KI Analyse warnt vor böswilligen Anweisungen im Blockchain Code

Eine neue KI-Analyse warnt vor einem drastischen Anstieg böswilliger Anweisungen in altem Blockchain-Code: Laut den Forschern sind entsprechende Muster um 440 Prozent gestiegen, mit besonders auffälligen Funden rund um das Jahr 2026 und mehrere grosse Blockchain-Ökosysteme. Die Auswertung legt nahe, dass sich schädliche Logik nicht nur in Smart Contracts, sondern auch in Hilfsbibliotheken, Protokoll-Stacks und historischen Codebasen versteckt. Für Wallets, Exchanges und Entwicklerteams ist das mehr als eine Randnotiz: Wer alte Verträge, Forks oder wiederverwendete Module betreibt, könnte unbemerkt auf manipulative Routinen stossen, die Funds umleiten, Signaturen ausnutzen oder Sicherheitsprüfungen aushebeln. Besonders brisant ist, dass die Untersuchung von einem KI-gestützten Threat-Hunting-Ansatz ausgeht, der grosse Codebestände systematisch nach verdächtigen Instruktionen durchsucht hat.

440 Prozent mehr böswillige Anweisungen: Was die KI im Blockchain-Code gefunden hat

Im Kern geht es um Anweisungen, die nicht wie klassische Exploits aussehen, sondern in legitimen Code eingebettet sind. Die KI hat Muster erkannt, die auf versteckte Kontrollflüsse, manipulative Parameterübergaben, unklare Berechtigungslogik und absichtlich irreführende Kommentare hindeuten. Solche Bausteine sind gefährlich, weil sie in Reviews oft übersehen werden: Der Code kompiliert, der Vertrag läuft, doch an einer kritischen Stelle greift eine Hintertür oder eine Ausnahmeregelung. Genau dort entstehen die schlimmsten Schäden, etwa wenn Token-Transfers umgeleitet, Admin-Rechte stillschweigend erweitert oder Preis-Oracle-Abfragen verfälscht werden.

Besonders auffällig ist der gemeldete Anstieg um 440 Prozent. Für Sicherheitsforscher ist nicht allein die Zahl relevant, sondern auch das Muster dahinter: Mehr böswillige Anweisungen tauchen in historisch gewachsenen Codebasen auf, die über Jahre kopiert, angepasst und in neue Projekte übernommen wurden. Ein einmal eingeschleustes Muster kann sich dadurch durch mehrere Forks ziehen. Das erklärt, weshalb die Analyse nicht nur auf einzelne Smart Contracts zielt, sondern auf die alte Codebasis, in der sich Schwachstellen oft über lange Zeit konservieren.

Die betroffenen Stellen reichen von Low-Level-Funktionen zur Berechtigungsprüfung bis zu Logik für Token-Standards, Bridge-Komponenten und Hilfsroutinen in Node-, Rust- oder Solidity-nahen Repositories. In mehreren Fällen geht es nicht um einen offensichtlichen Diebstahlmechanismus, sondern um Anweisungen, die bei bestimmten Bedingungen erst später aktiv werden. Genau das macht solche Funde für Chain-Forensics interessant: Ein Angriff lässt sich dann nicht nur auf den Exploit im Netzwerk zurückführen, sondern auch auf die ursprüngliche Absicht im Code.

Wie die KI-Analyse gearbeitet hat und warum die Ergebnisse Gewicht haben

Die Untersuchung wurde als KI-gestützte Code-Forensik aufgesetzt, also als Mischung aus statischer Analyse, Mustererkennung und semantischer Bewertung von Codeabschnitten. Nach Angaben der Forscher wurden grosse Mengen an Open-Source-Repositories, historischen Contract-Versionen und Protokollkomponenten mit mehreren Modellen und Heuristiken gescannt. Entscheidend ist dabei nicht nur, ob eine Zeile verdächtig aussieht, sondern ob sich aus Kontext, Variablenfluss und Funktionsaufrufen ein manipulativer Zweck ableiten lässt.

Für die Verifikation wurden die KI-Ergebnisse mit klassischen Sicherheitsmethoden gegengeprüft: manuelle Review-Schritte, Abgleich mit bekannten Exploits, Vergleich gegen frühere Commits und in einigen Fällen Reproduktion in Testumgebungen. Das erhöht die Glaubwürdigkeit der Resultate, weil reine Modelltreffer im Security-Bereich schnell zu Fehlalarmen führen. Wenn aber eine KI wiederholt dieselben verdächtigen Patterns in unterschiedlichen Projekten findet und diese danach von Menschen bestätigt werden, entsteht ein belastbares Bild.

Besonders relevant ist der Zeitraum, auf den sich die Analyse bezieht. Der Fokus liegt auf einer älteren Codegeneration und auf Protokollen, deren Kernlogik vor allem zwischen den späten 2010er-Jahren und den frühen 2020er-Jahren entstanden ist. Die Erwähnung von 2026 verweist nicht zwingend auf einen bereits eingetretenen Vorfall, sondern auf den Zeitraum, für den die Modelle erhöhte Aktivität, neue Varianten und eine anhaltende Relevanz der gefundenen Muster prognostizieren. Für Betreiber heisst das: Die Gefahr ist nicht erledigt, nur weil ein Codepfad alt ist.

Welche Blockchains und Protokolle besonders im Blick stehen

Im Zentrum stehen Blockchains mit starkem Smart-Contract-Ökosystem, also insbesondere Ethereum-nahe Netze, Layer-2-Umgebungen und Chains mit wiederverwendeten EVM-Komponenten. Daneben geraten auch Bitcoin-nahe Infrastrukturprojekte, Bridges und Multi-Chain-Anwendungen in den Fokus, wenn dort alte Bibliotheken oder Prüfmodule eingebunden sind. Der eigentliche Risikofaktor ist weniger der Name der Chain als die Kombination aus langer Lebensdauer, vielen Forks und wiederverwendetem Code.

Gerade Protokolle mit Governance-Mechanismen, Liquiditätsbrücken oder komplexer Rollenverwaltung sind anfällig, weil dort mehrere Autorisierungsebenen zusammenlaufen. Ein manipulierter Admin-Pfad oder eine schiefe Signaturprüfung genügt, um später grosse Werte zu bewegen. Aus Sicht der Analyse ist deshalb nicht nur der Kernvertrag relevant, sondern das gesamte Paket aus Frontend, Backend, Off-Chain-Services und On-Chain-Logik.

Welche Risiken für Wallets, Exchanges und Smart Contracts jetzt im Raum stehen

Für Nutzer sind die unmittelbaren Folgen oft unsichtbar. Eine Wallet bleibt funktional, obwohl eine manipulierte Anweisung im Hintergrund bei bestimmten Interaktionen die Empfängeradresse austauscht, Freigaben erweitert oder den Ablauf einer Transaktion verändert. Besonders heikel wird es, wenn Schädlinge in Signierprozesse eingreifen oder wenn Phishing nicht mehr über eine gefälschte Website, sondern über kompromittierten Projektcode läuft. Dann wirkt alles legitim, bis Funds abfliessen.

Exchanges und Custody-Anbieter trifft das Problem auf einer anderen Ebene. Sie arbeiten oft mit automatisierten Einzahlungs- und Auszahlungsprozessen, die auf standardisierte Contract-Interaktionen angewiesen sind. Wenn ein Token-Contract oder eine Bridge-Komponente böswillige Anweisungen enthält, kann das zu Fehlbuchungen, eingefrorenen Abhebungen oder falsch bewerteten Reserven führen. Besonders kritisch sind Fälle, in denen Deposits über mehrere Chains hinweg abgewickelt werden und ein kompromittierter Vertrag als vertrauenswürdige Gegenstelle gilt.

Für Smart Contracts selbst ergibt sich ein doppelt hohes Risiko. Erstens können schädliche Anweisungen direkte Vermögensverluste auslösen. Zweitens unterminieren sie die Annahme, dass Code unveränderlich und transparent sei. In der Praxis bedeuten solche Funde oft, dass ältere Deployments, Library-Versionen oder Forks neu geprüft werden müssen. Auch ein kleiner, historischer Patch kann später zum Einfallstor werden, wenn er in anderen Projekten blind übernommen wurde.

Aus technischer Sicht sind vor allem vier Angriffsmuster problematisch: versteckte Berechtigungswechsel, manipulierte Preis- und Oracle-Abfragen, abweichende Transfer-Routen sowie Logik, die im Fehlerfall nicht sicher stoppt, sondern in eine unsichere Standardaktion fällt. Für nicht-technische Leser lässt sich das einfach sagen: Der Code tut nach aussen das Richtige, kann intern aber in den falschen Momenten die falsche Person begünstigen.

Reaktionen aus der Sicherheitsszene und was Entwickler jetzt tun sollten

Mehrere Sicherheitsforscher werten den Befund als Hinweis darauf, dass klassische Audits allein nicht mehr reichen, wenn alte Codebasen in immer neue Produkte wandern. Ein Analyst aus dem Bereich Smart Contract Security brachte es sinngemäss auf den Punkt: Nicht nur neue Exploits sind gefährlich, sondern auch alte Muster, die in modernem Gewand weiterleben. Genau deshalb gewinnt KI Threat Hunting an Bedeutung, weil grosse Mengen historischen Codes schneller geprüft werden können als in reiner Handarbeit.

Auch Entwicklerteams reagieren zunehmend mit strengeren Massnahmen. Besonders wichtig sind reproduzierbare Builds, feste Abhängigkeiten, Signaturen für Releases und verpflichtende Reviews bei übernommenem Code. Wer einen Fork betreibt oder Libraries aktualisiert, sollte ältere Commits nicht nur auf Bugs, sondern auf manipulative Logik prüfen. Dazu gehört auch ein Vergleich gegen bekannte Sicherheitsvorfälle und ein Blick auf untypische Autorisierungswege, versteckte Fallbacks und ungewöhnliche Konfigurationsflags.

Für Betreiber empfiehlt sich ein laufendes Monitoring der betroffenen Protokolle und Abhängigkeiten. Wenn eine Chain, ein Token oder eine Bridge in die Analyse fällt, sollte der Patch-Status sofort überprüft werden. Sinnvoll sind Alarmregeln für Abweichungen bei Transfermustern, plötzlichen Änderungen an Admin-Rechten oder ungewöhnlichen Contract-Interaktionen. Bei Exchanges sind Notfallprozesse wichtig, die Ein- und Auszahlungen betroffener Assets temporär drosseln können, ohne den gesamten Betrieb lahmzulegen.

Auch Nutzer können das Risiko spürbar senken. Wer mit Wallets arbeitet, sollte Signaturen genauer prüfen, alte Token-Approvals regelmässig widerrufen und nur Projekte verwenden, deren Code, Audits und Release-Historie nachvollziehbar sind. Bei grösseren Beträgen lohnt es sich, Transaktionen vor dem finalen Senden in einer separaten Umgebung zu testen. Solche Massnahmen verhindern keinen Angriff komplett, aber sie reduzieren die Angriffsfläche deutlich.

Fazit: Alte Codebasen werden zum Sicherheitsproblem der nächsten Phase

Die neue KI-Analyse verschiebt den Fokus weg von einzelnen Exploits hin zu einer tieferen Frage: Wie sicher ist der Code, auf dem ganze Blockchain-Ökosysteme seit Jahren aufbauen? Der gemeldete Anstieg böswilliger Anweisungen um 440 Prozent zeigt, dass sich Risiken nicht nur in frischen Angriffswellen, sondern auch in historisch gewachsenen Repositories verstecken. Für die Branche heisst das mehr als punktuelle Vorsicht. Alte Bibliotheken, Forks und Protokollbausteine brauchen eine erneute Prüfung, bevor sie weiter skaliert werden. Wer jetzt auf KI-gestützte Code-Analyse, harte Review-Prozesse und enges Monitoring setzt, senkt die Wahrscheinlichkeit, dass sich eine stille Schwachstelle in einen teuren Ketteneffekt verwandelt.