Wenn Dezentralisierung versagt: Warum ziehen Blockchains in Krisen den Stecker?

Am 30. August froren die Validatoren von Cronos die gesamte Blockchain ein.

24 Stunden zuvor tat Fogo dasselbe, und eine Woche vor Fogo verschickte Cosmos Labs eine dringende Warnung an alle Chains, die ihr EVM-Modul betreiben: entweder upgraden oder den Betrieb einstellen.

Drei völlig unterschiedliche Angriffswege, drei unterschiedliche On-Chain-Governance-Strukturen – doch alle führten zum selben Notfallplan: die Chain stoppen.

Wenn die echte Krise kommt, unterscheidet sich die „letzte Verteidigungslinie“ dezentraler Netzwerke kaum vom Notfallplan traditioneller Internetunternehmen: den Stecker ziehen.

75 Millionen Dollar, 20 Minuten

Was bei Cronos passierte, wirkt wie ein Lehrbuchfall.

Der Angreifer wählte Tectonic, das größte und nahezu einzige Kreditprotokoll auf Cronos, mit einem TVL von etwa 121,7 Millionen Dollar – 46 % des gesamten DeFi-Volumens der Chain. Der Dreh- und Angelpunkt des Angriffs war der Governance-Token TONIC von Tectonic, ein äußerst illiquides Asset.

Die Methode war altbekannt: Innerhalb von etwa 20 Minuten wurde der Preis von TONIC um das Hundertfache in die Höhe getrieben, dann wurden diese „aufgeblähten“ Token als Sicherheit hinterlegt, um aus dem Kreditpool echte Werte abzuziehen – cbBTC, USDC, WETH, harte Währungen.

Der On-Chain-Forscher Weilin Li schätzt, dass der Angreifer etwa 364,6 Billionen TONIC hielt. Bei einem Collateral-Faktor von 20 % musste der manipulierte Wert seiner Position rund 375 Millionen Dollar erreichen, um Kredite von etwa 75 Millionen Dollar zu ermöglichen. Diese Zahl deckt sich exakt mit dem hundertfachen Preisanstieg.

Die Validatoren von Cronos reagierten schnell. Als die Chain eingefroren wurde, hatte der Angreifer erst etwa 6 Millionen Dollar über eine Brücke zu Ethereum transferiert; die restlichen rund 60 Millionen Dollar blieben auf der gestoppten Chain gefangen.

Kris Marszalek, CEO von Crypto.com, erklärte umgehend auf X, dass die App und die Börse von Crypto.com nicht betroffen seien und das Sicherheitsteam bei den Ermittlungen helfe.

Das war ein erfolgreicher Schadensbegrenzer – und legte zugleich eine unbequeme Realität offen: Cronos konnte die Abschaltung so schnell koordinieren, gerade weil die Validatorenmenge klein genug ist.

Cronos basiert auf dem Tendermint-Konsens, die Obergrenze liegt bei 100 Validatoren, tatsächlich aktiv sind sogar noch weniger. Das macht die Notfallkoordination effizient – und den Begriff „Dezentralisierung“ heikel.

Im Oktober 2022 entzog Avraham Eisenberg mit fast identischer Methode über 100 Millionen Dollar aus Mango Markets auf Solana.

Das Vorgehen war dasselbe: den Preis des illiquiden MNGO-Tokens manipulieren und dann mit überhöhten Sicherheiten echte Vermögenswerte ausleihen. Eisenberg wurde später verhaftet und wegen Warenbetrugs verurteilt. Der rechtliche Präzedenzfall ist gesetzt: Selbst wenn ein Angreifer technisch die Regeln des Protokolls befolgt, stellt die Manipulation von DeFi-Tokenpreisen eine Straftat dar.

Drei Tage vor dem Cronos-Vorfall verlor das Kreditprotokoll Moonwell im Base-Netzwerk durch exakt dasselbe Angriffsmuster rund 8,7 Millionen Dollar. Der Angreifer manipulierte den Preis des illiquiden Tokens MAMO und lieh sich cbBTC und USDC. Es war bereits der dritte sicherheitsrelevante Vorfall im Zusammenhang mit Orakeln bei Moonwell innerhalb von elf Monaten.

Das Drehbuch von Mango Markets läuft von 2022 bis 2026 – über drei Chains und drei Token-Namen hinweg, ohne dass sich die Kernlogik auch nur ein Wort geändert hätte.

Wenn DeFi-Kreditprotokolle illiquide Token als Sicherheit akzeptieren, ist das, als würde eine Bank ein Gemälde ohne seriöse Echtheitsprüfung als Pfand annehmen: Der Preis zählt nicht, sondern nur, ob es sich verkaufen lässt.

Chain läuft normal, 15 Stunden später Stillstand

Der Fall Fogo ist noch aufschlussreicher.

Am Abend des 29. August (21:13 Uhr Ostküstenzeit) meldete die Fogo Foundation auf X, ein unbekannter Angreifer habe die Foundation „kompromittiert“, wodurch 400 Millionen FOGO-Token an Kriminelle transferiert wurden. Die Foundation habe Börsen und Strafverfolgungsbehörden informiert und betont, die „Fogo-Blockchain selbst sei nicht betroffen und laufe normal weiter“.

400 Millionen FOGO entsprechen 4 % des gesamten Genesis-Angebots (10 Milliarden Token), aber über 10 % des aktuell zirkulierenden Angebots. Beim damaligen FOGO-Preis von etwa 0,0075 Dollar belief sich der Wert auf rund 3 Millionen Dollar. Keine riesige Summe, doch wenn plötzlich 10 % der Umlaufmenge in die Hände eines Angreifers fallen, ist das für eine L1 mit ohnehin niedriger Marktkapitalisierung ein systemisches Risiko.

Interessant war die Reaktion von Bitget: Die Börse setzte Ein- und Auszahlungen von FOGO etwa eine Stunde vor der offiziellen Bekanntgabe der Fogo Foundation aus – angeblich wegen „Wallet-Wartung“. KuCoin zog nach. Die Börsen hatten einen besseren Riecher als die Ankündigung des Projekts.

Entscheidend war, was danach geschah: Nachdem die Foundation erklärt hatte, die „Chain laufe normal“, stoppte Fogo etwa 15 Stunden später das Mainnet. Die Begründung: Die Pause solle verhindern, dass betroffene Vermögenswerte weiter transferiert werden; die Validatoren würden das Netzwerk upgraden, um „Adressen im Zusammenhang mit nicht autorisierten Aktivitäten einzuschränken“.

Von „alles in Ordnung“ bis zum „Stecker ziehen“ verging nur eine Nacht.

Die Foundation hat bis heute weder den Angriffsvektor offengelegt noch erklärt, ob die gestohlenen Token aus operativen Reserven oder Treasury-Beständen stammten. Die entscheidendere Frage lautet: Wenn Fogo durch Validatoren-Koordination die gesamte Chain stoppen und bestimmte Adressen einfrieren kann – wie lässt sich dann ihr Grad an Dezentralisierung definieren?

Ein Bug, sechs Chains, vier Monate

Die Geschichte von Cosmos EVM ist ein Schrecken anderer Dimension.

Es geht nicht um eine einzelne Chain, sondern um eine Schwachstelle auf Supply-Chain-Ebene in einer gemeinsam genutzten Codebasis. Cosmos EVM ist ein Open-Source-Modul, das es auf dem Cosmos SDK basierenden Blockchains ermöglicht, Ethereum-kompatible Smart Contracts auszuführen. Jede Chain, die dieses Modul übernommen hat, erbte denselben Codefehler.

Die Schwachstelle ist ein Integer-Underflow: Wenn der delegierte Betrag eines Vesting-Kontos sein verfügbares Guthaben übersteigt, meldet das System keinen Fehler, sondern lässt den Saldo auf eine astronomische Zahl nahe 2 hoch 256 „überlaufen“. Der Angreifer braucht keine Administratorrechte – er muss nur eine spezielle Transaktion konstruieren, um einem beliebigen Konto plötzlich ein nahezu unbegrenztes Guthaben zu verschaffen.

Die Zeitleiste ist beunruhigend.

Am 25. April meldete ein Forscher den Fehler über das Bug-Bounty-Programm von Cosmos Labs. Das Testteam kam zu dem Schluss, Produktionsnetzwerke seien nicht betroffen. Der Fix wurde als reguläres Update ausgeliefert – nicht als sicherheitskritisch markiert, ohne Sicherheitshinweis und ohne Benachrichtigung der nachgelagerten Chain-Betreiber.

Am 13. August bestätigte das Team intern, dass alle Cosmos-EVM-Chains betroffen sind. Am 19. August wurde die korrigierte Version veröffentlicht. Am 20. August – nur einen Tag nach dem Fix – erfolgte der erste Angriff auf MANTRA. Innerhalb von fünf Tagen breitete sich der Angriff auf sechs Chains aus, darunter MANTRA, TAC und KiiChain, mit einem Gesamtschaden von rund 5,72 Millionen Dollar.

In der Notfallreaktion kontaktierte Cosmos Labs 40 Chains und entdeckte dabei 11 Cosmos-EVM-Deployments, die zuvor gar nicht in ihrem Verzeichnis standen. In einem Ökosystem mit über 115 öffentlichen Chains weiß der Maintainer nicht, wer seinen Code verwendet – diese Tatsache ist beängstigender als die Schwachstelle selbst.

Am 24. August veröffentlichte Cosmos Labs eine öffentliche Erklärung auf X und empfahl allen Chains, die das Cosmos-EVM-Modul betreiben, ihre Validatoren zu stoppen. Der Fix ist zustandsändernd (state-breaking) und erfordert ein koordiniertes Upgrade; Chains, die nicht sofort upgraden können, wurde empfohlen, den Betrieb direkt einzustellen.

Dies war nicht das erste Mal. Im Januar 2026 nutzte ein Angreifer eine ICS20-Precompile-Schwachstelle in derselben Codebasis und stahl rund 7 Millionen Dollar aus dem EVM-Netzwerk von Saga. Dieselbe Codebasis, dasselbe Jahr, zwei sicherheitsrelevante Vorfälle auf Lieferketten-Ebene.

Das Modell der gemeinsamen Nutzung von Open-Source-Software bietet enorme Effizienzvorteile, bedeutet aber auch: Ein Bug kann sich wie eine Infektionskrankheit im gesamten Ökosystem ausbreiten. Die traditionelle Softwarebranche hat dafür ausgereifte Mechanismen – CVE-Nummern, verpflichtende Sicherheitshinweise, Patch-Fenster für nachgelagerte Nutzer. Cosmos Labs hat bei diesem Vorfall fast alle diese Schritte übersprungen.

Dieselbe Eigenschaft, zwei Bewertungen

BeInCrypto zitierte in der Berichterstattung über den Cronos-Stopp eine treffende Formulierung: Eine Chain, die abgeschaltet werden kann, ist zugleich eine Chain, bei der Gelder zurückgeholt werden können.

Nach dem Stopp von Cronos stieg der CRO-Token sogar um etwa 4–5 %. Der Markt preist den „erfolgreichen Schadensbegrenzer“ ein. Rund 60 Millionen Dollar an gestohlenen Vermögenswerten stecken weiterhin auf der Chain fest; falls die Validatoren einen Rollback oder eine Blacklist wählen, könnten diese Gelder möglicherweise zurückgeholt werden. Doch die Einleger von Tectonic haben bis heute keinerlei Rückzahlungsversprechen erhalten.

Nach dem Stopp von Fogo ist der FOGO-Preis um 18–20 % gefallen. Ob die 400 Millionen Token des Angreifers eingefroren werden können, hängt davon ab, was „Adressen einschränken“ technisch bedeutet – das hat Fogo bislang nicht erklärt. Und am 26. September steht ein Unlock von rund 1,54 Milliarden FOGO (15,44 % des Gesamtangebots) an; der zeitliche Zufall macht das Marktvertrauen noch fragiler.

Im Fall von Cosmos EVM nahm MANTRA nach etwa 30 Stunden Stillstand die Blockproduktion wieder auf und erklärte, die Nutzerguthaben seien nicht betroffen. TAC stoppte am 22. August bei Block 24.671.475 und war zum Redaktionsschluss noch nicht wiederhergestellt. KiiChain bestätigte 18 Angriffe mit einem Verlust von rund 148 Millionen KII.

Drei Chains, dieselbe Schwachstelle, drei unterschiedliche Ausgänge.

Im ersten Halbjahr 2026 meldete Blockaid Verluste durch On-Chain-Sicherheitsvorfälle von über 1,1 Milliarden Dollar bei 212 Vorfällen. Die Statistik von CertiK liegt noch höher: 344 Vorfälle mit Verlusten von rund 1,31 Milliarden Dollar – mehr als im gesamten Jahr 2025.

Diese Zahlen zeigen eine Realität: Die Sicherheitslage von Krypto-Netzwerken verbessert sich nicht, sie verschlechtert sich.

Angriffsmethoden werden immer wieder wiederverwendet und weiterentwickelt, doch die Abwehrmechanismen halten nicht Schritt. Die Preisbildung durch Orakel für illiquide Token und die Sicherheitsaudits gemeinsam genutzter Codebasen bleiben zwei systemische Schwachstellen.

Der einzige Notanker ist, „die Chain zu stoppen“ – und genau das ist ein Signal: Die Sicherheitsarchitektur der aktuellen Generation von Krypto-Netzwerken ist noch lange nicht bereit, die von ihnen behauptete Trustless-Vision zu tragen. Und was nach dem Stopp geschieht – Rollback, Blacklist oder Neustart im Originalzustand –, jede Option hat ihre eigenen Konsequenzen und Präzedenzfälle. Das ist keine technische Entscheidung, sondern eine Governance-Entscheidung – und Governance ist seit jeher das Thema, über das die Krypto-Welt am wenigsten bereit ist, öffentlich zu sprechen.

Link zum Original