Curve Finance

Stand der Recherche: 21. Juli 2026 · alle Zahlen mit Quellenangabe im Text

Einfach erklärt

• Curve Finance ist eine dezentrale Börse (DEX, Definition: ein Handelsplatz ohne Betreiberfirma, bei dem ein Programm auf der Blockchain – ein „Smart Contract" – den Tausch abwickelt).
• Es gibt kein Unternehmen, das Dir gegenübersteht, keine Kontoeröffnung, keine Ausweisprüfung (KYC) und keinen klassischen Kundensupport.
• Du brauchst eine eigene Wallet (Definition: eine digitale Brieftasche, mit der Du Kryptowerte selbst verwahrst und Transaktionen unterschreibst) mit Guthaben – zum Beispiel MetaMask.
• Einen Euro-Zugang gibt es nicht direkt: Du musst Deine Coins bereits besitzen oder sie über eine andere Börse/Plattform kaufen und dann zu Curve schicken.
• Curve ist auf den Tausch ähnlicher Werte spezialisiert – vor allem Stablecoins (an den Dollar gekoppelte Coins) und ähnliche Kryptowerte, dafür meist mit sehr geringem Kursverlust beim Tausch.
• Ein Swap kostet grob eine kleine Protokollgebühr plus die sogenannte „Gas"-Gebühr (die Netzwerkgebühr der Blockchain selbst) – bei ruhigem Netzwerk niedrig, bei Stoßzeiten teurer.
• Der Programmcode wurde seit 2020 19 Mal von fünf unabhängigen Prüffirmen kontrolliert.
• Trotzdem kam es zu echten Vorfällen: 2022 wurde nicht der Vertrag, sondern die Website (das „Frontend") gekapert; 2023 hatte ein Fehler im verwendeten Programmier-Werkzeug (nicht im Curve-Code selbst) einen Millionenschaden zur Folge.
• Deine Coins bleiben während der Nutzung in Deiner eigenen Wallet – niemand verwahrt sie zentral für Dich, das heißt aber auch: Verlierst Du Deinen Zugang, hilft Dir niemand.
• Der Haken: Es gibt keine Einlagensicherung, keinen Ansprechpartner bei Problemen, und die Rechtslage in Europa für solche Protokolle ist bis heute nicht abschließend geklärt.
• In Deutschland zählt der Handel mit Kryptowerten steuerlich meist als privates Veräußerungsgeschäft – mit eigenen Fristen und Freigrenzen, die Du selbst im Blick behalten musst.

Unsere Einordnung in einem Satz

Curve Finance zeigt bei den Smart Contracts eine ungewöhnlich lange und gut dokumentierte Prüfhistorie, aber die eigentlichen Schwachstellen lagen bislang beim Frontend, bei einem externen Compiler-Fehler und bei ungeklärten Regulierungsfragen – wer hier mitmacht, übernimmt reale technische, organisatorische und steuerliche Verantwortung ohne das Sicherheitsnetz einer beaufsichtigten Börse.

Die Entscheidung liegt bei Dir.

1. Was ist Curve Finance?

Curve Finance ist eine dezentrale Börse (DEX), die seit Januar 2020 auf der Ethereum-Blockchain und mittlerweile auf zahlreichen weiteren Netzwerken („Chains") läuft. Anders als bei einer zentralen Börse wie Binance oder Coinbase gibt es bei Curve keine zentrale Firma, die Kundengelder verwahrt, Orders zusammenführt und für Ausfälle haftet. Stattdessen übernehmen Smart Contracts – Programme, die unveränderlich auf der Blockchain liegen – automatisch die Tauschlogik. Nutzer handeln direkt gegen sogenannte Liquiditätspools (Definition: von anderen Nutzern eingezahlte Guthaben-Töpfe, aus denen Trades bedient werden), nicht gegen eine Gegenpartei oder ein Orderbuch.

Das Besondere an Curve ist seine Nischenspezialisierung: Das Protokoll wurde ursprünglich für den effizienten Tausch von Vermögenswerten entwickelt, die sich im Wert kaum unterscheiden sollten – vor allem Stablecoins (USDC, USDT, DAI) und „gewrappte" Versionen von Kryptowerten (etwa stETH gegen ETH). Die zugrunde liegende mathematische Kurve („StableSwap"-Invariante) sorgt dafür, dass solche Trades mit sehr geringem Preisschlupf (Definition: Slippage – die Differenz zwischen erwartetem und tatsächlich erzieltem Preis) ablaufen. Für stärker schwankende Kryptowert-Paare bietet Curve mit „Cryptoswap"-Pools (unter anderem für Tricrypto-Paare) ein zweites Modell an.

Nach eigenen Angaben und laut DefiLlama-Datensatz hält Curve aktuell ein Total Value Locked (TVL, Definition: der Gesamtwert der in den Verträgen des Protokolls hinterlegten Vermögenswerte) von rund 1,29 bis 1,30 Milliarden US-Dollar, verteilt auf die Slugs „curve-finance" (1,286 Mrd. USD) und „curve-dex" (1,302 Mrd. USD) ^[Q4]. Eine bei CoinGecko kursierende höhere Zahl von rund 1,434 Mrd. USD ließ sich in der zugrunde liegenden Recherche nicht methodisch auflösen – vermutlich beruht sie auf einer anderen Chain- oder Pool-Abgrenzung ^[Q4]. Für diesen Artikel gilt die von zwei unabhängigen Linsen bestätigte DefiLlama-Zahl als Referenz.

Governance und Anreizstruktur laufen über den nativen Token CRV. Wer CRV langfristig sperrt, erhält veCRV („vote-escrowed CRV") und damit Stimmrechte sowie einen größeren Anteil an Handelsgebühren – ein Modell, das als „vote-escrow"-Mechanismus in der DeFi-Branche (Definition: Decentralized Finance – Finanzdienstleistungen ohne zentrale Vermittler) breit kopiert wurde. Ein separates Protokoll namens CrossCurve wurde in mehreren Quellen fälschlich Curve zugeordnet; im DefiLlama-Datensatz trägt es jedoch kein parentProtocolId-Feld, das es als Curve-Tochterprodukt ausweisen würde – anders als die drei tatsächlichen Curve-Einträge, die alle mit „parent#curve-finance" markiert sind. CrossCurve ist daher kein Curve-Finance-Produkt und wird in dieser Akte nicht mitbewertet.

2. Rechtslage: MiCA-Lücke & Geoblocking für DE-Nutzer

Die europäische Kryptowerte-Verordnung MiCA (Markets in Crypto-Assets Regulation) reguliert seit ihrem vollständigen Inkrafttreten Ende 2024 zentrale Anbieter von Kryptowert-Dienstleistungen – sogenannte CASPs (Crypto-Asset Service Providers). Erwägungsgrund 22 der Verordnung nimmt jedoch Dienste ausdrücklich aus, die „vollständig dezentral ohne Zwischenschaltung eines Dritten" erbracht werden. Genau in dieser Grauzone bewegt sich ein Protokoll wie Curve: Der Kernvertrag läuft ohne Betreiberfirma, während Website/Frontend, Dokumentation und Kommunikation faktisch von einem Team betrieben werden.

Ob und wie Protokolle wie Curve unter diese Ausnahme fallen, ist bis heute nicht abschließend geklärt. Der gemeinsame Bericht von EBA (Europäische Bankenaufsichtsbehörde) und ESMA (Europäische Wertpapier- und Marktaufsichtsbehörde) vom 16.01.2025 lässt die Abgrenzung „vollständig dezentral" versus „mit Zwischenschaltung eines Dritten" ausdrücklich offen, ohne feste Kriterien zu benennen. Eine Curve-spezifische Einordnung durch eine europäische oder deutsche Behörde ließ sich in der zugrunde liegenden Recherche nicht finden; insbesondere eine BaFin-Aussage zu DEX oder DeFi im Allgemeinen ist in keiner der geprüften Quellen nachweisbar. Dieser Punkt bleibt eine ausdrückliche Erkenntnislücke (siehe Kapitel 10).

Bewegung gibt es allerdings bei der Überprüfung der Verordnung selbst: Die Europäische Kommission hat am 20.05.2026 eine öffentliche Konsultation zur Überarbeitung des MiCA-Rechtsrahmens gestartet, mit Einreichungsfrist bis zum 30.09.2026 – dies ließ sich über die offizielle Konsultationsübersicht der Kommission direkt bestätigen ^[Q6]. In mehreren Sekundärquellen kursierte zuvor eine angeblich DeFi-spezifische Fokussierung dieser Konsultation auf die Dezentralitätskriterien aus Erwägungsgrund 22 sowie eine frühere Frist von 31.08.2026 – beides ließ sich anhand der öffentlichen Übersichtsseite der Kommission nicht bestätigen; dort ist lediglich allgemein von einer „Überprüfung des Rechtsrahmens für Kryptowerte" die Rede ^[Q6]. Für Anleger heißt das: Es ist real etwas in Bewegung, aber der genaue Inhalt und die konkreten Auswirkungen auf Protokolle wie Curve sind derzeit nicht seriös vorherzusagen.

Zum Geoblocking (Definition: die technische Sperrung von Nutzern aus bestimmten Ländern anhand ihrer IP-Adresse): Ein expliziter Ausschluss von EU- oder DE-Nutzern in den Nutzungsbedingungen des Curve-Frontends ließ sich in der zugrunde liegenden Recherche trotz mehrfacher Versuche nicht auslesen – die entsprechenden Seiten waren technisch nicht zugänglich (HTTP 403). Ob und in welchem Umfang eine geografische Sperrung für DE/EU-Nutzer besteht, bleibt damit ungeklärt und ist von Nutzern vor einer Interaktion selbst zu prüfen.

3. Smart-Contract-Sicherheit & Audits

Bei einer zentralen Börse prüft man die Bilanz und die Regulierung des Betreibers. Bei einer DEX wie Curve verschiebt sich die Prüfung auf den Programmcode selbst – denn dieser Code entscheidet direkt darüber, ob Nutzergelder sicher sind. Ein direkter Fetch der offiziellen Curve-Dokumentation (docs.curve.finance/user/security/audits) bestätigt eine Liste von 19 Audits (Definition: unabhängige Prüfungen des Programmcodes durch spezialisierte Sicherheitsfirmen) zwischen 2020 und September 2025, durchgeführt von fünf verschiedenen Firmen: Trail of Bits, MixBytes, Quantstamp, ChainSecurity und StateMind ^[Q1]. Diese Zahl deckt sich exakt mit der am detailliertesten recherchierten der ausgewerteten Quellenlinsen und gilt damit als primärquellenseitig gesichert.

Ergänzend betreibt Curve laut mehreren übereinstimmenden, aber nicht in dieser Konsolidierung erneut primärquellenseitig geprüften Quellen ein Bug-Bounty-Programm (Definition: eine Belohnung für das verantwortungsvolle Melden von Sicherheitslücken) mit einer Obergrenze von 250.000 US-Dollar.

Trotz dieser umfangreichen Prüfhistorie kam es zu drei dokumentierten Sicherheitsvorfällen mit finanziellem Schaden:

09.08.2022 – DNS-Hijack des Frontends. Nicht der Smart Contract, sondern die Webadresse (der DNS-Eintrag, über den Nutzer die Curve-Website ansteuern) wurde gekapert. Schaden: 575.000 US-Dollar, laut DefiLlama-Rohdaten vollständig zurückgeführt ^[Q3].

30.07.2023 – Vyper-Compiler-Bug. Hier lag der Fehler nicht im eigentlichen Curve-Code, sondern in einer Sicherheitslücke bestimmter Versionen des Vyper-Compilers (Definition: ein Werkzeug, das menschenlesbaren Programmcode in blockchain-ausführbaren Code übersetzt) – ein Fehler, der auch andere Protokolle betraf, die denselben Compiler nutzten. Bei der Schadenshöhe bestehen zwei primärquellenseitig bestätigte, aber unterschiedliche Zählweisen: Die Rohdaten von DefiLlama beziffern den ausschließlich Curve zugerechneten Schaden auf 61,7 Millionen US-Dollar ^[Q3], während rekt.news in seinem Leaderboard 69,3 Millionen US-Dollar nennt ^[Q5] – vermutlich weil dort Folgeschäden bei angeschlossenen Protokollen wie Alchemix, Metronome und JPEG'd mitgezählt werden. Beide Zahlen sind über unabhängige Primärquellen belegt; die Differenz ist eine reale Abgrenzungsfrage zwischen zwei Trackern, kein Rechercheversehen. Bemerkenswert: Rund 70 bis 73 Prozent der Gelder konnten über Whitehat- und Bounty-Verhandlungen zurückgeholt werden, unter anderem durch einen sogenannten MEV-Bot mit dem Namen „c0ffeebabe.eth" sowie eine vollständige Rückzahlung durch Alchemix. Der geschätzte Nettoverlust liegt damit bei etwa 18 bis 21 Millionen US-Dollar.

02.03.2026 – „Donation Attack" bei LlamaLend. Ein direkter Datenabruf der DefiLlama-Rohdaten bestätigt exakt dieses Datum sowie einen Schaden von 240.000 US-Dollar, ohne Eintrag zurückgeführter Gelder ^[Q3]. Ein inhaltlicher Nachbericht (Post-Mortem) zum genauen Hergang dieses Angriffs war in der zugrunde liegenden Recherche trotz Suche nicht auffindbar – dies bleibt eine offene Lücke (siehe Kapitel 10).

Zusätzlich kursieren in mehreren, aber nicht primärquellenseitig bestätigten Berichten Hinweise auf einen zweiten DNS-Hijack im Mai 2025, mit widersprüchlichen Datums- und Schadensangaben. Dieses Ereignis taucht nicht im DefiLlama-Hacks-Datensatz auf. Einzig gesichert ist die eigenständige Beobachtung, dass die Altdomain curve.fi aktuell dauerhaft (HTTP-Statuscode 301) auf curve.finance weiterleitet – ein Indiz, dass mit der alten Domain zu irgendeinem Zeitpunkt tatsächlich etwas vorgefallen ist, aber Datum und Schadenshöhe eines zweiten Vorfalls bleiben ungeklärt und sollten nicht als belegte Fakten verwendet werden.

Das durchgängige Muster über alle drei belegten Vorfälle hinweg: Der eigentliche Vertragskern von Curve wurde nie direkt kompromittiert. Betroffen waren stattdessen die Website/DNS-Ebene (2022) und ein externes Compiler-Werkzeug (2023). Für Nutzer bedeutet das: Die Prüfung eines DEX darf sich nicht auf „ist der Smart Contract auditiert" beschränken, sondern muss auch fragen, über welchen Kanal man tatsächlich mit dem Vertrag interagiert.

Zur Frage der Upgradbarkeit (Definition: die Möglichkeit, Vertragsregeln nachträglich zu ändern): Die Kern-Pools von Curve sind laut übereinstimmenden Angaben unveränderlich („immutable") programmiert. Ein „Emergency DAO" (Definition: ein Gremium innerhalb der dezentralen Organisation mit eng begrenzten Notfallbefugnissen) kann laut einem direkten Fetch der offiziellen Dokumentation (docs.curve.finance/user/dao/emergency-dao) bestimmte Parameter senken oder Pools pausieren, jedoch wörtlich „cannot move or withdraw any user funds" ^[Q2] – kann also keine Nutzergelder bewegen oder abziehen. Das Gremium ist als 5-von-9-Multisig (Definition: eine Instanz, für deren Handeln mindestens fünf von neun autorisierten Unterzeichnern zustimmen müssen) organisiert ^[Q2]. Eine in einer Sekundärquelle kursierende Behauptung, es gebe einen dokumentierten „3-Tage-Timelock" (Definition: eine Wartezeit zwischen Beschluss und Wirksamwerden einer Änderung) für Ownership- oder Parameteränderungen, ließ sich beim direkten Abruf derselben offiziellen Dokumentationsseite nicht bestätigen – dort findet sich keine Angabe zu einer solchen Frist ^[Q2]. Diese Behauptung sollte daher nicht als gesicherter Fakt übernommen werden; sie beruht vermutlich auf einer Verwechslung mit einer Konstante einzelner alter Pool-Verträge auf Etherscan-Ebene, nicht einem DAO-weiten Governance-Mechanismus.

4. Was kostet ein Swap wirklich?

Die realen Kosten eines Tauschs bei einer DEX setzen sich aus mehreren Bestandteilen zusammen, die bei zentralen Börsen so nicht anfallen:

Protokollgebühr. Curve erhebt für die meisten Pools eine geringe prozentuale Gebühr je Trade, die an Liquiditätsanbieter (und teils an veCRV-Halter) ausgeschüttet wird. Die genaue Höhe variiert je nach Pool-Typ (StableSwap-Pools für Stablecoins sind typischerweise deutlich günstiger als Cryptoswap-Pools für volatilere Paare).

Price Impact / Slippage. Bei größeren Trades oder bei Pools mit geringerer Tiefe weicht der tatsächlich erzielte Preis vom angezeigten Ausgangspreis ab. Bei den für Curve typischen Stablecoin-Pools ist dieser Effekt meist minimal; bei Tricrypto- oder anderen Cryptoswap-Pools mit volatileren Paaren kann er spürbar größer ausfallen.

Netzwerkgebühr (Gas). Diese Gebühr fließt nicht an Curve, sondern an das jeweilige Blockchain-Netzwerk (z. B. Ethereum) zur Verarbeitung der Transaktion. Sie schwankt je nach Netzwerkauslastung erheblich – auf Ethereum selbst kann sie zu Stoßzeiten die eigentliche Protokollgebühr um ein Vielfaches übersteigen, während sie auf günstigeren Chains, auf denen Curve ebenfalls läuft, deutlich niedriger ausfällt.

Eine belastbare, für diesen Artikel primärquellenseitig nachvollzogene Zahl für die konkreten Kosten eines 1.000-Euro-Trades in einem Tricrypto-Pool ließ sich in der zugrunde liegenden Recherche nicht ermitteln – dies bleibt eine dokumentierte Lücke (siehe Kapitel 10). Nutzer sollten die Gesamtkosten (Protokollgebühr + Price Impact + Gas) vor jedem Trade im Frontend selbst prüfen, da sie sich je nach Pool, Handelsgröße und Netzwerklage stark unterscheiden können.

Ein weiterer, in der Fachdiskussion häufig genannter Kostenfaktor ist MEV (Maximal Extractable Value, Definition: der zusätzliche Wert, den Netzwerkteilnehmer durch das gezielte Anordnen oder Einschieben von Transaktionen abschöpfen können) – etwa in Form von sogenannten Sandwich-Angriffen, bei denen ein Trade gezielt vor und nach einer fremden Transaktion platziert wird, um von deren Preisbewegung zu profitieren. Interessanterweise war ein MEV-Bot („c0ffeebabe.eth") sogar am Whitehat-Rückkauf nach dem Vyper-Exploit 2023 beteiligt – ein Beispiel dafür, wie ambivalent diese Marktmechanik zu bewerten ist. Curve-spezifische, belastbare Zahlen zu MEV- oder Sandwich-bedingten Verlusten für Nutzer ließen sich in keiner der ausgewerteten Quellen finden; auch dies bleibt eine offene Lücke.

5. Angebot, Fiat-Zugang & Zusatzprodukte (LP/Farming/Perps)

Einen direkten Zugang von Euro oder anderen Fiat-Währungen (Definition: staatlich ausgegebenes gesetzliches Zahlungsmittel wie Euro oder US-Dollar) bietet Curve nicht an. Wer teilnehmen möchte, muss die gewünschten Kryptowerte oder Stablecoins bereits besitzen – typischerweise erworben über eine zentrale Börse oder einen anderen On-Ramp-Dienst (Definition: ein Dienst, der den Umtausch von Fiat-Geld in Kryptowerte ermöglicht) – und diese dann eigenständig zu einer kompatiblen Wallet transferieren.

Über den reinen Swap hinaus bietet das Curve-Ökosystem mehrere Zusatzprodukte:

Liquidity Providing (LP). Nutzer können eigene Kryptowerte in Liquiditätspools einzahlen und erhalten dafür einen Anteil der anfallenden Handelsgebühren sowie teils zusätzliche CRV-Ausschüttungen. Im Gegenzug tragen sie das Risiko des sogenannten „Impermanent Loss" (Definition: ein rechnerischer Wertverlust gegenüber reinem Halten der Coins, der entsteht, wenn sich die Preise der gepoolten Werte zueinander verschieben).

Farming/Staking über veCRV. Wer CRV langfristig sperrt, erhält veCRV und damit erhöhte Gebührenanteile sowie Stimmrechte – ein Modell, das enge Verflechtungen mit anderen Protokollen erzeugt hat, allen voran Convex Finance, das CRV im großen Stil bündelt (siehe Kapitel 8).

LlamaLend. Ein separates Lending-Produkt (Definition: eine Kreditvergabe-Funktion) innerhalb des Curve-Ökosystems, das unter anderem von dem in Kapitel 3 beschriebenen „Donation Attack" im März 2026 betroffen war und zudem – laut mehreren, nicht primärquellenseitig verifizierten Berichten – im Zusammenhang mit der Teilliquidation des Curve-Gründers im Juni 2024 stand (siehe Kapitel 8).

Perpetuals/Derivate. In mehreren Ökosystem-Ankündigungen wird von Perps-Angeboten (Definition: unbefristete Terminkontrakte, „Perpetual Futures") im weiteren Curve-Umfeld berichtet; eine belastbare, primärquellenseitig verifizierte Beschreibung des aktuellen Funktionsumfangs eines solchen Produkts unter Curve-eigener Kontrolle ließ sich im Rahmen dieser Recherche nicht sichern und wird hier daher nicht im Detail bewertet.

Wichtig zur Einordnung: CrossCurve, ein Cross-Chain-Dienst, der in manchen Darstellungen implizit Curve zugerechnet wird, ist laut DefiLlama-Datenstruktur kein Curve-Tochterprodukt (kein parentProtocolId-Verweis auf Curve) und wird deshalb in dieser Akte ausdrücklich nicht als Curve-Angebot gewertet.

6. Selbstverwahrung: Deine Coins, Deine Verantwortung

Der zentrale strukturelle Unterschied zu einer regulierten Börse: Bei Curve verwahrt zu keinem Zeitpunkt eine dritte Partei Deine Kryptowerte zentral. Du interagierst mit den Smart Contracts direkt aus Deiner eigenen Wallet heraus, und die Coins verlassen Deine Kontrolle immer nur für die Dauer der jeweiligen Transaktion (z. B. während ein Swap oder eine Einzahlung in einen Pool ausgeführt wird).

Das hat zwei Seiten. Positiv: Es gibt kein Ausfallrisiko einer zentralen Verwahrstelle, keine Gefahr, dass ein Börsenbetreiber insolvent wird oder Kundengelder zweckentfremdet – ein Risiko, das bei zentralen Anbietern in der Vergangenheit wiederholt zu Totalverlusten geführt hat. Negativ: Es gibt auch keinerlei Sicherheitsnetz. Verlierst Du den privaten Schlüssel (Definition: das geheime kryptografische Passwort, das Zugriff auf eine Wallet gewährt) oder die Seed-Phrase (Definition: eine Wortfolge, aus der sich der private Schlüssel wiederherstellen lässt), ist der Zugriff auf Deine Coins unwiederbringlich verloren – es gibt keine Kontowiederherstellung, keinen Support, der helfen könnte, und keine Einlagensicherung, die einspringt.

Zusätzlich verlagert sich das operative Risiko genau auf den in Kapitel 3 beschriebenen Angriffspunkt: Nicht der Smart Contract, sondern das Frontend – also die Website, über die Nutzer ihre Transaktionen signieren – ist der historisch nachgewiesene Schwachpunkt. Wer eine gefälschte oder gekaperte Version der Website nutzt (etwa nach einem DNS-Hijack wie 2022), kann durch das Signieren einer manipulierten Transaktion Gelder verlieren, obwohl der zugrunde liegende Vertrag selbst unverändert und sicher ist. Wer Curve nutzt, sollte deshalb die korrekte URL sorgfältig prüfen, nach Möglichkeit über offizielle, verifizierte Links oder Lesezeichen navigieren und Transaktionsdetails vor dem Signieren in der Wallet genau kontrollieren.

7. Steuer bei DeFi-Nutzung in Deutschland

Für in Deutschland steuerpflichtige Privatpersonen gilt der Handel mit Kryptowerten regelmäßig als privates Veräußerungsgeschäft nach § 23 EStG (Einkommensteuergesetz). Grundprinzip: Gewinne aus dem Verkauf oder Tausch von Kryptowerten sind grundsätzlich steuerpflichtig, wenn zwischen Anschaffung und Veräußerung weniger als ein Jahr liegt (die sogenannte Ein-Jahres-Frist); nach Ablauf dieser Frist bleiben Gewinne in der Regel steuerfrei. Innerhalb der Frist gilt zudem eine Freigrenze von 1.000 Euro pro Jahr (seit dem Jahressteuergesetz 2022) – wird sie überschritten, ist der gesamte Gewinn steuerpflichtig, nicht nur der übersteigende Teil.

Für DeFi-spezifische Vorgänge – also Swaps auf einer DEX wie Curve, das Einzahlen in Liquiditätspools sowie CRV- oder Zinserträge aus Farming – ergeben sich zusätzliche Abgrenzungsfragen, die in der Fachdiskussion nicht immer einheitlich beantwortet werden:

• Ein Swap gilt grundsätzlich als tauschähnlicher Vorgang und kann damit die Ein-Jahres-Frist neu auslösen bzw. einen steuerpflichtigen Vorgang darstellen, wenn er innerhalb der Frist erfolgt.
• Das Einzahlen in einen Liquiditätspool (Erhalt eines LP-Tokens im Austausch für die eingezahlten Coins) wird von Teilen der Fachliteratur ebenfalls als tauschähnlicher, potenziell steuerpflichtiger Vorgang gewertet – eine abschließende, einheitliche Verwaltungsauffassung dazu ließ sich in der zugrunde liegenden Recherche nicht sichern.
• Erträge aus Farming oder Staking (etwa ausgeschüttetes CRV) können zusätzlich als sonstige Einkünfte nach § 22 EStG relevant werden, mit eigener Freigrenze (256 Euro pro Jahr für sonstige Einkünfte).
• Ein einschlägiges BFH-Urteil (Bundesfinanzhof, IX R 3/22) hat die grundsätzliche Steuerpflicht privater Kryptoveräußerungsgeschäfte höchstrichterlich bestätigt.

Ein häufig zitiertes BMF-Schreiben (Bundesministerium der Finanzen) vom 06.03.2025, das Einzelfragen zur Zuordnung von Freigrenzen sowie zum Ein- und Ausstieg aus LP-Token-Positionen konkretisieren soll, ließ sich in der zugrunde liegenden Recherche trotz mehrfacher Versuche nicht im Volltext abrufen (die betreffenden Server waren technisch nicht zugänglich). Die genauen Details dieser Verwaltungsauffassung bleiben deshalb eine offene Lücke – für die konkrete steuerliche Behandlung einzelner DeFi-Vorgänge (insbesondere LP-Einstieg/-Ausstieg und die Abgrenzung von Farming-Erträgen) ist daher dringend die Konsultation einer steuerlich beratenden Fachperson zu empfehlen. Diese Akte stellt keine Steuerberatung dar.

8. Governance: Wer kontrolliert Protokoll und Frontend?

Die Governance (Definition: die Steuerung eines Protokolls durch seine Nutzer- bzw. Token-Halter-Gemeinschaft statt durch eine Firmenleitung) von Curve läuft formal über die Curve-DAO (Decentralized Autonomous Organization) und den veCRV-Mechanismus: Wer CRV sperrt, erhält Stimmrecht proportional zur gesperrten Menge und Sperrdauer.

In der Praxis zeigt sich eine erhebliche Konzentration dieser Stimmrechte bei wenigen Akteuren. Eine zentrale Rolle spielt dabei Convex Finance, ein Drittprotokoll, das CRV-Bestände seiner eigenen Nutzer bündelt und dadurch selbst zu einem der größten veCRV-Halter wird. Die verschiedenen ausgewerteten Quellen nennen für den Convex-Anteil an den gesamten veCRV-Stimmrechten Werte zwischen rund 47 und 53 Prozent – eine belastbare, aktuelle On-Chain-Abfrage ließ sich in der zugrunde liegenden Recherche nicht selbst durchführen (das einschlägige Analyse-Tool curvemonitor.com rendert seine Daten clientseitig und war so nicht auslesbar). Für diesen Artikel gilt daher nur die Bandbreite „rund 47 bis 53 Prozent" als sekundärquellen-gestützte Näherung, keine der Einzelzahlen als exakt gesichert.

Zwei konkrete Ereignisse illustrieren sowohl reale Kontrollmechanismen als auch reale Konzentrationsrisiken:

Dezember 2025 – abgelehnter Förderantrag. Laut mehreren, nicht primärquellenseitig nachvollzogenen, aber übereinstimmenden Berichten (u. a. kucoin.com, thedefiant.io) lehnte die Curve-DAO im Dezember 2025 einen Antrag auf Förderung von 17,45 Millionen CRV ab, der vom Gründer bzw. der mit ihm verbundenen Swiss Stake AG eingebracht worden war – mit 54,46 Prozent Gegenstimmen. Bemerkenswert dabei: Nur 141 Wallets nahmen an dieser Abstimmung teil. Das zeigt einerseits, dass die Governance-Mechanik im Ernstfall tatsächlich Einspruch gegen Anträge nahestehender Akteure ermöglicht – andererseits aber auch, wie gering und konzentriert die tatsächliche Abstimmungsbeteiligung ist.

Juni 2024 – Teilliquidation des Gründers. Ebenfalls nur über mehrere unabhängige Sekundärquellen, nicht primärquellenseitig verifiziert, wird berichtet, dass Curve-Gründer Michael Egorov im Juni 2024 einen erheblichen Teil seiner mit CRV besicherten Kredite (in einer Größenordnung von rund 100 Millionen US-Dollar) liquidieren musste, wobei bei LlamaLend zeitweise rund 10 Millionen US-Dollar an „Bad Debt" (Definition: nicht durch Sicherheiten gedeckte, ausfallgefährdete Kreditsumme) entstanden sein sollen, die später zurückgezahlt wurde. Dieses Ereignis unterstreicht ein strukturelles Risiko: Ein einzelner, zentraler Akteur (der Gründer) hielt und hält offenbar so große CRV-Positionen, dass seine eigene Kreditgesundheit das gesamte Protokoll beeinflussen kann – ein Gegensatz zum Anspruch vollständiger Dezentralität.

Zur Frontend-Kontrolle: Wie in Kapitel 3 beschrieben, liegt der Betrieb der Website – über die die meisten Nutzer faktisch mit den Smart Contracts interagieren – nicht bei der DAO selbst, sondern bei einem operativen Team. Genau dieser Kontrollpunkt war 2022 (belegt) und mutmaßlich 2025 (unbelegt, siehe Kapitel 3) das tatsächliche Ziel von Angriffen – nicht der dezentral kontrollierte Vertragskern. Die formale Rechtsträgerstruktur hinter DAO und Frontend-Betrieb über die genannte Swiss Stake AG hinaus ließ sich in der zugrunde liegenden Recherche nicht abschließend klären und bleibt eine offene Lücke.

9. Stärken und Schwächen — unser Gesamt-Verdikt

Stärken:

• Mit 19 dokumentierten Audits von fünf verschiedenen, etablierten Sicherheitsfirmen über einen Zeitraum von fünf Jahren gehört Curve zu den am gründlichsten geprüften DeFi-Protokollen überhaupt ^[Q1].
• Der eigentliche Vertragskern wurde in keinem der drei bekannten Vorfälle direkt kompromittiert – betroffen waren jeweils die Frontend-/DNS-Ebene oder ein externes Compiler-Werkzeug.
• Die dokumentierten Notfallbefugnisse der DAO sind eng begrenzt: Ein Emergency-Multisig kann pausieren oder Parameter senken, aber laut offizieller Dokumentation ausdrücklich keine Nutzergelder bewegen ^[Q2].
• Nach dem Vyper-Exploit 2023 konnten über Whitehat-Verhandlungen und einen kooperierenden MEV-Bot rund 70 bis 73 Prozent der entwendeten Gelder zurückgeholt werden – ein für die Branche überdurchschnittliches Ergebnis.
• Ein aktives Bug-Bounty-Programm mit sechsstelliger Obergrenze bietet einen laufenden Anreiz zur verantwortungsvollen Meldung von Schwachstellen.

Schwächen:

• Trotz umfangreicher Audit-Historie kam es zu drei realen Schadensereignissen mit einer Gesamtschadenssumme im zweistelligen Millionenbereich (brutto) – Audits schützen nachweislich nicht vor Toolchain-Fehlern oder neuen Angriffsklassen wie der „Donation Attack" von 2026.
• Der wiederkehrende Angriffsvektor liegt beim Frontend, nicht beim Vertrag – ein struktureller Schwachpunkt, der sich nicht allein durch Code-Audits beheben lässt.
• Governance-Stimmrechte sind stark konzentriert (Convex-Anteil geschätzt 47–53 Prozent der veCRV-Stimmen), bei gleichzeitig sehr geringer aktiver Beteiligung (141 Wallets bei der Dezember-2025-Abstimmung).
• Die Kreditgesundheit des Gründers hat sich mindestens einmal (Juni 2024) unmittelbar auf das Protokoll ausgewirkt – ein Gegensatz zum Anspruch echter Dezentralität.
• Die regulatorische Einordnung nach MiCA ist ungeklärt; eine spezifische BaFin-Haltung zu DEX/DeFi existiert nicht auffindbar, und die laufende EU-Konsultation lässt den künftigen Umgang mit Protokollen wie Curve offen.
• Für Nutzer gibt es keinen Fiat-Zugang, keine Einlagensicherung, keinen klassischen Support und volle eigene Verantwortung für Verwahrung, Transaktionsprüfung und steuerliche Erfassung.

Gesamt-Verdikt: In der Kategorie „Smart-Contract-Sicherheit" schneidet Curve im Branchenvergleich überdurchschnittlich ab – die Prüfhistorie ist dicht, die Notfallbefugnisse sind eng begrenzt, und der Kernvertrag wurde nie direkt gehackt. Das rechtfertigt jedoch keine unbedingte Entwarnung: Die real eingetretenen Schäden entstanden gerade dort, wo Audits naturgemäß nicht greifen (Frontend, externe Werkzeuge, neue Angriffsmuster), die Governance ist trotz demonstrierter Checks-and-Balances faktisch konzentriert, und die regulatorische Zukunft in der EU ist offen. Wir stufen Curve auf Gelb ein: eine im DeFi-Vergleich vergleichsweise geprüfte, aber keineswegs risikofreie Adresse, bei der Nutzer eigenverantwortlich Frontend-Echtheit, Vertragsversion und steuerliche Pflichten prüfen müssen.

10. Was wir gerne gewusst hätten — und nicht gefunden haben

• Die exakte Timelock-Dauer (Wartefrist) für Ownership- oder Parameteränderungen durch die DAO – die offizielle Dokumentation macht dazu keine Angabe; eine kursierende „3-Tage"-Behauptung ist nicht durch die Primärquelle gedeckt.
• Ein inhaltlicher Nachbericht (Post-Mortem) zum LlamaLend-„Donation Attack" vom 02.03.2026 – Datum und Schadenshöhe sind zweifach primärquellenseitig gesichert, der Hergang selbst bleibt aber unbekannt.
• Datum und tatsächliche Schadenshöhe eines mutmaßlichen zweiten DNS-Hijacks im Mai 2025 – widersprüchlich berichtet, nicht im DefiLlama-Hacks-Datensatz enthalten, nicht primärquellenseitig bestätigt.
• Die exakte aktuelle Konzentration der veCRV-Stimmrechte bei Convex und beim Gründer – das einschlägige Analyse-Tool war technisch nicht auslesbar, nur eine grobe Bandbreite von Sekundärquellen verfügbar.
• Eine BaFin-spezifische Aussage zu dezentralen Börsen oder DeFi im Allgemeinen – in keiner ausgewerteten Quelle auffindbar.
• Der genaue inhaltliche Fokus der am 20.05.2026 gestarteten EU-Konsultation bezüglich DeFi und der Dezentralitätskriterien aus Erwägungsgrund 22 – nur Startdatum und Frist ließen sich über die offizielle Übersichtsseite bestätigen, der spezifische DeFi-Bezug nicht.
• Der Volltext des angeblichen BMF-Schreibens vom 06.03.2025 zu Freigrenzen und LP-Token-Behandlung – die betreffenden Quellen waren technisch nicht erreichbar.
• Die formale Rechtsträgerstruktur hinter Curve-DAO und Frontend-Betrieb über die genannte Swiss Stake AG hinaus.
• Belastbare, Curve-spezifische Zahlen zu MEV- oder Sandwich-Verlusten für Nutzer.
• Konkrete Zahlen zu Gebühren und Price Impact für einen realistischen Trade (z. B. 1.000 Euro) in einem Tricrypto-/Cryptoswap-Pool.
• Der Volltext einer expliziten Geoblocking-Regelung für DE/EU-Nutzer in den Nutzungsbedingungen des Frontends – die betreffenden Seiten waren bei allen Zugriffsversuchen technisch nicht erreichbar (HTTP 403).
• Eine methodische Erklärung für die Differenz zwischen der DefiLlama-TVL (rund 1,29–1,30 Mrd. USD) und der höheren, bei CoinGecko kursierenden TVL-Zahl (rund 1,434 Mrd. USD).

11. Quellen

^[Q1] docs.curve.finance – „Security / Audits". Abgerufen am 22.07.2026. https://docs.curve.finance/user/security/audits

^[Q2] docs.curve.finance – „DAO / Emergency DAO". Abgerufen am 22.07.2026. https://docs.curve.finance/user/dao/emergency-dao

^[Q3] DefiLlama – Hacks-Datensatz (Rohdaten-API). Abgerufen am 22.07.2026. https://api.llama.fi/hacks

^[Q4] DefiLlama – TVL-Datensätze „curve-finance" und „curve-dex". Abgerufen am 22.07.2026. https://api.llama.fi/tvl/curve-finance und https://api.llama.fi/tvl/curve-dex

^[Q5] rekt.news – Leaderboard (Schadenssummen-Ranking). Abgerufen am 22.07.2026. https://rekt.news/leaderboard/

^[Q6] Europäische Kommission – Übersicht laufender Konsultationen zur Kryptowerte-Regulierung. Abgerufen am 22.07.2026. https://finance.ec.europa.eu/regulation-and-supervision/consultations_en

^[Q7] EBA/ESMA – Gemeinsamer Bericht zur Abgrenzung dezentraler Finanzdienstleistungen unter MiCA, 16.01.2025 (Sekundärangabe, im Rahmen dieser Recherche referenziert, nicht in dieser Konsolidierung erneut direkt gefetcht).

^[Q8] Sekundärquellen zur DAO-Abstimmung Dezember 2025 (Förderantrag abgelehnt, 54,46 % Gegenstimmen, 141 Wallets): kucoin.com, thedefiant.io. Nicht primärquellenseitig in dieser Konsolidierung verifiziert.

^[Q9] Sekundärquellen zur Teilliquidation des Curve-Gründers Michael Egorov, Juni 2024 (~100 Mio. USD, ~10 Mio. USD Bad Debt bei LlamaLend). Mehrfach unabhängig, aber nicht primärquellenseitig verifiziert.

^[Q10] Sekundärquellen zum Convex-Anteil an veCRV-Stimmrechten (Bandbreite ca. 47–53 %); curvemonitor.com als eigentliches Analyse-Tool war clientseitig gerendert und in dieser Recherche nicht auslesbar.

^[Q11] Deutsches Steuerrecht: § 23 EStG (private Veräußerungsgeschäfte), § 22 EStG (sonstige Einkünfte), Jahressteuergesetz 2022 (1.000-Euro-Freigrenze), BFH-Urteil IX R 3/22. Allgemeiner, bekannter Gesetzes-/Rechtsprechungsstand, nicht spezifisch für diese Recherche primärquellenseitig neu abgerufen; ein einschlägiges BMF-Schreiben vom 06.03.2025 war technisch nicht im Volltext abrufbar.

^[Q12] Eigene Beobachtung: curve.fi leitet dauerhaft (HTTP 301) auf curve.finance weiter. Geprüft am 22.07.2026.

Hinweis: Diese Akte ist eine unabhängige Prüfung auf Basis öffentlich zugänglicher Quellen und stellt keine Anlage-, Rechts- oder Steuerberatung dar. Mit Kryptowerten und dezentralen Protokollen sind erhebliche Verlustrisiken bis hin zum Totalverlust verbunden.