Web3-Angriffsflächen: Ein Überblick zu Penetrationstests

Krypto-Institutionen erben klassische Angriffsflächen plus die Geldfluss-Kette. Vier-Komponenten-Modell (Anwendung, Autorisierung/Signierung, Blockchain-Interaktion, Infrastruktur) und fünf web3-spezifische Angriffsflächen von Betrieb bis Verträgen.

Einsatzregeln und Produktionssicherheit für institutionelle Blockchain-Penetrationstests

Ein Pentest für Signatur-, Auszahlungs- und Ledger-Systeme wird vorab geplant: Ziel, Scope, Zuständige, Zugriffsrechte, Regeln (Rules of Engagement), Stoppkriterien, Überwachung sowie Remediation und Retest zur Validierung.

Newsletter - August 2026

Im August 2026 verursachten drei DeFi-Sicherheitsvorfälle große Verluste: eine Schwachstelle im Cosmos-EVM-Modul (~14,8 Mio. $, 6 Chains), Moonwell auf Base (~9,1 Mio. $, Oracle-Manipulation) und Term Finance (~8,47 Mio. $, Governance-Übernahme).

Von Vorfällen zur Regulierung: Warum Krypto-Institutionen Blockchain-Penetrationstests benötigen

Risiken liegen oft jenseits des Smart Contracts – bei Signierung, Verwahrung, Schlüsseln, Personal, Lieferketten. Audits und Monitoring übersehen oft Krypto-Spezifika. Serie: Risikoursprung und wie NYDFS, DORA, VARA, SFC, MAS adversariale Tests behandeln.

Von Vorfällen zur Regulierung: Warum Krypto-Institutionen Blockchain-Penetrationstests benötigen

Börsen, Zahlungsdienstleister, Verwahrer und Wallet-Anbieter verlieren meist außerhalb des Smart Contracts Geld – bei Signaturen, Verwahrung, Schlüsseln, Personal und Lieferketten. Dieser Artikel eröffnet unsere Blockchain-Pentest-Serie: Risikoursachen und wie NYDFS, DORA, VARA, SFC und MAS adversariale Tests regeln.

Was ist Blockchain-Penetrationstests? Definitionen und Abgrenzungen

Es gibt keine allgemein akzeptierte Definition von Blockchain-Penetrationstests. Dieser Artikel liefert eine Arbeitsdefinition und ordnet verwandte Ziele Code-Audit, Wallet-Sicherheitsaudit, Web3-Sicherheitstests, Scanning und Bug-Bounty zu.

Fun-Coffee-Betrug: Ein 278%-Ponzi-System auf TRON im Rückblick

Fun Coffee versprach 278 % Rendite pro Jahr, dann verstummte es. Wir verfolgten 72,8 Mio. USDT über 99 TRON-Adressen.

~10,26 Mio. $: Angriffe auf Term Finance & MAYAChain | BlockSec

In der Woche vom 17.–23. August 2026 verursachten zwei Sicherheitsvorfälle bei Ethereum und MAYAChain Gesamtverluste von rund 10,26 Mio. USD (Term Finance ~8,5 Mio., Governance-Fehler; MAYAChain ~1,76 Mio., Buchführungs-/Validierungsfehler).

Harmony Cross-Shard ONE Mint + ~47 Mio. $ Key-Verluste | BlockSec

In der Woche vom 10.–16. August 2026: 5 Sicherheitsvorfälle, ca. 47 Mio. $ Verlust. Fokus: Harmony-Fehler bei Cross-Shard-Receipt-Replay ermöglichte ONE-Prägung (~3,01T ONE), ausgeschlossen aus Summe. Verluste: Private-Key-Kompromittierungen (Whale ~25 Mio. $, Kite ~14 Mio. $, Coinsbuy ~7,9 Mio. $) plus Fox-Logikfehler (~117.000 $).

HKDAP Stablecoin Sicherheitsüberprüfung: Live, Lizenziert, Nicht Bereit

BlockSecs Prüfung von HKDAP, Hongkongs erstem regulierten Stablecoin, deckt nicht funktionierende KYC-Widerrufe, Single-Key-Mint-Berechtigung und Konflikte mit den HKMA-Richtlinien auf.

~1,6 Mio. $ verloren: Moke Token, LpdFi-Exploits | BlockSec Weekly

Woche 3.–9. Aug. 2026: 2 Sicherheitsvorfälle auf BNB Chain, ~1,6 Mio. $ Verlust durch Preismanipulation. LpdFi (~697K$): manipulierbare PancakeSwap-Reserven für Auftragsbewertung und Zinseinlösung missbraucht. Moke Token (~906K$): manipulierter Spotpreis mit doppelter LP-Dividendenabrechnung kombiniert.

COLDCARD-Vorfall: Als der „zufällige" Seed einer Wallet nicht zufällig war

Ein stiller Build-Fehler in COLDCARD-Firmware leitete die Seed-Generierung auf ein schwaches Software-RNG um, wodurch Wallet-Seeds offline wiederherstellbar wurden. Ein Firmware-Update hilft nicht; bestätigte Verluste: 1.405 BTC (~91 Mio. $).