Warum ein Audit allein nicht genügt
Kurze Antwort
In der ersten Jahreshälfte 2026 gingen 76,7 % der in DeFi verlorenen Gelder bei auditierten Protokollen verloren. In 94,4 % dieser Fälle liefen die Verträge exakt wie geschrieben – versagt haben Schlüssel, Berechtigungen und Prozesse. Ein Vertrags-Audit untersucht diese Ebene nie. Genau dort verschwinden drei Viertel des Geldes.
Übliche Dauer: 3–4 Wochen
Woran Sie es erkennen
- Eine Person besitzt einen Schlüssel und kann damit allein Gelder bewegen.
- Eine Multisig existiert, aber ihre Inhaber können den Schwellenwert selbst absenken.
- Niemand weiß, nach wie vielen Minuten ein Missbrauch erkannt würde.
- Der Preis kommt aus einem einzigen Liquiditätspool, ohne Ausweichquelle.
- Der Auditbericht ist ein Jahr alt, während die Verträge mehrfach aktualisiert wurden.
Warum das passiert
Ein Contract-Audit beantwortet eine Frage zuverlässig: Tut der Code das, was er behauptet? Diese Frage ist wichtig, und die Antwort ist meistens ja. Was es nicht beantwortet: wer den Code später ändern darf, wer Schlüssel besitzt, die Gelder bewegen können, woher die Preiszahl stammt und ob jemand aufwacht, wenn um drei Uhr morgens etwas passiert.
Die Zahlen für das erste Halbjahr 2026 zeigen die Folge deutlich. Von rund 940 Millionen US-Dollar Verlust stammten 721 Millionen US-Dollar aus auditierten Protokollen – und in 94,4 % dieser Fälle handelte es sich nicht um Fehler im Contract, die die Auditoren übersehen hatten. Die Contracts waren konform. Was nicht konform war, waren die Bedingungen um sie herum.
Ein Audit-Zertifikat wird daher gefährlich, wenn es falsch verstanden wird: Es vermittelt ein Gefühl von Sicherheit, das genau die Fragen ausblendet, die über den Ausgang entscheiden.
Wie wir es lösen
- 01
Befugnis-Mapping: Wir listen auf, wer heute allein was darf – Gelder verschieben, Verträge ändern, Parameter anpassen. Die Liste ist meist länger als das Team erwartet.
- 02
Schlüssel-Umstrukturierung: Die Befugnisse gehen auf eine Multisig über, deren Schwelle nicht einseitig abgesenkt werden kann, mit einem Rotationsverfahren, falls Personen ausscheiden.
- 03
Härtung der Preisquellen: Preisquellen erhalten Fallbacks und zeitgewichtete Mittelung und werden anschließend anhand realer historischer Kursbewegungen getestet.
- 04
Monitoring, das jemanden weckt: Solvenz-Invarianten und jeder privilegierte Aufruf werden überwacht und alarmieren eine Person – nicht ein Dashboard, das niemand ansieht.
Zahlen aus unserer eigenen Arbeit
Wir betreiben eigene Mainnet-Protokolle: eine dezentrale Börse, Lending, ein Launchpad und Meilenstein-Escrow.
Für interne Audits arbeiten mehrere Prüfer aus verschiedenen Blickwinkeln, dazu kommen Invariant- und Fuzz-Tests.
Unser Meilenstein-Escrow durchlief drei Runden interner Audits, bevor es als mainnet-tauglich eingestuft wurde.
Fehler, die uns immer wieder begegnen
- Einen Audit-Bericht als dauerhaft behandeln, obwohl die Smart Contracts seitdem mehrfach aktualisiert wurden.
- Ein Multisig-Wallet einrichten, aber den Inhabern erlauben, die Schwelle selbst abzusenken.
- Ein Dashboard einrichten, dessen Warnmeldungen niemanden wirklich wachrütteln.
Häufige Fragen
Sind Smart-Contract-Audits also nutzlos?
Keineswegs. Audits bleiben notwendig, und Börsen und Investoren bestehen auf ihnen. Der Fehler ist, sie für ausreichend zu halten: Sie schließen eine Ebene, während drei Viertel der Verluste über eine andere anfallen.
Wir sind ein kleines Team in nur einer Zeitzone. Ist Monitoring für uns sinnvoll?
Gerade für Sie ist das am sinnvollsten. Große Teams über Zeitzonen hinweg haben immer jemanden, der wach ist; ein kleines Team in einer Zeitzone hat jede Nacht acht Stunden lang keine Aufsicht.
Wie lange dauert eine Schlüsselumstrukturierung?
Zwei bis drei Wochen, einschließlich der Migration der Berechtigungen und einer Notfallübung, die bestätigt, dass das Protokoll nicht blockiert, wenn ein Schlüsselinhaber ausfällt.
Aktualisiert 15. August 2026 · Neuraltan
Wenn Ihnen das gerade passiert
Schildern Sie uns die Lage. Wir sagen offen, ob sich das jetzt lohnt und wie lange es dauert.