Top 3 DeFi-Vorfälle im Juli 2026

AFX Trade: ~24,15 Mio. $

Am 22. Juli 2026 erlitt AFX Trade, ein auf Arbitrum basierendes Perpetuals-Protokoll, einen Sicherheitsvorfall, der zu Verlusten von ungefähr 24,15 Millionen Dollar führte.

Der Vorfall resultierte aus einem Software-Supply-Chain-Angriff, und nicht aus einer Schwachstelle in der Signaturverifizierungslogik des Bridge-Contracts. Laut AFX's Post-Mortem begann der Angriff am 9. Juli, als ein Entwickler über Telegram dazu verleitet wurde, ein Projekt mit schädlichem Code herunterzuladen. Dadurch konnte der Angreifer die Entwicklungsumgebung kompromittieren, Zugang zu internen Systemen erlangen und schließlich Signierungsrechte über die Validator-Infrastruktur der Bridge erhalten.

Die Angriffstransaktionsspur zeigt, dass die fünf vom Angreifer eingereichten Validator-Signaturen die Prüfungen des Contracts bestanden. Das aktive Validator-Set hatte eine Gesamtstimmkraft von 10.000, während die fünf Signaturen 7.142 repräsentierten und damit die erforderliche Zwei-Drittel-Schwelle überschritten. Der Contract verarbeitete daher die bösartige Auszahlung gemäß seinen Regeln. Onchain-Beweise allein können jedoch nicht feststellen, ob die autorisierten Validator-Schlüssel gestohlen oder auf anderem Wege missbraucht wurden. Die gestohlenen USDC wurden anschließend auf Ethereum verschoben und gegen ungefähr 12.467 ETH getauscht. AFX erklärte, dass der Vorfall auf die eigene Custody-Bridge beschränkt war und es keine Hinweise darauf gab, dass das Arbitrum-Netzwerk oder die native Arbitrum-Bridge kompromittiert wurde.

Ostium: ~23,75 Mio. $

Am 15. Juli 2026 erlitt Ostium, ein auf Arbitrum basierendes Perpetuals-Protokoll, einen Oracle-bezogenen Angriff, der ungefähr 23,75 Millionen Dollar aus seinem OLP-Liquiditätsvault abzog.

Ostium ermöglicht es Nutzern, Perpetual-Contracts zu handeln, die Aktien, Devisen, Krypto-Assets und andere Märkte abbilden, ohne die zugrunde liegenden Assets zu halten. Das Handels-PnL wird gegen den USDC-finanzierten OLP-Vault abgerechnet. Wenn der Abrechnungspreis kontrolliert wird, kann der Vault daher dazu gebracht werden, Gewinne auszuzahlen, die auf dem realen Markt nie entstanden sind.

Der Vorfall resultierte aus einer Kompromittierung der offchain Preisinfrastruktur. Der Angreifer nutzte eine vertrauenswürdige Oracle-Signierungsberechtigung und einen registrierten PriceUpKeep-Forwarder, um korrekt signierte Preisberichte mit vom Angreifer kontrollierten Zeitstempeln einzureichen. Der Onchain-Verifizierer authentifizierte den Unterzeichner, konnte jedoch nicht feststellen, ob der gemeldete Preis echt war. In der größten executeBatch()-Transaktion öffnete und schloss der Angreifer wiederholt BTC/USD-Positionen. Onchain-Ereignisse zeigen, dass Positionen mit einem Eingabepreis nahe 5.000 $ eröffnet und nahe 60.000 $ abgerechnet wurden. Ausgehend von ungefähr 1.000 USDC erhöhte der Angreifer die Positionsgröße über aufeinanderfolgende Schleifen und extrahierte in einer atomaren Transaktion etwa 11,86 Millionen USDC aus dem OLP-Vault. Alle acht Auszahlungstransaktionen gingen an dieselbe Adresse und beliefen sich auf insgesamt ungefähr 23,75 Millionen Dollar, bevor die Handelsverträge eingefroren wurden.

BonkDAO: ~20 Mio. $

Am 6. Juli 2026 erlitt BonkDAO auf Solana einen Governance-Angriff, der zu Verlusten von ungefähr 20 Millionen Dollar führte.

BonkDAO verwaltet seine Community-Treasury über Solana Realms. BONK-Inhaber erhalten Stimmkraft basierend auf ihrem Token-Guthaben, und Vorschläge, die das Quorum erreichen, können Treasury-Anweisungen über das Governance-Programm ausführen. Der Angreifer nutzte diesen Prozess aus und keine Code-Schwachstelle.

Die Grundursache war, dass Stimmkraft zu einem Preis weit unterhalb des Treasury-Wertes konzentriert werden konnte, während große Transfers keine Ausführungsverzögerung hatten. Am 30. Juni reichte der Angreifer BIP #76 mit einer Onchain-Anweisung ein, die 4.426.104.450.305 BONK an seine Adresse überträgt, und gab dann ungefähr 4,4 Millionen Dollar für den Erwerb von BONK aus. Als die sechstägige Abstimmungsperiode endete, hatte der Vorschlag 882,38 Milliarden Stimmen, knapp oberhalb der Schwelle von 879,95 Milliarden. Nur sieben Adressen stimmten ab, und der Angreifer kontrollierte etwa 99,9 % der zustimmenden Stimmen.

Ohne Timelock wurde der Vorschlag sofort ausgeführt und transferierte ungefähr 20 Millionen Dollar in BONK an den Angreifer. Etwa neun Stunden später erreichten ungefähr 188.000 Dollar eine zentralisierte Börse, während die verbleibenden 19 Millionen Dollar an ein Multisig unter der Kontrolle von mit dem Angreifer verbundenen Adressen transferiert wurden.

Diese Vorfälle zeigen, dass die Sicherheitsgrenze eines DeFi-Protokolls weit über seinen Smart-Contract-Code hinausgeht. Sowohl beim AFX-Trade- als auch beim Ostium-Vorfall funktionierte die Onchain-Verifizierung gemäß ihren konfigurierten Regeln, aber kompromittierte Entwicklungssysteme, Validator-Infrastruktur oder Oracle-Berechtigungen ermöglichten es, dass bösartige Aktionen als gültige Anfragen erschienen. BonkDAO zeigt ebenso, dass selbst korrekt funktionierender Governance-Code eine Treasury gefährden kann, wenn Abstimmungsschwellen wirtschaftlich schwach sind und Ausführungsverzögerungen fehlen. Protokollteams und Sicherheitsprüfer sollten daher Offchain-Infrastruktur mit der gleichen Sorgfalt bewerten, die auf Smart Contracts angewendet wird, und dabei kontinuierlich den maximalen Verlust einschätzen, der aus der Kompromittierung einer einzelnen Autorität oder Infrastrukturkomponente resultieren könnte.

Die obigen Informationen basieren auf Daten, die um 00:00 UTC am 30. Juli 2026 verfügbar waren.