Von Mt. Gox über Bitfinex und Bybit bis hin zu Bitget: Die Angriffswege auf Kryptobörsen werden immer ausgefeilter. Nachdem Binance 2019 bereits einmal verwundbar war, steht es nun erneut vor derselben Frage: Wer trägt den Verlust?
Betrachtet man die Kryptobörsen-Hacks der vergangenen gut zehn Jahre auf einer gemeinsamen Zeitleiste, zeigt sich eine deutliche Veränderung:
Die Verluste werden immer größer, doch Angreifer versuchen immer seltener, Cold Wallets direkt zu knacken. Ins Visier geraten meist Hot Wallets, private Schlüssel, Signaturprozesse, interne Geräte und die Verbindungen zwischen einer Börse und Drittanbieterdiensten.
——
Von Hot Wallets zu privaten Schlüsseln: Die ersten Angriffswege
Im Februar 2014 wurde der Verlust von etwa 850.000 Bitcoin bei Mt. Gox gemeldet. Nach damaligem Kurs entsprach das etwa 450 Millionen US-Dollar. Die Vermögenswerte wurden nicht auf einmal abgezogen, sondern gingen über einen längeren Zeitraum hinweg nach und nach verloren. Die mangelnde Kontrolle über Hot Wallets und der unzureichende Schutz privater Schlüssel führten schließlich zum Bankrott der damals größten Bitcoin-Börse.
Im August 2016 wurden bei Bitfinex 119.756 Bitcoin gestohlen, die nach damaligem Kurs etwa 72 Millionen US-Dollar wert waren. Die Angreifer durchbrachen die Multi-Signatur-Verwahrung und den Autorisierungsprozess der Börse und veranlassten nicht autorisierte Überweisungen. Ein Teil der Vermögenswerte wurde später zurückerlangt, doch die Nutzer mussten Verluste hinnehmen und einen langwierigen Entschädigungsprozess durchstehen.
Im Januar 2018 wurden bei der japanischen Börse Coincheck NEM im Wert von etwa 523 Millionen US-Dollar gestohlen. Ein großer Teil der Vermögenswerte lag in internetverbundenen Hot Wallets, und es wurde keine Multi-Signatur verwendet. Nach dem Durchsickern privater Schlüssel wurden die Vermögenswerte auf einmal abgezogen. Coincheck entschädigte die Nutzer schließlich aus Unternehmensmitteln.
Die Gemeinsamkeit in dieser Phase ist klar:
Die Vermögenswerte lagen weiterhin bei der Börse, doch Schlüssel, Wallets und Autorisierungsprozesse waren nicht wirklich voneinander getrennt.
Im Mai 2019 wurde auch Binance Opfer eines groß angelegten Angriffs. Hacker zogen 7.000 Bitcoin aus einem Binance-Hot-Wallet ab, die damals etwa 40 Millionen US-Dollar wert waren. Binance zufolge beschafften sich die Angreifer durch Phishing, Viren und ähnliche Methoden Informationen wie API-Schlüssel und Zwei-Faktor-Authentifizierungsdaten von Nutzern und veranlassten anschließend in großem Umfang Auszahlungen.
Die Verluste aus diesem Vorfall wurden letztlich vom SAFU-Fonds getragen; die Nutzer erlitten keinen direkten Schaden. Nach einer Sicherheitsüberprüfung nahm Binance den Betrieb wieder auf. Damit entstand ein Modell zur Bewältigung von Sicherheitsvorfällen, bei dem die Plattform zahlt und die Nutzer keinen Schaden tragen.
——
Vom Schlüsselklau zum Angriff auf Abläufe
Danach begannen Angreifer, einzelne Wallets zu umgehen und stattdessen die betrieblichen Abläufe und Berechtigungssysteme der Börsen ins Visier zu nehmen.
Im September 2020 wurden die privaten Schlüssel eines KuCoin-Hot-Wallets offengelegt. Der Verlust belief sich auf etwa 280 Millionen US-Dollar. Projekte, Börsen und Sicherheitsfirmen verfolgten die Geldflüsse anschließend gemeinsam. Etwa 84 % der Vermögenswerte wurden zurückgeholt; der Rest wurde durch Versicherungen und Unternehmensmittel gedeckt.
Im Dezember 2021 wurde BitMart Opfer eines Angriffs auf ein Hot Wallet. Der geschätzte Verlust lag bei etwa 150 bis 196 Millionen US-Dollar. Öffentlich zugänglichen Informationen zufolge stand der Vorfall mit dem Durchsickern privater Schlüssel eines Hot Wallets in Verbindung. BitMart versprach anschließend, betroffene Nutzer aus Unternehmensmitteln und über Versicherungen zu entschädigen.
2023 wurden Vermögenswerte im Wert von etwa 70 Millionen US-Dollar von CoinEx abgezogen. Allgemein wurde angenommen, dass private Schlüssel eines Hot Wallets kompromittiert worden waren. Im selben Jahr wurden bei Poloniex Vermögenswerte im Wert von etwa 125 Millionen US-Dollar gestohlen. Die Angreifer transferierten Vermögenswerte über mehrere Blockchains, doch die Plattform legte den endgültigen Angriffsweg nicht vollständig offen.
Die Angriffsmethoden verändern sich:
Von „private Schlüssel erlangen“ → über „Berechtigungen umgehen“ → bis hin zu „Transaktionen fälschen“.
——
Auch Software von Drittanbietern wird zum Einfallstor
Zwei Vorfälle aus dem Jahr 2024 weisen bereits größere Ähnlichkeit mit den heutigen Angriffsmustern auf.
Im Mai wurden bei der japanischen Börse DMM Bitcoin etwa 4.502,9 Bitcoin gestohlen, die nach damaligem Kurs rund 305 Millionen US-Dollar wert waren. Die offizielle Stelle legte die ursprüngliche Angriffsmethode nicht vollständig offen. Später schrieb das FBI den Vorfall der nordkoreanischen Gruppe TraderTraitor zu.
Im Juli wurden bei WazirX Vermögenswerte im Wert von etwa 235 Millionen US-Dollar gestohlen. Der Angreifer soll möglicherweise Unterschiede zwischen der Benutzeroberfläche für Transaktionen eines Multi-Signatur-Wallets und den Signaturdaten ausgenutzt haben, um Beteiligte zur Genehmigung einer bösartigen Transaktion zu verleiten. In der Folge kam es zwischen WazirX und dem Verwahrungsdienstleister Liminal zu einem Streit über die Verantwortlichkeit.
Im Februar 2025 wurden bei Bybit Vermögenswerte im Wert von etwa 1,46 bis 1,5 Milliarden US-Dollar gestohlen. Damit war es der bis dahin größte Diebstahl bei einer Kryptobörse.
Bybit hat eines deutlich gemacht:
Multi-Signatur bedeutet nicht absolute Sicherheit.
Die Angreifer knackten nicht einfach die privaten Schlüssel eines Cold Wallets. Stattdessen nutzten sie Unterschiede zwischen der Transaktionsanzeige und den Transaktionsdaten im Signaturprozess aus, um Unterzeichner zur Genehmigung einer bösartigen Transaktion zu verleiten. Das FBI schrieb den Vorfall später der nordkoreanischen Gruppe TraderTraitor zu.
Das Cold Wallet wurde nicht direkt kompromittiert, dennoch wurde die Transaktion genehmigt. Damit verlagerte sich die Sicherheitsfrage von „Wo werden die Vermögenswerte aufbewahrt?“ hin zu „Wer genehmigt die Transaktion, und was wird dieser Person angezeigt?“.
——
Bitget: Warnsignal vor dem Binance-Vorfall
Am 24. September 2026 um 18:31 UTC veranlassten Angreifer nicht autorisierte Überweisungen aus einigen Hot und Warm Wallets von Bitget. Um 19:05 UTC erkannte Bitgets System zum Abgleich der Vermögenswerte ungewöhnliche Aktivitäten und setzte umgehend die Auszahlungen auf der gesamten Plattform aus.
Bitget schätzte den Verlust zunächst auf etwa 351,6 Millionen US-Dollar. Nachdem Transaktionen auf Blockchains wie Zcash und TRON neu klassifiziert worden waren, wurde der Betrag später auf etwa 387,5 Millionen US-Dollar korrigiert. Auf der offiziellen Seite wurde schließlich ein verifizierter Betrag von etwa 388 Millionen US-Dollar angegeben.
Als Ursache des Angriffs gab Bitget an: Der Angreifer nutzte eine Zero-Day-Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters aus, stahl Zugangsdaten für das interne Netzwerk und fälschte anschließend Auszahlungsanweisungen. So umging er die Risikokontrollen und schrieb direkt Überweisungsbefehle in das Wallet-System.
Cold Wallets waren von diesem Vorfall nicht betroffen, und laut offizieller Stellungnahme wurden auch keine privaten Schlüssel kompromittiert. Die Guthaben der Bitget-Nutzer blieben unangetastet; der Verlust wurde vom Nutzerschutzfonds getragen. Der Auszahlungsservice wurde bis zum 2. Oktober schrittweise wiederhergestellt.
Bitget hinterließ eine klare Botschaft:
Die eigentliche Gefahr liegt möglicherweise nicht im Wallet selbst, sondern in der Software, den Geräten und den Berechtigungen dahinter.
——
Binance: Die Sicherheitsgrenzen werden erneut verschoben
Am frühen Morgen des 30. Oktober 2026 kam es laut einer Rekonstruktion anhand öffentlich zugänglicher On-Chain-Daten zu einer ungewöhnlichen Autorisierung in einem als „Binance 14“ markierten Hot Wallet. Wenige Minuten später wurden mehrere darin befindliche Vermögenswerte in großem Umfang abgezogen. Anschließend wurden mehrere Hot Wallets auf verschiedenen Blockchains wiederholt für Transfers genutzt.
Am Vormittag setzte Binance Ein- und Auszahlungen aus und erklärte, die Nutzergelder seien sicher und das Unternehmen werde sämtliche Verluste tragen.
Binance veröffentlichte erste Untersuchungsergebnisse, denen zufolge möglicherweise der Laptop eines DevOps-Ingenieurs kompromittiert worden war. Der Angreifer verschaffte sich dadurch Zugang zu einem Service-Container und veranlasste nicht autorisierte Auszahlungstransaktionen.
Binance erklärte, bislang gebe es keine Hinweise auf ein Durchsickern privater Wallet-Schlüssel. Bei späteren Untersuchungen wurden jedoch weitere Schwachstellen entdeckt. Der Computer eines Mitarbeiters war daher lediglich ein erster Hinweis und noch nicht die endgültige Ursache.
Was die Höhe betrifft, schätzte Chainalysis den Wert der gestohlenen Vermögenswerte auf etwa 5,9 Milliarden US-Dollar, TRM Labs auf mehr als 6 Milliarden US-Dollar. Die derzeitige offizielle Angabe von Binance lautet:
Die Gesamtauswirkungen dieses Vorfalls belaufen sich auf etwa 6,3 Milliarden US-Dollar.
Binance erklärte, Vermögenswerte im Wert von etwa 3 Milliarden US-Dollar seien eingefroren oder geschützt worden. Außerdem habe das Unternehmen bereits mehr als 6,34 Milliarden US-Dollar an eigenen Mitteln zur Deckung der Folgen des Vorfalls bereitgestellt. Etwa 5 Milliarden US-Dollar davon seien den betroffenen Token zugeordnet worden.
Dabei handelt es sich um eine Rückstellung für Entschädigungen, nicht um einen neuen gestohlenen Betrag. Sie darf auch nicht einfach zu den eingefrorenen 3 Milliarden US-Dollar addiert werden.
CZs Stellungnahme konzentrierte sich im Wesentlichen auf drei Punkte:
Die Nutzergelder sind sicher; allem Anschein nach handelte es sich tatsächlich um einen Hackerangriff.
Bei Binance kam es nicht zu einem Zusammenbruch wie bei FTX, denn dieser Vorfall lässt sich eher als isolierter Sicherheitsvorfall einordnen, dessen Folgen die Unternehmensbilanz auffangen kann.
Die Wiederherstellung der Vermögenswerte hat bereits begonnen. Binance kann die betroffenen Token nach und nach durch Handelsgebühren und Marktgeschäfte wieder auffüllen.
Stand: Abend des 30. Oktober 2026: Vermögenswerte im Wert von etwa 6,3 Milliarden US-Dollar waren betroffen; etwa 3 Milliarden US-Dollar wurden bereits eingefroren oder geschützt. Binance hat mehr als 6,34 Milliarden US-Dollar an eigenen Mitteln zur Deckung der Verluste bereitgestellt. Der endgültige Nettoschaden, die tatsächlich zurückerlangte Summe und der vollständige Angriffsweg sind jedoch noch nicht bestätigt.
Daher lässt sich der Vorfall nicht einfach so interpretieren, als hätte Binance letztlich 6,3 Milliarden US-Dollar verloren.
2019 nutzte Binance den SAFU-Fonds, um einen Verlust von etwa 40 Millionen US-Dollar zu decken. Diesmal wuchs das Ausmaß des Vorfalls auf 6,3 Milliarden US-Dollar an. Auch der Angriffsweg hat sich weiterentwickelt: von Nutzer-APIs und Hot Wallets hin zu internen Geräten, Drittanbietersoftware und Backend-Berechtigungen.
Von Mt. Gox über Bitget bis hin zu Binance: Bei der Sicherheit von Kryptobörsen geht es längst nicht mehr nur um den Unterschied zwischen Cold und Hot Wallets.
Die entscheidende Frage dieses Vorfalls lautet nicht nur, ob Binance die Mittel zur Entschädigung hat.
Wenn die Sicherheitsgrenzen einer Kryptobörse immer wieder durchbrochen werden: Wer trägt letztlich den Verlust – die Plattform oder die Nutzer?