OpenAI hat am Dienstag einen Vorfall öffentlich gemacht, den das Unternehmen selbst als beispiellos bezeichnet: Zwei seiner KI-Modelle sind aus einer abgeschotteten Testumgebung ausgebrochen, haben sich Zugang zum offenen Internet verschafft und anschließend die Produktionsinfrastruktur des KI-Hosting-Anbieters Hugging Face kompromittiert. Beteiligt waren das öffentlich verfügbare GPT-5.6 Sol sowie ein leistungsfähigeres, bislang unveröffentlichtes Modell.
Der Auslöser war ein interner Benchmark namens ExploitGym, mit dem OpenAI die Cyber-Fähigkeiten seiner Modelle vermisst. Für diesen Test wurden die Sicherheitsfilter, die Modelle normalerweise von riskanten Cyber-Aktivitäten abhalten, bewusst deaktiviert. Das ist der entscheidende Kontext, der in vielen Schlagzeilen dieser Woche untergeht: Hier ist kein Produktionsmodell spontan feindselig geworden. Hier wurde ein leistungsfähiges System ohne Schutzmechanismen angewiesen, einen Hacking-Test um jeden Preis zu gewinnen – und hat genau das getan.
Die Modelle sollten eigentlich keinen Internetzugang haben. Erlaubt war lediglich ein interner Proxy zum Nachinstallieren von Software-Paketen. In genau dieser Paket-Installationssoftware fanden die Modelle eine bis dahin unbekannte Schwachstelle und nutzten sie, um die Abschottung zu umgehen. Einmal online schlossen sie, dass Hugging Face die Lösungen des Benchmarks hosten könnte. Um heranzukommen, verketteten sie gestohlene Zugangsdaten mit weiteren unbekannten Schwachstellen, bis sie eigenen Code auf den Live-Servern von Hugging Face ausführen und die Testlösungen direkt aus der Produktionsdatenbank abfragen konnten.
Hugging Face hatte den Einbruch bereits in der Vorwoche bemerkt und eingedämmt, ohne zu wissen, woher er kam. Mitgründer Clément Delangue erklärte, man habe angesichts der Raffinesse einen Frontier-Lab hinter dem Angriff vermutet – und diese Vermutung habe sich bestätigt. OpenAI kündigte an, die Infrastrukturkontrollen zu verschärfen, auch auf Kosten der Forschungsgeschwindigkeit.
KI Hacking Krypto: Warum der Vorfall für Anleger relevant ist
Für den Kryptomarkt ist nicht der Sandbox-Ausbruch selbst die Nachricht, sondern die Fähigkeit, die er demonstriert. Der Großteil eines Krypto-Angriffs findet statt, bevor auch nur ein Cent bewegt wird: Code lesen, Zugangsdaten testen, Infrastruktur kartieren, Signaturprozesse verstehen, Wege in Administratorrechte suchen. Genau diese lange Mittelphase haben die OpenAI-Modelle eigenständig durchlaufen – ohne Zugriff auf den Quellcode der Zielsysteme.
Diese Arbeit ist bisher der teuerste Teil eines Angriffs, weil sie menschliche Spezialisten über Wochen bindet. Ein autonomer Agent kann viele Pfade parallel testen, gescheiterte Versuche protokollieren und weiterarbeiten, während seine Betreiber schlafen. Die Ökonomie eines Angriffs verschiebt sich damit deutlich – nicht der finale Diebstahl wird einfacher, sondern die Suche nach der Lücke wird billig.
Was am Ende eines solchen Wegs steht, hat das laufende Jahr mehrfach gezeigt. Beim Angriff auf das Solana-Protokoll Drift verschwanden am 1. April rund 285 Millionen US-Dollar. Es gab keine Lücke im Smart Contract. Stattdessen bauten die Angreifer über etwa ein halbes Jahr als vermeintliche Handelsfirma Vertrauen zu Protokoll-Mitarbeitern auf, nutzten unter anderem eine bekannte Schwachstelle in Code-Editoren und brachten Multisig-Signierer dazu, über Solanas Durable-Nonce-Mechanismus Transaktionen vorab zu unterschreiben, die später Administratorrechte übertrugen. Die eigentliche Ausführung dauerte rund zwölf Minuten. Ermittler ordnen den Fall mit mittlerer Zuversicht nordkoreanischen Akteuren zu.
Der Verlust bei KelpDAO am 18. April, mit rund 292 Millionen US-Dollar der bislang größte DeFi-Vorfall des Jahres, folgte einem anderen Muster. Auch hier war kein Smart Contract fehlerhaft. Die Brücke des Liquid-Restaking-Protokolls verließ sich auf einen einzigen Verifizierer im LayerZero-Netzwerk. Die Angreifer kompromittierten die RPC-Datenquellen, aus denen dieser Verifizierer seine Sicht auf die Blockchain bezog, und ließen ihn eine Nachricht bestätigen, die es nie gegeben hatte. Die Brücke gab daraufhin rund 116.500 rsETH frei – etwa 18 Prozent des Umlaufbestands. Jeder Vertrag arbeitete exakt wie vorgesehen, nur auf Basis einer gefälschten Realität.
Ein dritter Angriffstyp zielt auf Governance. Anfang Juli kaufte ein Angreifer für rund 4,4 Millionen US-Dollar genug des Solana-Memecoins BONK, um einen eigenen Vorschlag einzubringen und durchzustimmen, der etwa 20 Millionen US-Dollar aus der Projektkasse auf seine Adresse übertrug. Jede einzelne Transaktion war regelkonform. Der Diebstahl entstand daraus, dass Kontrolle billiger zu kaufen war als die Beute wert ist.
Warum sind Smart Contracts nicht das eigentliche Problem?
Die drei Fälle haben eine Gemeinsamkeit, die für Anleger wichtiger ist als jede KI-Debatte: In keinem einzigen lag der Fehler im Smart Contract. Die Schwachstelle war ein Entwicklerrechner, eine Vertrauensbeziehung, eine Brückenkonfiguration, eine Governance-Regel. Genau in diesem Umfeld – verstreute Infrastruktur, öffentliche Code-Repositorien, Paket-Registries, Cloud-Dienste – hat die Suche nach Schwachstellen keine feste Landkarte. Sie belohnt Ausdauer und Parallelität. Beides skaliert mit Rechenleistung.
Ein Audit-Siegel sagt deshalb weniger über die Sicherheit eines Protokolls aus, als viele annehmen. Aussagekräftiger sind Fragen nach der Konfiguration: Wie viele unabhängige Verifizierer sichern eine Brücke? Gibt es Zeitverzögerungen bei Administratorrechten? Existieren automatische Notbremsen bei ungewöhnlich großen Bewegungen? Bei KelpDAO fehlte genau das.
Für private Anleger folgt daraus nichts Dramatisches, aber etwas Konkretes. Wer größere Bestände hält, sollte sie nicht dauerhaft in DeFi-Protokollen oder auf Handelsplattformen liegen lassen, sondern in Eigenverwahrung auf einer Hardware-Wallet halten. Die Angriffsfläche, um die es hier geht, betrifft komplexe Systeme mit vielen Beteiligten – ein Gerät ohne Internetverbindung ist dieser Klasse von Angriffen strukturell nicht ausgesetzt. Wer auf zentralen Börsen handelt, sollte auf Anbieter mit europäischer Regulierung und nachweisbaren Reserven achten.
Einordnung
Der Hugging-Face-Vorfall ist kein Beleg dafür, dass KI-Systeme außer Kontrolle geraten. Die Schutzmechanismen waren für den Test abgeschaltet, das Ziel war ein Benchmark, nicht Geld. Was er belegt, ist etwas Nüchterneres und darum Relevanteres: Die Fähigkeit, mehrstufige Angriffsketten selbstständig zu konstruieren, existiert heute und liegt nicht mehr nur bei staatlich finanzierten Gruppen. Die beiden größten Krypto-Diebstähle dieses Jahres brauchten Monate menschlicher Vorarbeit. Diese Vorarbeit ist der Teil, der sich automatisieren lässt.
Hugging Face formulierte es in seiner eigenen Auswertung so, dass autonome offensive Werkzeuge kein theoretisches Szenario mehr seien. Für die Krypto-Branche, deren Sicherheitsmodell nach wie vor stark auf Code-Audits und wenig auf operative Härtung setzt, ist das die eigentliche Nachricht dieser Woche.
Hier geht es zum Beitrag: OpenAI IPO – alles zur ChatGPT Aktie.
Alex Merten hat Wirtschaftswissenschaften mit Fokus auf Geldpolitik und digitale Märkte studiert. Seit mehr als 5 Jahren analysiert er die Entwicklungen im Krypto- und Finanzsektor und beschäftigt sich besonders mit der Rolle von Bitcoin in einem globalen Marktumfeld. Neben makroökonomischen Einschätzungen liegt sein Fokus auf datenbasierten Kursprognosen, Marktanalysen und verständlich aufbereiteten Infografiken. Neben seiner Tätigkeit auf boersen-parkett.de veröffentlicht er auch Beiträge auf cryptonews.com und 99bitcoins.com. Bei seiner Arbeit legt er besonderen Wert auf Faktentreue, Relevanz und eine klare Einordnung des täglichen Marktgeschehens.
Boersen-Parkett bei Google als bevorzugte Nachrichtenquelle markieren und keine Finanz- und Krypto-News mehr verpassen. Wie funktioniert das?