Britische FCA zu Defi: Auch dezentral bleibt der Anbieter verantwortlich

Die Bezeichnung Defi schützt nicht

Gedacht ist der Leitfaden für Firmen mit FCA-Zulassung, die Defi-Protokolle nutzen, ihren Kunden Zugang dazu verschaffen oder über dezentrale Börsen handeln. Auch künftige Kryptoanbieter sind gemeint: Ab dem 25. Oktober 2027 fallen in Großbritannien neue Krypto-Tätigkeiten unter die Aufsicht. Wer dort eine regulierte Tätigkeit ausübt, braucht laut der FCA eine Zulassung, auch wenn er sich selbst als dezentral bezeichnet. Software, Smart Contracts oder eine verteilte Steuerung allein entschieden nicht darüber.

Ähnlich sehen es die Aufseher in der EU: Auch dort schützt das Etikett Defi nicht davor, unter die Kryptoverordnung MiCA zu fallen. Bei der laufenden Überprüfung von MiCA gehen die Vorschläge sogar weiter. So empfahl die EU-Wertpapieraufsicht Esma Ende September einen eigenen regulierten Dienst für Firmen, die Kunden Zugang zu Defi-Protokollen verschaffen.

Noch eine Nische, aber mit hohen Verlusten

Verbreitet ist Defi bislang wenig. Von Januar bis August 2026 entfielen laut FCA rund 14 bis 19 Prozent des weltweiten Spot-Handels mit Kryptowerten auf dezentrale Börsen. Von den britischen Krypto-Nutzern kauften 2025 rund 8 Prozent über solche Plattformen. Mit der neuen Regulierung könnte die Nutzung allerdings steigen.

Die Risiken sind dagegen schon sichtbar. Durch Hacks bei Defi-Protokollen und Bridges gingen seit 2016 laut Branchendaten mehr als 12 Milliarden Dollar verloren. Als Fallbeispiele führt die FCA mehrere Angriffe auf, die nordkoreanischen Hackern zugeschrieben werden. Im April erbeutete die Lazarus-Gruppe demnach über 290 Millionen Dollar über eine Schwachstelle in der Bridge von Layerzero, die das Protokoll Kelpdao nutzte. Mit der Beute als Sicherheit liehen sich die Angreifer 190 Millionen Dollar bei Aave, worauf Anleger dort mehr als 10 Milliarden Dollar abzogen.

Beim Protokoll Drift auf Solana setzten Angreifer im selben Monat auf monatelange Täuschung. Sie gaben sich als Investoren aus und brachten Verantwortliche dazu, Transaktionen vorab zu unterschreiben. Damit übernahmen sie die Kontrolle über das Protokoll und zogen 285 Millionen Dollar ab. Bei Bybit manipulierten Hacker im Februar 2025 die Oberfläche der Wallet-Software Safe und stahlen 1,5 Milliarden Dollar.

Was die FCA von Firmen erwartet

Firmen müssten verstehen, welche Risiken sie mit Defi eingehen, und sie selbst steuern. Die Verantwortung für ausgelagerte Leistungen könnten sie nicht an Dritte abgeben. Zu den Risiken zählt die FCA Open-Source-Code, den Firmen nicht kontrollieren, Smart Contracts, die sich nach dem Start kaum stoppen oder ändern lassen, sowie fehlerhafte Daten von Preisorakeln. Wer die Risiken einer Tätigkeit nicht ausreichend beherrscht, solle prüfen, ob sie zu seinem Geschäft passt.

Bei der Geldwäsche sieht die FCA Bridges zwischen Blockchains, selbst verwahrte Wallets und Technik zur Verschleierung als besondere Gefahren. Firmen sollten etwa prüfen können, ob Kryptowerte aus Mixern, Darknet-Märkten oder von sanktionierten Personen stammen. Zugleich könne KI die Abwehr stärken, Cyberangriffe aber auch schneller und größer machen.

Stellungnahmen nimmt die FCA bis zum 18. November entgegen, die endgültige Fassung soll im ersten Quartal 2027 folgen.