Volo Protocol: Sui-Hack – was Geschädigte wissen sollten

Am 21. April 2026, kurz vor 23 Uhr, wurden drei Vaults des Sui-basierten Liquid-Staking-Protokolls Volo Protocol in Sekunden geleert. Ein kompromittierter Admin-Operator-Schlüssel ermöglichte den Zugriff auf WBTC-, XAUm- und USDC-Bestände im Gegenwert von rund 3,5 Millionen US-Dollar. Hunderte Anleger weltweit hatten ihre Mittel dort hinterlegt — in einem Protokoll, das zuvor von drei unabhängigen Sicherheitsfirmen auditiert worden war.

Wer heute nach dem Volo Protocol Sui Hack sucht, fragt sich meist dasselbe: Was ist mit meinen Mitteln passiert, was hat das Protokoll unternommen, und welche Schritte sind realistisch? Dieser Beitrag beantwortet diese Fragen auf Grundlage der öffentlichen On-Chain-Analysen, der Protokollmitteilungen und der einschlägigen zivilrechtlichen Anspruchsgrundlagen. Somit richtet er sich an betroffene Anleger aus dem deutschsprachigen Raum, die sich orientieren wollen.

Wovor warnt die Analyse zum Volo Protocol Sui Hack?

Der Angriff auf Volo Protocol zeigt eine Angriffsfläche, die Code-Audits prinzipiell nicht erfassen: das Schlüsselmanagement. Die Sicherheitsfirmen GoPlus Security, ExVul Security und Bitslab dokumentierten unabhängig voneinander, dass der Angreifer die Funktion withdraw_with_account_cap_v2 nutzte — eine privilegierte Auszahlfunktion, die ausschließlich mit einem gültigen Admin-Operator-Schlüssel aufrufbar ist. Dieser Schlüssel war zuvor durch Social Engineering erbeutet worden. Folglich handelt es sich nicht um einen Code-Fehler, sondern um eine operative Sicherheitslücke.

Volo hatte Audits durch Ottersec, Movebit und Hacken abgeschlossen; alle bestätigten fehlerfreien Protokollcode. Dennoch ist der Schaden eingetreten, weil die Schlüsselsicherheit auf der operativen Ebene versagte. Somit ergibt sich ein strukturelles Warnsignal für Anleger: Ein auditiertes DeFi-Protokoll bietet folglich keine Garantie gegen Angriffe auf die Zugangsebene seiner Betreiber. Daher verdient dieser Vorfall besondere Aufmerksamkeit bei der Frage, ob eine Pflichtverletzung gegenüber Anlegern vorliegt.

Welche Erlaubnislücke zeigt der Volo Protocol Sui Hack?

Volo Protocol[.]org betrieb nach Darstellung der Projektunterlagen ein Liquid-Staking-Produkt auf der Sui-Blockchain. In Deutschland unterfällt der Betrieb solcher tokenisierter Anlageprodukte in bestimmten Konstellationen der Erlaubnispflicht nach § 32 KWG sowie Art. 60 MiCAR. Ob Volo eine entsprechende Genehmigung der BaFin oder einer anderen EWR-Behörde vorweisen konnte, ist öffentlich nicht dokumentiert. Dieser regulatorische Befund ist jedoch deshalb besonders relevant, weil eine fehlende Erlaubnis den Schadensersatzanspruch auf eine eigenständige Grundlage stellt.

Zudem legt die Konstruktion des Admin-Operator-Schlüssels eine zentralisierte Kontrollstruktur nahe, die mit dem öffentlichen Versprechen eines dezentralen Protokolls kontrastiert. Außerdem entsteht dadurch eine potenzielle Aufklärungspflichtverletzung gegenüber Anlegern, die ihr Kapital in der Erwartung dezentraler Sicherheitsarchitektur eingesetzt haben. Diese Lücke zwischen Außendarstellung und operativer Realität ist ein anerkanntes Tatbestandselement der Kapitalmarkthaftung nach § 280 Abs. 1 BGB.

Was stellt die On-Chain-Analyse fest – und was nicht?

Die Angreifer-Adresse ist auf dem Sui-Blockchain-Explorer öffentlich einsehbar. Cyvers, GoPlus Security und das Volo-Team selbst bestätigten den Exploit und den Social-Engineering-Vektor. Zudem gelang es Volo nach eigenen Angaben einen Tag nach dem Angriff, 19,6 WBTC im Wert von rund 2,1 Millionen Dollar durch Partnerkoordination zu blockieren. Diese Mittel liegen jedoch unter Kontrolle kooperierender Plattformen und sind noch nicht an Anleger zurückgeflossen.

Was die On-Chain-Analyse dagegen nicht feststellt: wer konkret hinter dem Angriff steht, ob die blockierten Mittel tatsächlich zurückgeführt werden, und ob eine vollständige Kompensation der verbleibenden Schäden realistisch ist. „Eingefroren“ bedeutet nämlich nicht „zurückerhalten“. Deshalb empfiehlt sich für Betroffene eine frühzeitige eigenständige Beweissicherung, unabhängig von den Fortschrittsberichten des Protokolls.

Welche forensischen Ansatzpunkte ergeben sich beim Volo Protocol Sui Hack?

Betroffene Anleger sollten zunächst alle Transaktionshistorien aus ihrer Wallet-Oberfläche sowie aus dem Sui-Explorer sichern — als Screenshot und als exportierter CSV-Datensatz. Zudem sind sämtliche Kommunikation mit dem Volo-Protokoll, Onboarding-Unterlagen, Bestätigungsmails und Vault-Übersichten zu archivieren. Darüber hinaus lohnt es sich, die eigene Wallet-Adresse in On-Chain-Analysetools einzuspeisen, um den Abfluss nachzuvollziehen und belastbar zu dokumentieren.

Blockchain-forensische Methoden können Mittelflüsse über Bridges hinweg verfolgen, solange die Spuren nicht in datenschutzstarken Protokollen verschwinden. Je früher diese Analyse beginnt, desto höher ist folglich die Wahrscheinlichkeit verwertbarer Nachweise. Einen Überblick über einschlägige Plattformwarnungen bietet kryptoschaden.de. Zu den ersten Schritten nach einem Kryptoangriff gibt der Beitrag Erste Stunden nach Erkennen eines Krypto-Betrugs auf anwalt.de konkrete Orientierung.

Was bedeutet der Volo Protocol Sui Hack für Personen mit Verlust?

Zivilrechtlich kommen für Betroffene aus dem deutschsprachigen Raum mehrere Anspruchsgrundlagen in Betracht. Nach § 280 Abs. 1 BGB haftet derjenige, der eine Pflicht aus einem Schuldverhältnis verletzt, auf Schadensersatz. Sofern Volo Protocol vertragliche Treuepflichten begründete — etwa durch Sicherheitsversprechen im Onboarding —, ist diese Grundlage daher zu prüfen.

Ergänzend kommt § 823 Abs. 2 BGB in Verbindung mit einem verletzten Schutzgesetz in Betracht, falls die Erlaubnispflicht nach § 32 KWG oder MiCAR-Anforderungen dennoch nicht erfüllt waren. Diese Konstellation ist besonders relevant, wenn Volo keine BaFin-Erlaubnis vorweisen konnte.

Betroffene sollten zudem eine vorschnelle Selbsteskalation vermeiden — darunter fällt insbesondere der Kontakt mit angeblichen Recovery-Diensten, die vorab Gebühren verlangen. Solche Kontaktaufnahmen gefährden laufende forensische Spuren und können außerdem als Verzicht auf rechtliche Ansprüche ausgelegt werden. Welche Rückführungshebel im konkreten Fall realistisch sind, erläutert der Beitrag Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern