Hacker greifen zum zweiten Mal innerhalb einer Woche veraltetes Produkt von Aztec an
Das Datenschutzprotokoll Aztec erlitt einen Exploit in Höhe von etwa 2,16 Millionen Dollar, der ein veraltetes Zahlungsprodukt betraf. Der Angriff, der mit einer Validierungsschwachstelle zusammenhing, ereignete sich vier Tage nach einem ähnlichen Hack über 2,1 Millionen Dollar und wirft Fragen zur Sicherheit veralteter, aber noch genutzter Smart Contracts auf.
Kurze Analyse: Was wirklich passiert
Auf den ersten Blick ist das, was Aztec widerfahren ist, nur ein weiterer DeFi-Protokoll-Hack – es gab bereits über 30 im Jahr 2026, mit einem Gesamtschaden von über 600 Millionen Dollar. Der doppelte Angriff auf veraltete Verträge, die immer noch Vermögenswerte halten, offenbart jedoch ein systemisches Problem, das nicht nur Aztec, sondern die gesamte Philosophie der Dezentralisierung bedroht. Es geht um „Altlastenrisiken“ – Zeitbomben, die in der Architektur früher DeFi-Protokolle eingebettet sind, deren Schöpfer sie im Streben nach maximaler Dezentralisierung unregierbar und immun gegen Patches, aber nicht gegen Angriffe gemacht haben.
Zwischen dem 14. und 17. Juni 2026 stahlen Hacker über 4,3 Millionen Dollar von Aztec, indem sie zwei verschiedene, aber gleichermaßen wehrlose Smart Contracts angriffen, die bereits 2022 und 2023 deaktiviert worden waren. Der erste Hack betraf Aztec Connect, der zweite die Private Rollup Bridge. Obwohl die Aztec Foundation beeilte, den Markt zu beruhigen, dass das aktuelle Netzwerk und der AZTEC-Token nicht betroffen seien, fiel der Token-Preis dennoch um etwa 1,6 %, was zeigt, dass das Vertrauen der Anleger erschüttert ist und sie nicht zwischen der „alten“ und der „neuen“ Infrastruktur des Projekts unterscheiden.
Zeitplan und Kontext
Der erste Vorfall ereignete sich am 14. Juni 2026, als ein Angreifer eine Schwachstelle im Aztec Connect-Vertrag fand, der offiziell im März 2023 abgeschaltet worden war. Es handelte sich um einen klassischen Angriff auf eine Diskrepanz im Verifikationsprozess von Zero-Knowledge-Beweisen. Das Proof-Verifikationssystem verarbeitete Transaktionen in Batches von 32, während der On-Chain-Abrechnungscode nur die Anzahl der im Batch deklarierten Transaktionen verarbeitete. Der Hacker nutzte diese Diskrepanz aus, um 14 gefälschte Batches zu erstellen und etwa 909 ETH, 270.513 DAI und andere Vermögenswerte einschließlich wstETH im Wert von rund 2,19 Millionen Dollar abzuheben. Am nächsten Tag, dem 15. Juni, wurde mit derselben Technik weitere 88.000 Dollar von verbliebenen Positionen auf DeFi-Brücken abgehoben.
Der alarmierendste Vorfall war jedoch der zweite, der nur drei Tage später – am 17. Juni – stattfand. Diesmal war das Ziel die Private Rollup Bridge, eine alte Brücke, die 2021 gestartet und 2022 abgeschaltet worden war. Der Exploit betraf die Notfall-Auszahlungsfunktion escapeHatch() im RollupProcessor-Vertrag. Diese Funktion war für Notfall-Auszahlungen bei Ausfall des Hauptprozesses gedacht, aber es stellte sich heraus, dass ihr kritische Autorisierungsprüfungen fehlten, einschließlich der Signaturverifikation. Der Hacker nutzte die Schwachstelle aus, indem er den Parameter rollupSize auf 0 setzte, wodurch der Validator einen gefälschten Beweis akzeptierte und 1.158 ETH, 150.000 DAI und 0,46 renBTC im Wert von etwa 2,16 Millionen Dollar abhob.
Somit unterschieden sich die Angriffe in der Technik und zielten auf verschiedene Verträge ab, aber sie hatten ein grundlegendes Problem gemeinsam: Beide Verträge waren unveränderlich, und das Aztec-Team hatte keine administrativen Schlüssel, um sie zu stoppen oder zu aktualisieren.
Wer gewinnt und wer verliert
In dieser Situation gibt es sowohl offensichtliche als auch implizite Verlierer sowie diejenigen, die vom Unglück anderer profitieren könnten.
Verlierer: Nutzer und Vermögensinhaber. Der direkte Verlust von 4,3 Millionen Dollar sind Gelder echter Nutzer, die aus irgendeinem Grund ihre Vermögenswerte nicht aus den veralteten Verträgen abgezogen haben, obwohl das Aztec-Team seit 2024 davor warnte. Diese Menschen haben nicht nur Geld verloren – sie haben es in einem System verloren, das als Sicherheitsgarant konzipiert war.
Verlierer: Aztecs Ruf und das Segment der privaten zk-Rollups. Obwohl der Hack technisch gesehen das aktuelle Aztec-Netzwerk nicht beeinträchtigte, ist es ein schwerer Schlag für das Vertrauen in das gesamte Projekt und die Technologie als Ganzes. Investoren beginnen zu fragen: „Wenn Entwickler alte Verträge nicht schützen können, wie werden sie neue schützen?“ Riskante Vermögenswerte wie AZTEC zeigen als Reaktion auf solche Nachrichten eine erhöhte Volatilität.
Indirekte Verlierer: Die gesamte DeFi-Branche. Diese Hacks ereignen sich vor einem besorgniserregenden Trend: Laut DefiLlama überstiegen die Verluste von DeFi-Protokollen allein in der ersten Junihälfte 2026 43 Millionen Dollar. Vorfälle mit Aztec, Thetanuts Finance und anderen Projekten schaffen ein Narrativ von „DeFi als dem Wilden Westen“, das Regulierungsbehörden zu noch strengeren Maßnahmen treiben könnte. Dies ist angesichts der MiCA-Frist besonders ungelegen.
Gewinner: Konkurrierende Projekte und Versicherungsprotokolle. Projekte wie zkSync, StarkNet oder Polygon, die besser verwaltbare und aktualisierbare Lösungen anbieten, können diese Situation als Argument für ihre Architektur nutzen. Gleichzeitig könnten DeFi-Versicherungsprotokolle (z. B. Nexus Mutual) eine erhöhte Nachfrage nach ihren Policen verzeichnen, da der Markt neue Risiken erkennt.
Gewinner: Spezialisierte Blockchain-Sicherheitsfirmen. Jeder neue Hack bedeutet Aufträge für Firmen wie PeckShield, SlowMist und BlockSec, die Untersuchungen und Audits durchführen. Sie werden für das Überleben des gesamten Ökosystems entscheidend.
Was die Medien nicht sagen
Oberflächliche Artikel konzentrieren sich auf die Fakten des Hacks und die Schadenshöhe, übersehen jedoch mehrere grundlegende Aspekte mit tieferen Implikationen.
Erkenntnis #1: Unveränderlichkeit als die „Achillesferse“ der Dezentralisierung. Als Satoshi Nakamoto Bitcoin schuf, war die Idee des unveränderlichen Codes ein Eckpfeiler des Vertrauens. Für komplexe DeFi-Protokolle wird Unveränderlichkeit jedoch zum Fluch. Projekte verzichten auf Eigentumsrechte, um Dezentralisierung zu beweisen, schaffen aber letztendlich „digitale Ruinen“ – Verträge, die niemand reparieren kann. Der Blockchain-Analyst Blockful bemerkte treffend: „Alte Verträge werden zu offenen Zielen für Hacker, und wenn Protokolle die Verantwortung für ihre Wartung ablehnen, werden sie noch attraktivere Ziele.“ Aztec unternahm diesen Schritt im April 2024, um es Nutzern zu ermöglichen, Gelder unabhängig ohne Beteiligung des Teams abzuheben. Diese Entscheidung erweist sich nun als kostspieliger Fehler.
Erkenntnis #2: Technische Voreinstellung ist nicht das einzige Problem. Der zweite Hack war aufgrund einer Schwachstelle im „Notausstiegs“-Mechanismus möglich. Dies ist nicht nur ein Code-Fehler; es ist ein grundlegender architektonischer Fehler, der nur durch aktive Kontrolle erkannt und behoben werden konnte. Im Grunde schuf das Aztec-Team eine „Hintertür“ im System, übergab dann die Schlüssel – und überprüfte nicht, ob die Tür verschlossen war. Dies war nicht nur ein Fehler bei der Beweisverifikation; es war ein Versagen bei der Gestaltung der wirtschaftlichen Sicherheit des Systems.
Erkenntnis #3: Ein Signal an den Markt: Wie sehr können wir „alten“ und „bewährten“ Protokollen vertrauen? Der Markt ist es gewohnt zu denken, dass ein Smart Contract umso sicherer ist, je länger er läuft und je mehr Gelder er verarbeitet hat. Die Serie von Aztec-Hacks beweist das Gegenteil: Mit der Zeit werden veraltete Verträge anfälliger, nicht weniger, da sie sich nicht an neue Angriffsmethoden anpassen und ihr Quellcode zum Gegenstand intensiver Studien durch Hacker wird. SlowMist-Analysten haben bereits gewarnt, dass alte Verträge, die Vermögenswerte enthalten, zu einer permanenten „Zeitbombe“ werden.
Prognose: Nächste 30 Tage und 90 Tage
30-Tage-Prognose (Juli 2026): Panik unter Inhabern von „vergessenen“ Vermögenswerten. Im Juli 2026 wird es eine „Bereinigung“ alter Verträge geben. Nutzer, die noch keine Gelder aus deaktivierten Protokollen (nicht nur Aztec, sondern auch anderen) abgehoben haben, werden mit Massenabhebungen beginnen, aus Angst vor ähnlichen Angriffen. Dies wird zusätzlichen Druck auf den Markt ausüben, weniger auf die Preise als auf die Liquidität sekundärer Vermögenswerte. Darüber hinaus werden wir eine erhöhte Aktivität von Prüfungsfirmen sehen, die „Notfall-Audits“ alter Verträge anbieten.
90-Tage-Prognose (September 2026): Regulatorische Reaktion und Paradigmenwechsel. Angesichts des allgemeinen Kontexts der verschärften Regulierung in der EU (MiCA) und den USA werden solche Vorfälle zu „Futter“ für Gesetzgeber. Es könnten Anforderungen entstehen, dass Protokolle alte Verträge nicht nur deaktivieren, sondern „einfrieren“ oder zerstören oder eine Versicherungsdeckung für darin verbliebene Gelder bereitstellen müssen. Der Markt wird mit einer erhöhten Kapitalisierung von Projekten reagieren, die verwaltbare, aktualisierbare Smart Contracts anbieten, und mit einem verminderten Interesse an radikal dezentralisierten, aber unregierbaren Protokollen.
Redaktionelle Prognose
In den nächsten 24–72 Stunden erwarten wir einen anhaltenden Abwärtsdruck auf den AZTEC-Token, der nach den Hack-Nachrichten bereits 1,6 % verloren hat. Das wichtigste Unterstützungsniveau liegt bei 0,015 $; bei einem Bruch ist eine Korrektur auf 0,014 $ möglich. Das Vertrauensniveau ist mittel, da das Hauptrisiko für die Prognose darin besteht, dass Aztec Labs oder die Foundation ein Kompensationsprogramm für betroffene Nutzer ankündigen könnten, was den Preis vorübergehend stabilisieren könnte. Grundsätzlich ist das Vertrauen in das Projekt jedoch erschüttert, und ohne positive Nachrichten zur Mainnet-Entwicklung ist eine Erholung des Tokens kurzfristig unwahrscheinlich. Dies ist die redaktionelle Meinung, keine Anlageempfehlung.
— Editorial Team
