Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest. Tauche in die Details ein, aber zuerst…
Vorgestellte STEM-Pionierin: Willis Ware, Wegbereiter für digitale Privatsphäre und Cybersicherheit
Willis Ware war ein Wegbereiter für digitale Privatsphäre und Cybersicherheit. Er „hat gemeinsam die IAS-Maschine entwickelt, die Ende des 20. Jahrhunderts den Grundriss des modernen Computers legte", und gründete die American Federation of Information Processing Societies.
MetaMasks Delegationsarchitektur bewährt sich in den Integrationen von CoinFello, Clawnch und Revoke.cash
In diesem Monat hat sich MetaMasks Delegationsarchitektur in 3 einzigartigen Anwendungsfällen bewährt. CoinFello hat mithilfe von ERC-7710-Delegationen aus unserem Smart Accounts Kit einen selbstverwalteten KI-Agenten für DeFi entwickelt, sodass der Signing Key im sicheren Enclave des Geräts verbleibt, anstatt in der Laufzeitumgebung des Agenten zu liegen – das bedeutet, dass eine Prompt-Injection oder eine kompromittierte Abhängigkeit keinen Zugriff darauf erlangen kann.[
Clawnch](https://metamask.com/news/clawnch-ai-agent-launchpad-delegation) hat das Modell weiterentwickelt und Agenten eingebunden, die echte Trading-Gebühren verdienen und dieses Einkommen innerhalb vertraglich festgelegter Einschränkungen ausgeben, anstatt dem eigenen Urteil des Agenten zu vertrauen. Fällt eine Aktion außerhalb der Grenzen der Delegation, wird die Transaktion auf Vertragsebene zurückgesetzt – nicht im Nachhinein. Dieses sicherheitsorientierte Modell ist der Grund, warum Agent Wallet auf Regeln aufgebaut ist und nicht auf blinder Delegation. Der Agent kann handeln, aber er handelt innerhalb der vom Nutzer festgelegten Grenzen.
Für weitere Sicherheit, die deinen agentisch-neugierigen Geist beruhigt, schau dir diesen Beitrag von unserem Head of Developer Relations Francesco Andreoli an, der das Missverständnis widerlegt, dass Automatisierung und Self-Custody sich gegenseitig ausschließen.
Über Agenten hinaus nutzte Revoke.cash MetaMasks Smart Accounts Kit, um Auto-Revoking einzuführen – ein Feature, das riskante Token-Genehmigungen nach einem Zeitplan bereinigt, mithilfe einer ERC-7715-Berechtigung, die genau auf diese Aktion und nichts anderes beschränkt ist, ohne jemals die Schlüssel eines Nutzers zu verwahren. Zusammengenommen verweisen diese drei Integrationen auf ein Prinzip, zu dem wir immer wieder zurückkehren: Autorität sollte eingegrenzt, zeitlich begrenzt und onchain durchgesetzt werden – nicht von einer Anwendung oder einem Agenten versprochen. Das ist der Unterschied zwischen „Vertrau mir" und „Der Vertrag lässt mich nicht anders handeln" – und das ist das Designmuster, das wir weiterentwickeln werden, während immer mehr unserer Partner Automatisierung in Self-Custodial Wallets integrieren.
Consensys-Sicherheitsingenieur Herman Junge teilt Erkenntnisse aus dem Cybersicherheitskurs der Harvard Kennedy School
Der Sicherheitsexperte Herman Junge bei Consensys teilt Erkenntnisse aus dem Executive-Kurs der Harvard Kennedy School zu Cybersicherheitspolitik und geht dabei auf KI als Kraftmultiplikator für Angreifer und Verteidiger ein, auf die Anfälligkeit der Infrastruktur, auf die das moderne digitale Leben angewiesen ist, und darauf, wie Cyber-Konflikte in einer Grauzone unterhalb der Kriegsschwelle operieren. Er schließt mit der Beobachtung, dass Sicherheit letztlich durch Kommunikation steht oder fällt: Technische Risiken müssen für die Menschen verständlich gemacht werden, die über Budget und Entscheidungsmacht verfügen – sonst existieren sie faktisch nicht.
Datenpanne bei Trezors Versanddienstleister legt Namen und Adressen von 12.000 Kunden in 7 Ländern offen
Trezor hat kürzlich bekannt gegeben, dass einer seiner Versanddienstleister eine Datenpanne erlitten hat, bei der Bestelldaten von Kunden offengelegt wurden, die in den 90 Tagen vor dem 8. August 2026 Lieferungen erhalten haben. Betroffen sind die USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Namen, Lieferadressen, Telefonnummern und E-Mail-Adressen von fast 12.000 Kunden wurden offengelegt, obwohl Wallets, Guthaben und Firmware unberührt blieben. Trezors strenge 90-Tage-Datenspeicherungsrichtlinie begrenzte, wie viel überhaupt gefährdet war.
MetaMask hat unsere Nutzer noch am selben Tag darauf hingewiesen. Auch wenn Krypto-Bestände nicht kompromittiert wurden, liefert eine solche Datenpanne Angreifern genau die Art von realen Daten (Namen, Adressen und die Bestätigung, dass jemand eine Hardware Wallet besitzt), die überzeugende Folgeangriffe durch Phishing und im schlimmsten Fall physische Angriffe ermöglichen. Sei besonders skeptisch gegenüber unerwarteten E-Mails oder SMS, die vorgeben, von einem Wallet-Anbieter zu stammen. Dies folgt auf zwei frühere Datenpannen, die Trezor-Nutzer in 2022 und 2024 erlitten haben.
Krypto-Wallet-Nutzer werden durch Phishing-E-Mails ins Visier genommen
Trezor-Nutzer sind nicht die Einzigen, die besonders wachsam sein müssen. Es gibt eine neue Welle bösartiger E-Mails, die Krypto-Wallets imitieren und dabei sogar gefälschte, aber überzeugend wirkende blaue Häkchen verwenden. Denke immer daran, die Absenderadresse zu überprüfen, und behalte im Hinterkopf, dass MetaMask niemals (wirklich niemals) nach deiner Secret Recovery Phrase fragen oder dich auffordern wird, irgendetwas zu bestätigen, um deinen Zugang zu behalten.
Sei besonders vorsichtig bei Mitteilungen, die ein Gefühl der Dringlichkeit erzeugen. Wir empfehlen dir, dich an support.metamask.io oder @MetaMaskSupport zu wenden, wenn du jemals Zweifel hast. Weitere Informationen findest du in unserem Support-Artikel: „Stammt diese E-Mail wirklich von MetaMask?"
Coldcard-Firmware-Fehler nach fünf Jahren unentdeckt ausgenutzt – Schaden: 116 Millionen Dollar
Das ist ein harter Schlag für alle, die „Cold Storage ist die sichere Wahl" propagieren. Ab dem 30. Juli 2026 nutzte ein Angreifer einen fünf Jahre alten Firmware-Fehler in Coinkites Coldcard Wallet aus, der auf einen Build-Fehler vom März 2021 zurückgeht. Dieser hatte den Hardware-Zufallszahlengenerator des Geräts stillschweigend deaktiviert und auf einen schwachen Software-Ersatz zurückgegriffen, wodurch die effektive Schlüsselstärke auf bis zu 40 Bit reduziert wurde und Seeds ohne physischen Zugriff auf das Gerät per Brute-Force knackbar wurden. In vier Angriffswellen wurden rund 1.816 BTC (etwa 116 Millionen Dollar) aus mehr als 5.200 Adressen abgezogen – der drittgrößte Krypto-Hack des Jahres 2026 und der größte Hardware-Wallet-Exploit aller Zeiten. Ein Firmware-Update behebt keine Wallets, die ihren Seed bereits unter dem fehlerhaften Code generiert haben. Alle Betroffenen aus diesem Zeitraum müssen ihren bestehenden Seed als kompromittiert betrachten und zu einem neu generierten wechseln.
Was diesen Fall besonders nachdenklich stimmt, ist weniger die Dollarsumme als vielmehr das, was er über das Sicherheitsmodell „Don't trust, verify" aussagt. Coldcards Firmware war Open Source, und Nutzer hätten den Build jederzeit in fünf Jahren reproduzieren und den Fehler entdecken können. Doch wie CoinDesk herausfand, hat sich effektiv niemand genau genug damit befasst – und ein Entwickler soll den fehlerhaften Zufallscode angeblich mehr als ein Jahr vor der Ausnutzung gemeldet haben, nur um zu hören, er wäre längst aufgefallen, wenn er ein echtes Problem wäre.
Ethereum Foundation treibt Post-Quantum-Roadmap voran, während Quantenrisiken für Krypto konkreter werden
Das Quantenrisiko für Krypto wird zunehmend konkreter, und drei Berichte dieses Monats zeigen den Wandel von der Theorie zur Vorbereitung. Erstens warnte Quantus Network-Gründer Christopher Smith, dass der erste echte Quantenangriff auf Krypto wahrscheinlich nicht wie ein dramatischer Satoshi-Wallet-Raub aussehen wird. Stattdessen könnte er sich als Welle gewöhnlich wirkender Wallet-Einbrüche ohne jede forensische Spur manifestieren – da ein ausreichend leistungsstarker Quantencomputer Private Keys direkt aus bereits onchain exponierten Public Keys ableiten könnte, ohne dass ein kompromittiertes Gerät oder eine Exchange als Ursache identifiziert werden könnte.
Gleichzeitig setzt die Ethereum Foundation echte Ressourcen ein, um diesem Risiko zuvorzukommen: Forscher Justin Drake kündigte an, dass die Foundation nach acht Jahren Forschungsarbeit Ethereums L1 von der Poseidon-Hashfunktion zugunsten bewährter Alternativen wie SHA und BLAKE wegbewegt und dies als Meilenstein für die umfassendere Post-Quantum-Roadmap des Netzwerks bezeichnet.
Diese Roadmap beginnt nun die Teile von Ethereum zu erreichen, in denen echtes Geld steckt. Ein EIP-Entwurf, eingereicht von Kevaundray Wedderburn der Ethereum Foundation, schlägt vor, den Validator-Einzahlungsvertrag neu zu gestalten – das Gateway, durch das rund 104 Milliarden Dollar in gestaktem ETH fließen –, da der bestehende Vertrag die Dimensionen der heutigen BLS-Signaturen fest kodiert und keinen Platz für die größeren Schlüssel bietet, die Post-Quantum-Verfahren erfordern. Das neue Design würde variable Schlüssellängen bis zu 8.192 Bytes akzeptieren und jede Einzahlung mit einem „Scheme Identifier" versehen, sodass BLS heute weiterhin funktioniert, während Platz für einen noch nicht gewählten Post-Quantum-Standard gelassen wird, der später hinzugefügt werden kann – plus einem unwiderruflichen Ruhemodus, um BLS letztendlich vollständig abzulösen.
TheDAO.fund versammelt Sicherheitsexperten zur Diskussion über operative Sicherheitslücken und die Zukunft der Ethereum-Sicherheitsfinanzierung
TheDAO.fund brachte eine Gruppe von Ethereum-Sicherheitsexperten zusammen für ein Gespräch über operative Sicherheit (OpSec), darunter Hudson Jameson, Isaac Patka, Joseph „Dobs" Dobson, Joe „Audit Wizard" Van Loon, Vladimir „Officer's Notes" Sobolev, Anuoluwapo „Anu" Adeleke, Aruda Usman, Roman und Gastgeber Griff Green.
Das Gespräch behandelte, warum OpSec oft der Bereich ist, in dem Krypto-Teams am stärksten exponiert sind, warum Audit-Empfehlungen nicht immer in Maßnahmen umgesetzt werden und wie Selbstgefälligkeit, menschliche Faktoren und mangelnde Nachverfolgung zu erheblichen Verlusten führen können.
Griff teilte außerdem mehr über die nächste Phase von TheDAO.fund mit: einen proaktiveren, initiativorientierten Ansatz zur Finanzierung der Ethereum-Sicherheit. Spoiler: Ausschreibungen stehen bevor.
Bybit reicht Zivilklage gegen Nordkorea und die Lazarus Group wegen des 1,5-Milliarden-Dollar-Hacks ein
Apropos Rekordverluste: Bybit geht mit einer Zivilklage gegen den Staat Nordkorea und die Lazarus Group vor, eingereicht beim US District Court for the District of Columbia, wegen des bislang größten Krypto-Diebstahls der Welt in Höhe von rund 1,5 Milliarden Dollar in ETH und stETH. Bybit erwirkte außerdem eine einstweilige Verfügung, die gestohlene Vermögenswerte einer Gruppe nicht identifizierter „John Doe"-Beklagter einfriert und sie daran hindert, die Gelder zu bewegen oder zu verkaufen, solange das Verfahren läuft.
Der Schritt erfolgt parallel zu laufenden US-Strafermittlungen und spiegelt Bybits umfassendes Bestreben wider, in Koordination mit Strafverfolgungsbehörden und anderen Exchanges Gelder zurückzugewinnen und einen Präzedenzfall für die Rechenschaftspflicht staatlich geförderter Akteure zu schaffen. Nordkorea hat laut einem Chainalysis-Bericht seit 2016 schätzungsweise 6,75 Milliarden Dollar in Krypto gestohlen, von denen ein Großteil mutmaßlich das Waffenprogramm der DVRK finanziert.
MetaMasks Krypto-Sicherheitsbericht für August 2026 behandelte den 116-Millionen-Dollar-Coldcard-Firmware-Exploit, bei dem 1.816 BTC nach fünf Jahren unentdeckter Aktivität abgezogen wurden, Bybits Zivilklage gegen Nordkorea und die Lazarus Group wegen des 1,5-Milliarden-Dollar-Hacks sowie die Fortschritte der Ethereum Foundation bei ihrer Post-Quantum-Roadmap. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere aufkommende Risiken, Bedrohungen und Tipps, wie du im gesamten Ökosystem sicher bleiben kannst.
