2025 wurden bei Bybit rund 1,5 Milliarden US-Dollar gestohlen – damals der größte Sicherheitsvorfall in der Geschichte der Kryptowährungen. Im Nachgang analysierte die Branche ausführlich die Multisig-Verfahren und die Trennung von Hot- und Cold-Wallets.
Doch nicht einmal ein Jahr später ereignete sich erneut ein ähnlicher Vorfall, dessen Ausmaß viermal so groß war wie beim letzten Mal. Die Spur der Urheber scheint zudem auf dieselbe Organisation zu deuten.
Die Angriffswege waren in beiden Fällen sehr ähnlich. Das zeigt: Obwohl sich das Angriffsmuster als wirksam erwiesen hatte, wurde es in der Branche nicht systematisch unterbunden. Die Sicherheitsmaßnahmen der einzelnen Börsen waren voneinander unabhängige, schrittweise Nachbesserungen – ein verbindlicher Branchenstandard fehlte weiterhin.
Zwei Sicherheitsvorfälle dieser Größenordnung in Folge dürften die Lage verändern. Aufsichtsbehörden und Großkunden haben gute Gründe, von Börsen die Offenlegung von Details ihrer Sicherheitsarchitektur und die Teilnahme an Red-Team-Tests durch Dritte zu verlangen. Sicherheitskompetenz könnte so vom Werbeargument zur Voraussetzung für eine Lizenz werden.
Auch für normale Nutzer dürften sich die Maßstäbe zur Beurteilung entsprechend ändern.
Doch nicht einmal ein Jahr später ereignete sich erneut ein ähnlicher Vorfall, dessen Ausmaß viermal so groß war wie beim letzten Mal. Die Spur der Urheber scheint zudem auf dieselbe Organisation zu deuten.
Die Angriffswege waren in beiden Fällen sehr ähnlich. Das zeigt: Obwohl sich das Angriffsmuster als wirksam erwiesen hatte, wurde es in der Branche nicht systematisch unterbunden. Die Sicherheitsmaßnahmen der einzelnen Börsen waren voneinander unabhängige, schrittweise Nachbesserungen – ein verbindlicher Branchenstandard fehlte weiterhin.
Zwei Sicherheitsvorfälle dieser Größenordnung in Folge dürften die Lage verändern. Aufsichtsbehörden und Großkunden haben gute Gründe, von Börsen die Offenlegung von Details ihrer Sicherheitsarchitektur und die Teilnahme an Red-Team-Tests durch Dritte zu verlangen. Sicherheitskompetenz könnte so vom Werbeargument zur Voraussetzung für eine Lizenz werden.
Auch für normale Nutzer dürften sich die Maßstäbe zur Beurteilung entsprechend ändern.