, die gestohlenen Gelder aktiv zu waschen . Dafür nutzte er THORChain, ein dezentrales Cross-Chain-Liquiditätsprotokoll, um ETH in BTC zu tauschen . Diese Methode umgeht die KYC-Pflicht zentraler Börsen und wird häufig zur Verschleierung von Transaktionen genutzt.

Nach Berichten vom 25. Juli waren etwa 655 ETH (von insgesamt rund 12.467,5 ETH) in ungefähr 18,86 BTC umgewandelt worden . Die On-Chain-Analysten Ash und EmberCN berichteten, dass der Hacker etwa eine Stunde vor Veröffentlichung der Berichte mit den Tauschvorgängen begonnen hatte . Der Großteil der rund 12.467 ETH befand sich zu diesem Zeitpunkt noch in der Wallet des Hackers; die Umwandlung in BTC über THORChain war noch im Gange .

Wichtige Erkenntnisse

• Keiner der drei Angriffe beruhte auf gebrochener Kryptographie – alle gingen auf kompromittierte private Schlüssel oder nicht geschlossene Sicherheitslücken im Smart-Contract-Code zurück .
• Der Angriff auf die Verus-Ethereum-Bridge war eine Wiederholung einer bekannten Schwachstelle aus dem Mai 2026. Dies zeigt das Risiko unzureichender Nachbesserungen nach ersten Exploits .
• Alle drei Angreifer folgten einem ähnlichen Muster: Sie wandelten die gestohlenen Vermögenswerte schnell in ETH oder BTC um und leiteten die Gelder über datenschutzorientierte Dienste (Tornado Cash, THORChain, NEAR Intents) um, um die Spur zu verschleiern .
• Die kombinierten Verluste von rund 35,55 Millionen Dollar trieben die brückenbezogenen Verluste im Juli 2026 auf fast 100 Millionen Dollar und übertrafen damit den Juni-Wert .