Eine einzelne Überweisung über nur 5 USDT, die wie ein gewöhnlicher Funktionstest aussieht; etwa eine Stunde später wurden jedoch die elf Wallets in zwei Netzwerken nacheinander komplett geleert. Am 9. August kam es zu einem ungewöhnlichen Abfluss von Coinsbuy-Mitteln, wobei ein Schaden von über 8 Millionen US-Dollar entstand. Wirklich bemerkenswert ist nicht nur die Höhe der Summe, sondern dass der Angreifer gleichzeitig Multi-Chain-Wallets kontrollierte und die Gelder im schnellen Rhythmus aufteilte.
Zuerst zu dem, was sich derzeit verifizieren lässt. CoinDesk und mehrere andere Sicherheitsquellen berichten, dass der Angreifer zunächst auf TRON eine Testtransaktion über 5 USDT initiiert und anschließend aus acht zugehörigen Wallets rund 6,04 Millionen USDT abgezogen hat. Beinahe zeitgleich wurden auf Ethereum drei Wallets mit rund 1,89 Millionen USDT sowie 77 ETH belastet. Ermittler ordneten die beiden Vorgänge anschließend über Zahlungswege durch einen Cross-Chain-Dienst demselben Akteur zu.
Nachdem die Gelder abgezogen worden waren, blieb der Angreifer nicht stehen. On-Chain-Tracking zeigt, dass etwa 79 % der beteiligten Gelder auf Dutzende Einmaladressen verteilt wurden und über sofortige Umtauschdienste flossen; ein Teil der Vermögenswerte wurde weiter in Richtung Privacy-Coins umgewandelt. ChangeNOW soll einen Betrag im sechsstelligen Bereich eingefroren haben, aber der Großteil der Gelder ist bereits in wesentlich komplexere Nachverfolgungspfade eingetreten.
Eine entscheidende Frage bleibt jedoch unbeantwortet: Was war der Angriffseinstieg? Bisher bestätigen öffentlich verfügbare Informationen noch nicht, ob es sich um einen Leck von privaten Schlüsseln, das Versagen von Administrator-Zugangsdaten, das Umgehen eines Signatursystems oder die Kompromittierung interner Infrastruktur handelt. Daher ist es zu früh, den Vorfall direkt als „Schwachstelle in einer Cross-Chain-Brücke“ oder als „Smart-Contract-Angriff“ einzuordnen. Dass beide Ketten gleichzeitig verloren gingen, belegt nur, dass der Angreifer über geräteübergreifende bzw. umgebungsübergreifende Bedienrechte verfügt, nicht aber automatisch, dass die Blockchain selbst ein Problem hat.
Doch durch die Reihenfolge der durchgeführten Schritte wurden mehrere gefährliche Warnsignale freigesetzt.
Erstens: Die 5-USDT-Tests waren sehr wahrscheinlich dazu da, Berechtigungen und die Reaktion des Risikomanagements zu validieren. Nachdem Kleintransaktionen nicht blockiert wurden, begann der Angreifer erst, größere Vermögenswerte konzentriert zu verlagern. Für Custody-Plattformen darf sich das Risikomanagement nicht nur auf den Betrag einer einzelnen Transaktion konzentrieren; es muss auch Kombinationen wie „neue Adresse, Kleinbetrag-Test, gleichzeitige Abgänge über mehrere Wallets“ erkennen.
Zweitens: Möglicherweise gibt es eine gemeinsame Kontrollschicht bei der Verwaltung von Multi-Chain-Vermögenswerten. TRON und Ethereum haben unterschiedliche technische Stacks, doch es kam in zeitlicher Nähe zu Transfers in dieselbe Richtung. Eine plausible Vermutung ist, dass der Angreifer eine einheitliche Signatur-, Schlüsselverwaltungs- oder Betriebsberechtigung oberhalb einzelner On-Chain-Wallets berührt hat; vor der Veröffentlichung forensischer Schlussfolgerungen durch die offiziellen Stellen kann dies jedoch nur als Risikoannahme betrachtet werden.
Drittens: Nach dem Diebstahl wird das Zeitfenster für die Abwicklung/Verwertung immer enger. Sobald die Gelder in Dutzende Adressen aufgeteilt sind und dann über Umtauschdienste und Cross-Chain-Pfade laufen, steigen die Schwierigkeiten bei Einfrieren und Nachverfolgung sehr schnell. Eine wirklich wirksame Abwehr muss vor der Signatur und bei den ersten auffälligen Übertragungen ansetzen, nicht erst danach, wenn die Assets bereits abgezogen sind.
Für normale Nutzer führen solche Ereignisse am ehesten zu zwei Fehlschlüssen: Erstens, weil sie „Multi-Chain-Angriff“ sehen und daraus schließen, dass irgendeine öffentliche Chain unsicher ist; zweitens, weil sie nur darauf achten, ob die Plattform Ein- und Auszahlungen wiederherstellt, aber die Ursachen des Vorfalls, die Art der Schadensübernahme und ob die Reserve-Nachweise transparent sind, ausblenden. Wertvoller ist eine andere Beobachtung: ob die Plattform als Nächstes den Angriffsvektor veröffentlicht, den Umfang der betroffenen Wallets, den Status der Trennung/Isolation von Nutzervermögen und die Entschädigungsregelungen.
Der Angriff wirkt wie ein Stresstest: Vermögenswerte können auf mehrere Chains verteilt werden; aber wenn die Kontrolle über die Berechtigungen an einem einzigen schwachen Punkt gebündelt ist, bedeutet „Multi-Chain“ nicht automatisch „mehrfache Sicherheit“. Welche Information sollte die Plattform deiner Meinung nach am dringendsten zuerst offenlegen: den Angriffseinstieg, den Fortschritt bei der Rückholung der Gelder oder den Nachweis, dass Nutzervermögen isoliert ist?
#链上安全 #交易所安全 #网络攻击 #Risikobildung
Quellen: CoinDesk (10. August 2026); PeckShield und Specter veröffentlichen On-Chain-Tracking-Informationen; ChangeNOW-Ereignisbericht. Verifiziert am 11. August 2026.
Risikohinweis: Dieser Artikel dient nur der Analyse öffentlich verfügbarer Informationen und Sicherheitsmechanismen und stellt keine Anlageberatung dar. Details zum Vorfall können sich im Verlauf der Ermittlungen noch ändern; maßgeblich sind die späteren Bekanntmachungen des Projekts und der Sicherheitsinstitutionen.