Preis-Manipulationsangriffe auf Krypto-Lending-Protokolle erreichten 32 in 2026 durch September 2, nahezu dreifach so viele wie insgesamt 2025. Das Spiel ändert sich nie: pumpe einen illiquiden Token, leihe reale Vermögenswerte dagegen aus und geh weg.
Wichtige Erkenntnisse
- Preis-Manipulationsangriffe auf Krypto-Lending-Protokolle erreichten 32 in 2026 durch September 2, gegenüber 12 insgesamt 2025, laut Blockchain-Intelligenzfirma TRM Labs.
- Das Spiel ändert sich nie: pumpe einen Token, den niemand handelt, leihe reale Vermögenswerte dagegen aus und geh weg, wobei das Protokoll wertlosen Collateral hält.
- DeFi-Lending ist auf etwa 50 Milliarden Dollar Gesamtwert gesperrt gekommen, aber seine Collateral-Standards sind nicht mit dem Geld Schritt gehalten.
- Tectonic verlor etwa 70 Millionen Dollar, und die Cronos-Chain wurde sich selbst zurückgewiesen, um die Schäden zu beheben, ein stilles Aussagevertrag, dass das Code ist, was Regeln laut ist war immer eingehalten worden.
- Das echte Fehlerhafte ist langweilig, zentralisierte Risikomanagement, genau das, was DeFi-Pureste ablehnen.
DeFi's Lendingsgeschäft hat seinen 2008 Moment und fast niemand nennt es. Durch die ersten acht Monate 2026 wurden Angriffe auf 32 Preismanipulationseinsätze gegen Kryptolending-Protokolle durch Angriffe erfolgt, mehr als jede vollständige Jahrgangsstufe auf der Rekordhöhe und fast drei Mal die 12, die in gesamten 2025 aufgetreten waren. Das Trick ist einfach verblüffend: Inflate einen Coin, der kaum handelt, reales Geld gegen ihn ausleihen, dann verschwinden.
Warum wird ein Markt mit 50 Milliarden Dollar von einem alten Trick zerstört?
Da die Branche Geld ohne zu gleichermaßen an Risikokontrollen skalierte. Im letzten Jahrzehnt haben die Gesamtwertschätzungen in Kryptolending um etwa 56 Prozent auf etwa 50 Milliarden Dollar angehoben, über mehr als 570 Protokolle, mit ausstehenden Kredienen von etwa 2,9 Milliarden Dollar. Diese Wachstum kam nicht von sichereren Sicherheitskontrakten. Es kam von der Einführung von weiteren Sicherheitskontrakten und jeder neu hinzugefügte langsame Token ist eine neue Angriffsfläche.
TRM Labs zählt Preis-Manipulation jetzt zu etwa einem von acht Krypto-Hacks, gegenüber einem von siebzehn im Jahr 2022. Der Angriffsvektor steigt, während die Raffinesse der Branche nicht mitzieht.
Wie der Angriff funktioniert, in einfacher Sprache
Ein Angreifer wählt einen Token mit geringer Liquidität aus, etwas mit einem echten Marktpreis, der nur von wenigen Trades tatsächlich gestützt wird. Sie pumpen diesen Preis hoch, oder, wenn sie können, manipulieren sie das Orakel, das den Preis an ein Protokoll meldet. Anschließend legen sie den aufgeblähten Token als Sicherheit hinterlegt und leihen Stablecoins oder Ether dagegen. Im Moment, in dem der Preis wieder zur Realität zusammenbricht, ist das Sicherheit nur noch einen Bruchteil des Kredits wert. Das Protokoll bleibt mit einem Vermögenswert sitzen, den es nicht verkaufen kann, und die Schuld wird schlecht.
Das ist kein Fehler. Das ist ein Geschäftsmodell, das versagt, eine grundlegende Frage zu stellen, die Banken längst gelernt haben zu stellen: Ist dieses Sicherheiten tatsächlich so viel wert, wie der Preisfeed angibt?
Wer gewinnt und wer verliert, wenn die Lendingspiegel zerfallen?
Die klaresten Verluste sind die Menschen, die Geld in betroffene Pools parkt. Wenn ein Protokoll Schäden bei schlechten Schulden erleidet, werden diese Verluste anstatt von dem Angriffer aufgewogen, sondern an alle Depositories verteilt. Im September 2026 verlor Tectonic, das größte Lendings-Protokoll auf der Cronos-Chain, etwa 70 Millionen Dollar aufgrund einer Manipulation seiner TONIC-Token. Cronos antwortete dadurch, dass die Kette gesperrt wurde und der vorangestellte Zustand wiederhergestellt wurde, indem die Kette selbst zurückgesetzt wurde. Das ist die Geschichte, die hinter der Geschichte verbarg.
Das rollback ist die Geschichte, die hinter der Geschichte verbarg. Ein dezentrales Blockchain-System, das bei einer 70 Millionen Dollar-Theft eine der zentralste Maßnahme ergriffen hat: man klickt auf 'Rückgängig'. Es funktioniert und der Angriffer konnte letztendlich nur etwa 6 Millionen Dollar erzielen. Allerdings beweist es auch, dass Finiteit und Unveränderlichkeit markenförmige Begriffe sind, anstatt wahre Gesetze.
Die Gewinner sind die Sicherheitsfirmen und Risikokonzepte, die bezahlt werden, um diesen Angriff zu prüfen, zu überwachen und zu verantworten. Protokolle mit wirklich konservativen Sicherheitsparameter, die nicht auf die neuesten Memetoken eingereiht werden, um den Gesamtwert geschlossen zu verfolgen, vereinen sich auf Vertrauen. Jede Nachricht wie Tectonics verschleust Einlagen in Richtung der besorgten Einzelpersonen.
Haben wir diesen Film nicht schon einmal gesehen?
Ja, zweimal. Im Jahr 2020 ermöglichten Flash-Loan-Angriffe jedem, unbegrenzte Mittel für eine Transaktion zu leihen und Preise sofort zu manipulieren. Die Antwort der Industrie waren bessere Oracles: zeitlich gewichtete Durchschnittspreise und dezentralisierte Feeds, die sofortige Manipulation erschwerten. Es funktionierte, für eine Weile.
Jetzt hat sich der Angriff in eine langsamere, subtilere Form verwandelt. Anstatt Flash-Borrowing wählen die Angreifer einfach ein Sicherheitenpaket, das so illiquide ist, dass selbst ein korrekter Preis Fiktion ist. Dies ist das Krypto-Replay der Finanzkrise 2008, bei der Banken gegen Häuser verliehen haben, deren Wert niemand überprüft hat und der Kreditnehmer faktisch die Bedingungen gesetzt hat. Die Lehre, die die Banken nach 2008 internalisiert haben, war brutal und langweilig: Die Qualität der Sicherheiten ist wichtiger als deren Quantität. DeFi hat sich geweigert, daraus zu lernen, denn die Forderung nach liquider, verifizierbarer Sicherheit würde das Wachstum des Total Value Locked verlangsamen, um das alle konkurrieren.
Die Namen ändern sich ständig, aber die Wunde bleibt dieselbe. Moonwell verlor etwa 8,7 Millionen Dollar durch ein manipuliertes Orakel. Notional Finance verlor 1,7 Millionen Dollar, als ein Angreifer einen numerischen Überlauf nutzte, um eine negative Verbindlichkeit als Null darzustellen. Injective verlor 4,9 Millionen Dollar durch ein deaktiviertes Orakel, das noch registriert war. Auf Sui stellte das Full-Sail-Protokoll seinen Betrieb vollständig ein, nachdem ein Angreifer ein Orakel kontrollierte, um die Preise auf ein Hundertstel des Marktwerts zu drücken, zum gefälschten Preis einzuzahlen, den Preis dann wiederherstellte und mehr abhob, als er eingezahlt hatte. Dasselbe Skelett, andere Haut.
Wo geht es diesem Kopf in den nächsten drei Jahren hin?
Kollateralstandards werden formalisiert, denn die Alternative ist das Aussterben. Erwarten Sie on-chain Risikoparameter, Mindestliquiditätsschwellen, Kreditobergrenzen bei Long-Tail-Assets und circuit breakers, die Standard werden, durchgesetzt durch Code statt durch Marketingversprechen. Forderungsausfall-Auktionen, bei denen Protokolle toxisches Sicherheiten an den Höchstbietenden verkaufen, werden zur routinemäßigen Hausaufgabe statt zu einem Notfall.
Die schwierigere Frage ist die Governance. Cronos hat gerade einen Präzedenzfall gesetzt, dass eine Kette sich selbst zurückspulen kann, um einen Diebstahl rückgängig zu machen. Diese Macht wird nicht ungenutzt bleiben. Innerhalb von drei Jahren erwarten Sie, dass mehr Ketten formelle Notfallmechanismen aufbauen, und erwarten Sie, dass der Kampf darüber, wer den Rückspulschlüssel hält, zu einem der prägenden Governance-Kämpfe in der Krypto-Welt wird. Die Kluft zwischen dezentralisiert und sicher wird größer, und die meisten Protokolle werden sich für sicher entscheiden.
Der Blickwinkel des Traders
Keines davon ist ein Preisaufruf, aber es ist ein Filter. Wenn du ein Kreditprotokoll bewertest, hör auf, das Wachstum des gesperrten Gesamtwerts anzusehen, und fang an, danach zu schauen, was es als Sicherheit akzeptiert. Eine lange Liste exotischer, wenig liquider Sicherheiten ist kein Feature; sie ist eine rote Flagge. Konservative Sicherheits-Whitelists, offengelegte Risikoparameter und eine Bilanz des Verweigerns, dem heißen Token hinterherzujagen, sind der eigentliche Graben.
Für jeden, der ein Asset mit kleiner Marktkapitalisierung hält, ist die Lehre deutlicher: dein Token ist nicht nur eine Investition, er ist eine potenzielle Waffe. Dünne Liquidität ist genau das, was ein Asset für diese Art von Angreifer attraktiv macht. Die gleiche Eigenschaft, die es einem Token ermöglicht, an einem Tag um das 10-fache zu steigen, ist die Eigenschaft, die es jemandem ermöglicht, echtes Geld gegen einen gefälschten Preis zu leihen. Wenn das, was du hältst, durch ein Volumen von einigen Tausend Dollar bewegt werden kann, verstehe, dass es auch gegen einen Kreditpool als Waffe eingesetzt werden kann, und dass die Folgen bei gewöhnlichen Einlegern landen, nicht beim Angreifer.
Dies ist die unbequeme Wahrheit, die DeFi nicht zugeben will: Die Lösung für Preis-Manipulationsangriffe ist kein weiterer Smart-Contract-Audit. Audits überprüfen den Code auf Fehler. Diese Angriffe nutzen Code, der genau so funktioniert, wie er geschrieben ist. Die echte Lösung ist zentralisiertes Risikomanagement: Sicherheits-Whitelists, Liquiditätsminima, Kreditobergrenzen, von Menschen übersteuerbare Schaltkreise. Es ist die langweilige Maschinerie des Bankwesens, und es ist das Eine, was die Ideologie der Branche ihm verbietet zu bauen.
Hier ist die Frage, die man sich gut mitarbeiten lassen sollte: Wenn ein Blockchain sich selbst zurückholen kann, um einen 70 Millionen Dollar-Fehler zurückzubekommen, was hat Immutabilität jeweils jegliche Bedeutung gehabt und wenn der nächste große Exploit auftritt, wer vertraut man dann, um zu entscheiden, welche Fehler zurückgeholt werden sollen?
FAQ: Was sind Preis-Manipulationsangriffe in DeFi?
Sie sind Angriffe, bei denen jemand den Preis eines Tokens mit geringer Liquidität künstlich erhöht, entweder direkt oder durch Manipulation des Oracles, der seinen Preis meldet, dieses Token als Sicherheit in einem Kreditprotokoll hinterlegt, reale Vermögenswerte dagegen leiht und anschließend den Preis fallen lässt. Das Protokoll bleibt mit Sicherheiten zurück, die weit weniger wert sind als das Darlehen, wodurch schlechte Schulden entstehen, die auf die Einzahler fallen. TRM Labs zählte 32 solcher Angriffe in 2026 durch September 2, gegenüber 12 in ganz 2025.
FAQ: Warum hat die Cronos-Chain sich nach dem Tectonic-Hack umgeschaltet?
Tectonic, Cronos' größter Lendingspezialist, verlor etwa 70 Millionen Dollar durch Manipulation der TONIC-Token im September 2026. Statt dem Angriffern die Gelder zu lassen, wurde die Kette von Cronos durch Validatoren gestoppt und ein vor dem Angriff befindlicher Zustand wurde wiederhergestellt, was den Angriffern lediglich einen Besitz von etwa 6 Millionen Dollar begrenzte. Es war eine klares Beispiel, dass eine Dezentralisierte Kette 'Rückgängig' machen wird, wenn genug Geld auf dem Spiel ist.
FAQ: Wie können Lendingspezialisten Manipulationsangriffe auf Preise bekämpfen?
Nicht hauptsächlich durch mehr Code-Audits, denn diese Angriffe nutzen Code, der wie vorgesehen funktioniert. Die wirksamen Kontrollen sind die langweiligen, bankähnlichen: Nur Sicherheiten mit tiefem, nachprüfbarer Liquidität akzeptieren; die Kreditaufnahme gegen Long-Tail-Assets begrenzen; gehärtete, manipulationsresistente Oracles verwenden; und Schaltkreisschutzmechanismen einbauen, die das Leihen pausieren, wenn Preise abnormal schwanken. Das sind die Risikokontrollen, die die Industrie abgelehnt hat, weil sie das Wachstum des Total-Value-Locked verlangsamen.
FAQ: Was bedeutet das für jemanden, der ein Small-Cap-Krypto-Asset hält?
Dünne Liquidität schneidet sowohl positiv als auch negativ. Die gleiche Eigenschaft, die es einem Token ermöglicht, stark zu steigen, macht ihn auch attraktiv als Manipulationsfutter in einem Kreditangriff. Wenn der Preis eines Tokens durch ein Volumen von einigen Tausend Dollar bewegt werden kann, kann er genutzt werden, um reale Vermögenswerte zu einem überhöhten Preis zu leihen, und die daraus resultierenden Verluste treffen gewöhnliche Einleger in den betroffenen Pools, anstatt den Angreifer. Liquiditätstiefe ist genauso ein Risikosignal wie ein Preissignal.