Die größten Krypto-Hacks aller Zeiten (Aktualisiert 2026)

Warum Krypto in großem Maßstab gehackt wird

Seit den Anfängen von Bitcoins ersten Börsen wurden Kryptowährungen im Wert von Dutzenden Milliarden Dollar gestohlen. Das Tempo hat nicht nachgelassen: 2022 war das schlimmste Jahr für Krypto-Diebstähle überhaupt, und 2025 begann mit dem größten Einzelhack einer Börse in der Geschichte, als Bybit in einer einzigen Transaktion $1,46 Milliarden verlor. Kryptowährungen sind für Angreifer besonders attraktiv, weil Transaktionen irreversibel sind, Identitäten pseudonym bleiben und selbst ein mäßig gut finanziertes Team Code schreiben kann, der Hunderte von Millionen Dollar kontrolliert. Hot Wallets bei zentralisierten Börsen stellen konzentrierte Pools privater Schlüssel dar, die rund um die Uhr online gehalten werden, wobei ein einziger kompromittierter Schlüssel eine gesamte Schatzkammer leeren kann.

Mehrere Faktoren erhöhen das Risiko. Smart-Contract-Code ist nach der Bereitstellung unveränderlich, sodass ein einziger Logikfehler zu einer dauerhaften Schwachstelle wird. Cross-Chain-Bridges müssen externen Validatoren oder kryptografischen Beweisen vertrauen, und beide können manipuliert werden. Staatlich geförderte Gruppen, allen voran Nordkoreas Lazarus Group, haben den Krypto-Diebstahl in eine strategische Einnahmequelle verwandelt, die laut Berichten Waffenprogramme finanziert. Das FBI und mehrere Blockchain-Intelligence-Firmen haben der Lazarus Group allein Verluste in Milliardenhöhe zugeschrieben, mit Angriffsmethoden, die von social-engineering-basierten LinkedIn-Recruiter-Betrugsmaschen bis hin zu ausgefeiltem Multisig-UI-Poisoning reichen, das menschliche Unterzeichner dazu verleitet, bösartige Transaktionen zu genehmigen.

Alle großen Hacks, vom neuesten zum ältesten

Die folgende Tabelle listet die größten bestätigten Krypto-Diebstähle und Exploits der Geschichte auf, geordnet vom neuesten zum ältesten.

Diese Tabelle zählt ausschließlich bestätigte Diebstähle. Einige der beunruhigendsten jüngsten Vorfälle wurden abgefangen, bevor Gelder bewegt wurden. Im Juni 2026 enthüllten Zcash-Entwickler einen kritischen Fälschungsfehler im Orchard-Shielded-Pool, der rund vier Jahre lang unentdeckt geblieben war, und behoben ihn durch einen Notfall-Hard-Fork, nachdem ein Sicherheitsaudit ihn aufgedeckt hatte. Es wurde nie nachgewiesen, dass ZEC gestohlen wurde, und dennoch fiel der Kurs nach der Nachricht stark, eine Erinnerung daran, dass bei datenschutzwahrenden Systemen die bloße Möglichkeit eines unentdeckbaren Exploits fast ebenso schädlich sein kann wie ein bestätigter Einbruch.

Die drei beliebtesten Angriffsziele

Betrachtet man die gesamte Zeitlinie, entfallen die überwältigende Mehrheit der Verluste auf drei Kategorien. Das älteste und hartnäckigste Ziel ist die zentralisierte Börse, bei der Private Keys zum Schutz gebündelter Kundengelder rund um die Uhr online und zugänglich sind. Von Mt. Gox im Jahr 2014 bis Bybit im Jahr 2025 hat sich der grundlegende Angriffsvektor kaum verändert: Schlüssel beschaffen, Wallet leeren. Börsen haben Multisig-Wallets, Hardware-Sicherheitsmodule und Auszahlungs-Whitelists eingeführt, doch jede zusätzliche Kontrolle schafft auch eine neue Angriffsfläche. Eine kompromittierte Signatur-Benutzeroberfläche, ein per Social Engineering manipulierter Mitarbeiter oder ein gestohlenes API-Credential können jahrelange Sicherheitsinvestitionen innerhalb von Minuten zunichtemachen.

Cross-Chain-Bridges etablierten sich 2022 als dominierende Verlustkategorie und verursachten innerhalb eines einzigen Jahres Verluste in Milliardenhöhe. Bridges stellen ein inhärent komplexes Sicherheitsproblem dar: Sie müssen Assets auf einer Chain sperren und Repräsentationen auf einer anderen minten, wobei sie häufig auf eine kleine Anzahl von Validatoren oder einen kryptografischen Beweismechanismus angewiesen sind. Wird ein kritisches Glied in dieser Kette kompromittiert, ist der gesamte gesperrte Pool exponiert. Der Ronin-Network-Hack, der Wormhole-Exploit, der Nomad-Trittbrettfahrer-Angriff und der BNB-Chain-Bridge-Vorfall ereigneten sich alle innerhalb von zwölf Monaten. Die kumulierten Verluste durch Bridge-Hacks in dieser Tabelle belaufen sich auf mehrere Milliarden Dollar, mehr als in jeder anderen Einzelkategorie.

DeFi-Protokolle runden die drei Hauptziele ab, wobei Flash Loans als bevorzugtes Werkzeug dienen. Flash Loans ermöglichen es einem Angreifer, innerhalb eines einzigen Transaktionsblocks Dutzende oder Hunderte von Millionen Dollar zu leihen, diese Mittel zur Manipulation von Orakel-Preisen oder für Governance-Abstimmungen zu nutzen und das Darlehen dann zurückzuzahlen, wobei er den Gewinn ohne Startkapital einstreicht. The DAO etablierte 2016 den Blueprint mit einem Reentrancy-Angriff; Beanstalk Farms zeigte 2022, dass Governance selbst zur Waffe werden kann, wenn sie keine Flash-Loan-resistente Stimmenauszählung aufweist; und Euler Finance bewies 2023, dass selbst geprüfter Code Logikfehler enthalten kann, die subtil genug sind, um unentdeckt zu bleiben, bis jemand mit einem ausreichend großen Flash Loan sie findet. Über alle drei Kategorien hinweg hat sich die Lazarus Group als produktivster Einzelakteur erwiesen, der Social Engineering, Schlüsseldiebstahl und ausgefeilte Geldwäscheinfrastruktur einsetzt, um Gelder in einem Ausmaß zu extrahieren und zu waschen, das keine andere kriminelle Gruppe erreicht hat.

Die fünf größten Fälle aller Zeiten

Die fünf größten Einzelvorfälle erzählen die Geschichte, wie sich Krypto-Sicherheitsbedrohungen über ein Jahrzehnt entwickelt haben. Mt. Gox, die in Tokio ansässige Börse, die im Februar 2014 kollabierte, verlor rund 650.000 BTC durch einen langsamen Abfluss, der jahrelang lief, bevor jemand es bemerkte, und deckte so das katastrophale Risiko einer einzigen Hot Wallet ohne sinnvolles Monitoring auf. Coincheck, eine weitere japanische Börse, wiederholte im Januar 2018 einen verblüffend ähnlichen Fehler, als $530 Millionen in NEM-Token aus einer Hot Wallet gestohlen wurden, die nicht einmal über grundlegenden Multisig-Schutz verfügte. Beide Vorfälle lösten umfangreiche Regulierungsreformen in Japan aus. Dann kam die Bridge-Ära: Poly Networks Hack über $611 Millionen im August 2021 wurde zum größten jemals verzeichneten Krypto-Diebstahl, nur um innerhalb eines Jahres vom $540-Millionen-Ronin-Network-Einbruch übertroffen zu werden, bei dem die Lazarus Group sechs Tage lang die Kontrolle über die Bridge hatte, bevor jemand bemerkte, dass die Gelder verschwunden waren. Schließlich verlor Bybit im Februar 2025 in einer einzigen Transaktion $1,46 Milliarden an einen UI-Angriff, der so ausgeklügelt war, dass er erfahrene menschliche Unterzeichner täuschte, die scheinbar eine legitime Multisig-Genehmigung prüften. Jeder Rekordbrecher hat die dominante Infrastruktur seiner Ära widergespiegelt und die Art und Weise neu gestaltet, wie die Branche über Verwahrung und Schlüsselmanagement denkt.

Wie du deine Kryptowährungen schützt

• Bewahre langfristige Bestände auf einer Hardware-Wallet auf, die Private Keys offline hält und für jede Transaktion eine physische Bestätigung erfordert.
• Schreibe deine Seed Phrase auf Papier und bewahre sie sicher offline auf. Fotografiere sie niemals, gib sie auf keiner Website ein und teile sie mit niemandem, auch nicht mit Support-Mitarbeitern.
• Überprüfe Website-URLs sorgfältig, bevor du eine Wallet verbindest oder eine Transaktion unterzeichnest. Setze die offiziellen Adressen der von dir genutzten Plattformen als Lesezeichen und bleib wachsam gegenüber Phishing-Seiten, die sich nur durch ein einzelnes Zeichen unterscheiden oder täuschend ähnliche Domains verwenden.
• Aktiviere die Zwei-Faktor-Authentifizierung mit einer Authenticator-App statt SMS. SIM-Swapping-Angriffe haben mehrere große Diebstähle ermöglicht, darunter den unautorisierten $477-Millionen-FTX-Wallet-Abfluss im November 2022.
• Halte an einer Börse nur die Gelder, die du für aktiven Handel benötigst. Assets auf einer Plattform hängen vollständig von der Sicherheit dieser Börse ab, nicht von deiner eigenen.
• Widerrufe regelmäßig ungenutzte Token-Genehmigungen. Tools, die deine On-Chain-Berechtigungen prüfen, können Zugriffe entfernen, die du Contracts erteilt hast, die du nicht mehr verwendest, und so eine häufige Angriffsfläche eliminieren, wie sie bei Hacks wie BadgerDAO ausgenutzt wurde.
• Verifiziere vor dem Unterzeichnen einer Transaktion die Contract-Adresse, den Betrag und den Empfänger unabhängig, nicht nur in der Wallet-Benutzeroberfläche, die selbst kompromittiert sein kann, wie die Bybit- und BadgerDAO-Angriffe gezeigt haben.

Fazit

Im Jahr 2026 sieht die Krypto-Sicherheitslandschaft deutlich anders aus als 2014. Verpflichtende Smart-Contract-Audits, formale Verifikation, Multi-Party-Computation für das Schlüsselmanagement, Bug-Bounty-Programme und sorgfältigere Bridge-Designs mit zeitverzögerten Auszahlungen sind bei seriösen Projekten Standard geworden. Regulierungsbehörden in Japan, der EU und den USA haben Anforderungen eingeführt, die Börsen zu Mindeststandards bei der Cold-Storage und Versicherungsreserven drängen. Blockchain-Analytics-Firmen können gestohlene Gelder schneller als je zuvor verfolgen und einfrieren, und die staatliche Zuordnung nordkoreanischer Hacks hat sich von Spekulation zu offiziellen FBI-Anklageschriften entwickelt. Dennoch ist das Diebstahltempo nicht nennenswert gesunken, weil der Wert auf dem Spiel steigt und anspruchsvolle Angreifer sich an jede neue Kontrolle anpassen.

Die härteste Lektion, die die Branche immer wieder lernen muss, ist folgende: Kryptos Kerneigenschaft, die Irreversibilität, die es als Abwicklungsschicht wertvoll macht, ist auch das, was jeden Diebstahl permanent macht. Es gibt keine zentrale Behörde, die eine Transaktion rückgängig macht, kein Einlagensicherungssystem, das Gelder automatisch wiederherstellt, keine Betrugsabteilung, die man anrufen kann. Diese Verantwortung liegt bei Nutzern und Entwicklern gleichermaßen. Für Einzelpersonen ist die praktische Schlussfolgerung klar: Das sicherste Krypto ist Krypto in Selbstverwahrung mit robustem Schlüsselmanagement, wie in unserem Leitfaden zu den Top-10-Hardware-Wallets für die Sicherheit von Kryptowährungen ausführlich erläutert. Die Hacks in dieser Tabelle sind keine Warngeschichten über Kryptowährungen selbst, sondern über die anhaltende Lücke zwischen der Sicherheit, mit der Assets verwahrt werden können, und der Nachlässigkeit, mit der sie manchmal verwahrt werden.