Die Cross-Chain-Stablecoin-Brücke Allbridge Core hat nach einem Flash-Loan-Angriff den Protokollbetrieb pausiert. Nach Beobachtungen der On-Chain-Sicherheitsfirmen PeckShield und CertiK haben die Angreifer rund 1,65 Millionen US-Dollar entwendet und die Beute bereits von Solana nach Ethereum gebrückt. Über den Vorfall wurde am 20. Juli von The Block berichtet; das Allbridge-Team stoppte das Protokoll daraufhin proaktiv, um weiteren Schaden zu begrenzen. Anzumerken ist: Die konkrete Route „Gelder nach Ethereum gebrückt” stammt aus der On-Chain-Kennzeichnung der Sicherheitsfirmen — wir haben keine eigene On-Chain-Verifizierung vorgenommen. Leser können weitere Enthüllungen über die offiziellen Kanäle von PeckShield selbst verfolgen.
Editoriale Einordnung: Was hat das mit Ihrer U-Card zu tun?
Vorweg: Allbridge ist ein Cross-Chain-Brücken-Protokoll, kein Kartenanbieter. Die Aufladewege der gängigen USDT-virtuellen Karten laufen überwiegend über interne Umbuchungen bei Börsen oder direkte On-Chain-Aufladungen an die vom Kartenanbieter vorgegebene Adresse — ohne direkte Bindung an Allbridge. Wer sich also fragt „Wird das Geld auf meiner Karte gestohlen?” — die Antwort lautet in der Regel nein, es sei denn, Sie hatten genau im Angriffsfenster Guthaben im Liquiditätspool von Allbridge geparkt.
Tatsächlich betroffen ist eine bestimmte Vorgehensweise: Gelder von einer Chain auf eine andere zu brücken und anschließend auf eine Karte aufzuladen. Wer etwa USDC auf Solana hält und eine Karte aufladen möchte, die nur USDT auf Ethereum oder Tron akzeptiert, benötigt dafür eine Cross-Chain-Brücke. Für diese Nutzergruppe gilt im kommenden Zeitfenster:
- Kurzfristig (redaktionelle Einschätzung: innerhalb von 7 Tagen): Allbridge Core ist pausiert, die entsprechenden Cross-Chain-Routen könnten nicht verfügbar sein oder sich verzögern — Gelder auf dieser Brücke können festhängen. Empfehlenswert ist der Wechsel zu internen Umbuchungen bei Börsen (bei Produkten wie Bybit Card oder RedotPay, die auf eine Börse bzw. eigene Clearing-Infrastruktur zurückgreifen, ist der Aufladeweg kürzer).
- Mittelfristig (redaktionelle Einschätzung: innerhalb von 30 Tagen): Sollte Allbridge wieder starten, wird üblicherweise zuerst ein Vorfallsbericht veröffentlicht, bevor der Neustart erfolgt — hier lohnt sich ein Blick auf die offizielle Ankündigung, ob die Schwachstelle behoben wurde.
- Langfristig (redaktionelle Einschätzung: innerhalb von 90 Tagen): Das Risiko einer einzelnen zentralen Cross-Chain-Brücke dürfte mehr Nutzer zu Aufladewegen mit „kürzerer Kette, weniger Abhängigkeiten” bewegen.
Wer noch auf Kartensuche ist, kann sich zunächst unsere MPCard-Bewertung ansehen — die Asia-Elite-Variante setzt auf eine virtuelle Visa-Karte mit asiatisch-pazifischer Route; Details zum Aufladeweg richten sich nach der jeweiligen offiziellen Seite. Für einen umfassenden Vergleich haben wir in den Top 5 U-Karten 2026 auch die Unterschiede bei den Aufladewegen der einzelnen Karten vermerkt.
Historischer Vergleich: Cross-Chain-Brücken waren schon immer ein Angriffsschwerpunkt
Gehackte Cross-Chain-Brücken sind keine Neuheit, sondern eine der am stärksten konzentrierten Vorfallkategorien der Krypto-Sicherheit der vergangenen Jahre. Im Vergleich zu den großen historischen Fällen ist der Umfang bei Allbridge diesmal eher klein:
| Vorfall | Zeitraum | Schadenshöhe | Quelle |
|---|---|---|---|
| Wormhole | 2022 | rund 326 Mio. US-Dollar | Offizielle Wormhole-Erklärung |
| Ronin Bridge | 2022 | rund 625 Mio. US-Dollar | Offizieller Ronin-Blog |
| Allbridge Core | 2026 | rund 1,65 Mio. US-Dollar | The Block |
Gemeinsamkeiten: In allen Fällen wurde eine Cross-Chain-Brücke als „zentraler Verwahrungspunkt für Gelder” durchbrochen, und die Beute wurde jeweils schnell über mehrere Chains verteilt, um eine Verfolgung zu erschweren — die Bewegung von Solana nach Ethereum bei Allbridge folgt demselben Geldwäsche-Muster wie bei Wormhole und Ronin.
Unterschiede: Erstens liegt der Umfang um zwei Größenordnungen niedriger — 1,65 Millionen sind im Vergleich zu den früheren mehreren hundert Millionen ein kleiner Fall. Zweitens wurde diesmal ein Flash Loan ausgenutzt, eine für DeFi spezifische Angriffsfläche (das Ausleihen enormer Summen innerhalb einer einzigen Transaktion zur Manipulation des Protokollzustands), während bei Ronin ein privater Schlüssel gestohlen wurde und Wormhole eine Schwachstelle in der Signaturprüfung hatte — die Angriffsarten unterscheiden sich also grundlegend. Die genannten historischen Zahlen stammen aus den jeweiligen offiziellen Kanälen der Projekte; die konkreten Beträge können im Zuge späterer Wiederbeschaffung offiziell revidiert werden — maßgeblich sind die jeweiligen Quellenseiten.
Für gewöhnliche U-Card-Nutzer bedeutet dieser Vergleich vor allem: Je weniger Sie auf Cross-Chain-Brücken angewiesen sind, desto sicherer ist Ihr Guthaben. Es geht nicht um die Frage „Welche Brücke ist verlässlicher”, sondern darum, Brücken möglichst ganz zu vermeiden, wo es geht.
Compliance- und Sicherheitsperspektive: Die Brücke ist kein Kartenanbieter — aber die Aufsicht schaut auf dasselbe Thema
Cross-Chain-Brücken befinden sich in den meisten Jurisdiktionen weiterhin in einer regulatorischen Grauzone — sie sind weder lizenzierte Zahlungsinstitute noch unterliegen sie klassischen Verwahrungsregeln des Finanzsektors. Kommt es zu einem Diebstahl, haben Nutzer kaum rechtliche Wege zur Wiedergutmachung. Das unterscheidet sich von der Situation der Kartenanbieter: Compliance-konforme Kartenanbieter unterliegen üblicherweise lokalen Zahlungs-/EMI-Lizenzen mit klaren Anforderungen an die Trennung von Kundengeldern.
Wer bei der Kartenwahl compliance-orientiert vorgeht, sollte sich weniger mit Cross-Chain-Brücken beschäftigen als vielmehr mit der Lizenzierung des Kartenanbieters selbst. In unserem EU-Compliance-Leitfaden haben wir die Anforderungen an lizenzierte EMIs im MiCAR-Rahmen zusammengefasst, im Hongkong-Compliance-Leitfaden erläutern wir zudem die Haltung der dortigen Aufsicht gegenüber Stablecoin-bezogenen Dienstleistungen. Die klare Grenze: Cross-Chain-Brücken sind in den meisten Regionen weder explizit verboten noch in ein Lizenzsystem eingebunden — es gilt das Prinzip „Nutzung auf eigenes Risiko”. Das Zahlungsgeschäft der Kartenanbieter hingegen unterliegt klaren Lizenzanforderungen.
Wichtige Entwicklungen, die es zu beobachten gilt
- Offizieller Vorfallsbericht von Allbridge: Wird üblicherweise wenige Tage nach der Pausierung veröffentlicht und legt die Ursache der Schwachstelle sowie den Zeitpunkt eines möglich