Es ist ein Angriff, der auf dem Papier nach einer Katastrophe aussieht – 41,7 Millionen Dollar an gefälschten Einzahlungen, 18 betroffene Ziel-Blockchains – und der am Ende doch eine ungewöhnliche Erfolgsgeschichte erzählt: Kein Nutzer der Cross-Chain-Brücke Across Protocol verlor auch nur einen Cent. Den gesamten Schaden von unter vier Millionen Dollar trug allein der Betreiber. Der Fall ist ein Lehrstück darüber, wo die eigentlichen Schwachstellen dezentraler Infrastruktur heute liegen.
Was geschah
Zwischen 05:07 und 06:14 UTC am 17. Juli erzeugte ein Angreifer mit 1.627 Einweg-Solana-Wallets ebenso viele gefälschte Einzahlungsereignisse. Diese trugen einen kombinierten Nennwert von rund 41,7 Millionen Dollar und forderten Auszahlungen über 18 Ziel-Chains an, gerichtet an eine einzige Empfängeradresse auf einem EVM-kompatiblen Netzwerk. Der von der Stiftung Risk Labs betriebene Relayer füllte 581 dieser Anfragen, bevor Across den Solana-Betrieb stoppte – das waren etwa 35,7 Prozent der betrügerischen Anfragen, aber nur 10,8 Prozent ihres angegebenen Werts.
Der Relayer streckte dabei rund 4,5 Millionen Dollar eigenes Kapital vor. Die verbleibenden 1.046 Anfragen erklärte Across für ungültig und verhinderte damit weitere Auszahlungen von etwa 37 Millionen Dollar. Da zudem rund 500.000 Dollar der Angreifergelder im Protokoll gefangen blieben und vom Bruttoverlust abgezogen wurden, sank der Nettoschaden unter vier Millionen Dollar.
Warum die Nutzer verschont blieben
Der entscheidende Grund liegt in der Architektur von Across. Die Brücke arbeitet mit Relayern, die eigene Mittel vorstrecken, um Cross-Chain-Transfers abzuschließen, und sich die Erstattung erst später holen. Diese Struktur verlagert das unmittelbare Risiko auf den Relayer – in diesem Fall Risk Labs – statt auf Nutzer, die legitime Transaktionen eingereicht hatten. Alle gültigen Transfers wurden noch am 17. Juli abgeschlossen oder vollständig erstattet. Nach eigenen Angaben hat Across über 34 Milliarden Dollar an Transfers abgewickelt, ohne je einen Verlust von Nutzergeldern zu melden.
Wichtig ist die Ursache: Across führt den Vorfall auf einen Fehler in der Off-Chain-Software zur Ereignisauswertung von Risk Labs zurück, nicht auf eine Schwachstelle in den Smart Contracts. Das Solana-Netzwerk selbst wurde nicht kompromittiert. Technischer Kern des Problems ist, dass Solana kein kanonisches Ereignissystem besitzt; Ereignisse werden aus Transaktionsspuren rekonstruiert, wobei auch fehlgeschlagene Transaktionen Daten hinterlassen. Genau diese Lücke zwischen dem, was die Blockchain tatsächlich sieht, und dem, was die Off-Chain-Software für vertrauenswürdig hält, öffnete das Einfallstor.
Ein bekanntes Muster – keine Überraschung
Was die crypto.news-Vorlage nicht erwähnt, aber für die Einordnung entscheidend ist: Diese Schwachstellenklasse war bereits bekannt. Bereits im April 2026 hatte die Sicherheitsfirma Asymmetric Research eine Verwundbarkeit in genau diesem Teil des Solana-Stacks offengelegt – die Gefahr, dass Relayer durch vorgetäuschte Einzahlungsereignisse zu Auszahlungen ohne realen Hintergrund verleitet werden. Across patchte den Fehler damals umgehend, ohne Verluste. Der Angriff vom 17. Juli reißt damit keine unbekannte Lücke auf, sondern eine verwandte Variante desselben strukturellen Problems. Solana wird von Across erst seit Juli 2025 unterstützt – als erste Nicht-EVM-Chain – und die Naht zwischen Solanas On-Chain-Zustand und der überwachenden Off-Chain-Software erweist sich als die empfindlichste Stelle des gesamten Systems.
Die Reparatur und der US-Bezug
Across stellte den Solana-Dienst innerhalb von rund zwölf Stunden wieder her, indem es Transfers über Circles Cross-Chain Transfer Protocol (CCTP) umleitete; die Grundursachen-Korrektur war bereits etwa fünf Stunden nach dem Angriff ausgerollt. Für Nutzer in den USA hat das einen direkten Bezug, weil Circle den Stablecoin USDC herausgibt und CCTP betreibt. Anders als klassische Brücken nutzt CCTP keine Liquiditätspools oder Drittanbieter: Es verbrennt natives USDC auf dem Ausgangsnetzwerk und prägt denselben Betrag auf dem Zielnetzwerk neu. Der Angriff berührte weder USDC-Reserven noch Circles Prägeverträge.
Einzuordnen ist dies vor dem Hintergrund des GENIUS Act, mit dem die USA ihren ersten bundesweiten Rahmen für Zahlungs-Stablecoins geschaffen haben. Das Gesetz verpflichtet lizenzierte Emittenten zu qualifizierten Reserven und regelmäßigen Offenlegungen – es reguliert allerdings die Stablecoin-Emittenten, nicht die separate Relayer-Software, die den Across-Verlust verursachte. Diese Unterscheidung ist wichtig, um den Vorfall nicht fälschlich als Stablecoin-Problem zu lesen.
Unsere Einordnung
Der Across-Vorfall ist paradoxerweise eine gute Nachricht mit einem unbequemen Kern. Gut ist, dass die Risikoarchitektur exakt so funktionierte, wie sie sollte: Der Betreiber, der das Kapital vorstreckt, trug den Verlust; die Nutzer blieben unberührt. Das ist ein Modell, das andere Cross-Chain-Protokolle studieren sollten, denn es verlagert das Risiko dorthin, wo die technische Kompetenz und das wirtschaftliche Interesse an Sicherheit sitzen.
Der unbequeme Kern ist die wiederkehrende Natur der Lücke. Smart-Contract-Audits sind längst Standard – die Off-Chain-Komponenten von On-Chain-Protokollen, also Relayer-Logik, Event-Listener und Parsing-Bibliotheken, erhalten historisch weit weniger Prüfung, weil sie außerhalb des klassischen Sicherheitsperimeters liegen. Der Vorfall reiht sich in ein schwieriges Jahr 2026 für die Solana-Sicherheit ein, von dem 285 Millionen Dollar schweren Drift-Exploit im April, den Sicherheitsforscher mit mittlerer bis hoher Konfidenz nordkoreanischen Akteuren zuschreiben, bis zu einer Serie kleinerer Brücken- und Protokoll-Angriffe im Juli. Das Muster ist deutlich: Die Angriffsfläche verschiebt sich nach oben – weg vom auditierten Code, hin zu den Schlüsseln, Regeln und Off-Chain-Systemen, die es meist nicht sind.
Für Anleger und Nutzer ist die praktische Lehre zweigeteilt. Wer über Across gebrückt hat, war und ist geschützt – das Modell hält. Wer aber allgemein die Sicherheit dezentraler Infrastruktur bewertet, sollte den Fokus weiten: Die nächste große Lücke liegt wahrscheinlich nicht im Smart Contract, sondern in der unscheinbaren Software, die ihn mit der Außenwelt verbindet. Wenn der Vorfall die Branche dazu bringt, diese Naht ernster zu nehmen, könnten die knapp vier Millionen Dollar am Ende die günstigste Investition in Cross-Chain-Sicherheit gewesen sein.
Dieser Artikel stellt keine Anlageberatung dar. Die Zuordnung des Drift-Exploits zu bestimmten Akteuren beruht auf Einschätzungen Dritter und ist nicht abschließend festgestellt.
