Zwei mit Ethereum verbundene Cross-Chain-Brücken hatten innerhalb weniger Stunden Vorfälle. Laut einem Tokenpost-Bericht mit Bezug auf CryptoSlate registrierte die Sicherheitsfirma Blockaid am 22. Juli gegen 21:30 Uhr (UTC) einen Exploit bei AFX – dem auf Arbitrum laufenden dezentralen Handelsprotokoll, dessen USDC-Verwahrbrücke um 24,15 Mio. USDC erleichtert wurde; die entsprechenden Transaktionen sind auf der Arbitrum-Chain nachvollziehbar. Im selben Zeitraum verzeichnete auch die Verus-Ethereum-Brücke einen Verlust; beide Vorfälle summieren sich auf rund 31,69 Mio. USD. Parallel dazu stoppte B² Network das Token-Staking, nachdem die Upgrade-Berechtigung des Staking-Vertrags unautorisiert zugegriffen worden war. Die Gemeinsamkeit aller drei Ereignisse: Betroffen sind nicht die Stablecoin-Emittenten, sondern die Infrastruktur, über die Vermögenswerte zwischen Chains „durchreisen“.
Redaktionelle Einordnung: Betroffen ist nicht die Karte, sondern die Strecke davor
Vorab das Ergebnis – für die überwiegende Mehrheit der USDT-Karteninhaber ist die direkte Auswirkung dieser Vorfälle null. Das Kartenguthaben wird im Kontensystem des Kartenausstellers verwahrt und läuft nicht über AFX- oder B²-Verträge. Das eigentliche Risiko entsteht vor der Aufladung: Wenn man USDT von der Börse auf eine L2 abhebt, um Gebühren zu sparen, es über eine Drittanbieter-Brücke auf eine andere Chain umtauscht und erst dann die Karte auflädt. Jede Brücke auf dieser Strecke ist ein eigenständiges Vertragsrisiko.
Nach Nutzungsgewohnheit lassen sich drei Gruppen unterscheiden:
- Nutzer mit interner Börsenüberweisung (typisches Szenario bei börseneigenen Karten wie Bybit Card): Gelder werden direkt vom Spot-Konto auf das Kartenkonto verschoben, ohne On-Chain-Schritt – hier entsteht durch diesen Vorfall kein zusätzliches Risiko.
- Nutzer mit direkter TRC20- / Mainstream-Chain-Aufladung (die Asia-Elite-Variante von MPCard, die meisten aggregierten U-Karten): Überweisung erfolgt direkt aus der Wallet an die vom Kartenaussteller angegebene Adresse, ohne Drittanbieter-Brücke – ebenfalls kein Risikobezug.
- Nutzer, die L2 + Drittanbieter-Brücken zum Gebührensparen nutzen: Das ist die einzige Gruppe, die ihre Route neu überdenken sollte. Die USDC-Liquidität auf Arbitrum steht nach dem Vorfall kurzfristig unter Druck, und sowohl Slippage bei Cross-Chain-Umtausch als auch Wartezeiten an Brücken können sich verstärken.
Erwartung für die Zeitfenster: Innerhalb von 7 Tagen könnten einige aggregierte Wallets und U-Karten-Anbieter temporäre Risikokontrollen für Arbitrum und weniger gängige Brücken einführen – erkennbar an verzögerten Gutschriften oder Hinweisen wie „diese Chain wird derzeit nicht unterstützt“. Innerhalb von 30 Tagen wird sich zeigen, ob AFX einen Vorfallsbericht samt Entschädigungsplan veröffentlicht und ob B² das Staking wieder aufnimmt – davon hängt ab, ob Kapital in die jeweiligen Ökosysteme zurückfließt. Innerhalb von 90 Tagen dürften führende Kartenaussteller ihre Liste „offiziell unterstützter Chains“ weiter einschränken – das war in den vergangenen zwei Jahren nach jedem Brücken-Vorfall die konsistente Richtung. Leser, die die Geldflussstruktur von U-Karten nicht kennen, finden im Abschnitt zu Aufladewegen und Verwahrungsgrenzen unter Was ist eine U-Karte eine Einordnung.
Historischer Vergleich: Ähnlich wie Multichain 2023, nicht wie der USDC-Depeg 2023
Der Multichain-Vorfall vom Juli 2023 ist die passendste Referenz – auch damals verloren Brücken-seitige Schlüssel bzw. Berechtigungen die Kontrolle, was dazu führte, dass gebrückte Assets auf mehreren Chains schlagartig ihre Einlösungsdeckung verloren; gebrückte Stablecoins auf Chains wie Fantom notierten daraufhin mit deutlichem Abschlag. Die 24,15 Mio. USDC bei AFX betreffen reale Assets, die aus einer Verwahrbrücke abgeflossen sind – von der Natur her sehr ähnlich zu Multichain: Der Emittent selbst hat kein Problem, das Problem liegt bei „wer eigentlich Ihr Geld verwahrt“.
Der USDC-Depeg vom März 2023 (Silicon Valley Bank, USDC fiel zeitweise auf etwa 0,87 US-Dollar) war dagegen ein anderer Risikotyp – ein Reserve-seitiges Problem, das alle Inhaber gleichermaßen trifft, unabhängig von der genutzten Chain. Damals waren praktisch alle auf USDC lautenden Kartenguthaben betroffen; diesmal ist das nicht der Fall.
Im Vergleich zu Ronin (625 Mio. USD, 2022) und Wormhole (326 Mio. USD, 2022) ist der aktuelle Umfang von 31,69 Mio. USD nicht groß, aber der „unautorisierte Zugriff auf die Upgrade-Berechtigung“ bei B² ist ein Signal, das besondere Aufmerksamkeit verdient: Administratorrechte bei upgradebaren Verträgen entwickeln sich zu einer häufigeren Angriffsfläche als klassische Code-Schwachstellen. Das betrifft auch alle, die Gelder langfristig in On-Chain-Ertragsprotokollen parken und regelmäßig für Kartenausgaben abheben.
Compliance-Perspektive: Brücken sind kein lizenzierter Bereich, Rückforderungswege existieren kaum
Hier ist eine klare Abgrenzung nötig. Stablecoin-Emittenten (Tether, Circle) unterliegen in den meisten Jurisdiktionen bereits Lizenz- oder Registrierungspflichten – das Emittentenlizenzsystem unter der hongkonger Stablecoin-Verordnung sowie das Stablecoin-Regulierungsrahmenwerk der MAS in Singapur befinden sich beide in der Umsetzung; entsprechende Kernpunkte finden sich im Compliance-Leitfaden Hongkong und im Compliance-Leitfaden Singapur. Auch Kartenaussteller und Acquirer virtueller Karten unterliegen üblicherweise EMI- oder Zahlungslizenz-Regelungen.
Cross-Chain-Brücken hingegen befinden sich in einer regulatorischen Grauzone: Sie sind weder Emittent noch lizenziertes Zahlungsinstitut, laufen meist als reiner Code ohne Pflicht zur Kundengeldtrennung, ohne Entschädigungsrücklagen und ohne beschwerdefähige Aufsichtsstelle. Fließt Kapital erst einmal aus einem Brückenvertrag ab, bleiben nur zwei Anknüpfungspunkte – die Blacklist-Fähigkeit des Emittenten (Circle verfügt technisch über die Möglichkeit, USDC an bestimmten Adressen einzufrieren, ob dies geschieht, liegt in ihrem Ermessen) sowie ein freiwilliger Entschädigungsplan des Projekts. Das ist keine „Illegalität“, sondern ein „Fehlen einer rechtlichen Grundlage“. Diese Situation mit der Kapitalsicherheit lizenzierter Kartenaussteller gleichzusetzen, ist der häufigste Denkfehler.
Zu beobachtende nächste Meilensteine
- Ob Circle die betroffenen Adressen einfriert – das entscheidet, wie viel von den 24,15 Mio. USDC zurückgeholt werden kann, üblicherweise innerhalb weniger Tage nach dem Vorfall erkennbar.
- Die Ankündigung von B² Network zur Wiederaufnahme des Staking – ob nach dem Zugriff auf die Upgrade-Berechtigung Multisig-Signaturen gewechselt oder Timelocks eingeführt werden, ist entscheidend für die Qualität der Sicherheitsnachbesserung.
- Der offizielle Post-Mortem-Bericht von AFX – ob der Angriffsvektor offengelegt und eine Entschädigungsquote für Nutzer veröffentlicht wird.
- Ankündigungen führender U-Karten-Anbieter zu unterstützten Chains – falls innerhalb der nächsten 30 Tage ein Kartenaussteller stillschweigend den Aufladezugang für eine Chain abschaltet, geschieht dies meist ohne große Ankündigung; vor der Aufladung sollte man die offiziellen Seiten selbst prüfen.
Redaktionelle Empfehlung
- Nutzer gängiger Karten wie MPCard oder Bybit Card, die über Börsenüberweisungen oder direkte Mainstream-Chain-Aufladung arbeiten: keine Maßnahme erforderlich. Ihr Kapital ist nicht über einen der betroffenen Verträge gelaufen.
- **Wer gewohnheitsmäßig Drittanbieter-Brücken n