• Hacker schleusten im Februar 2025 Code in Safe{Wallet} ein, um Bybit fast 1,5 Milliarden US-Dollar zu stehlen.

• Das FBI machte Nordkorea für den Diebstahl bei Bybit verantwortlich.

• Binance verlor am 29. Oktober rund 6,3 Milliarden US-Dollar. Die Ursache war ein kompromittierter Laptop eines Ingenieurs.

Eine Signatur-App, 1,5 Milliarden US-Dollar

Im Februar 2025 verließen fast 1,5 Milliarden US-Dollar die Kryptobörse Bybit – und die Tür, durch die die Angreifer eindrangen, gehörte nicht Bybit. Sie schleusten Code in Safe{Wallet} ein, eine externe Signaturanwendung, die die Börse in ihren Transferprozess integriert hatte. Eine solche Anordnung ist bei Desks üblich, die Multisignatur-Transaktionen über eine spezielle Schnittstelle signieren. Mitarbeiter, die eine Transaktion überprüften, sahen auf dem Bildschirm ein Ziel, während die von ihnen erstellte Signatur ein anderes autorisierte. Das FBI machte Nordkorea für die Operation verantwortlich. Bybits Kunden waren über eine Infrastruktur gefährdet, mit der sie selbst nie in Berührung kamen. Kein privater Schlüssel wurde gestohlen. Die Diebe gelangten nie an die Master-Zugangsdaten, die die Wallets kontrollierten; sie brachten stattdessen die eigenen Freigabesysteme der Börse dazu, Gelder freizugeben. Die Kompromittierung lag auf Anwendungsebene, eine Stufe über der Kryptografie selbst. Multisignatur-Verfahren sollen sicherstellen, dass mehr als eine Freigabe nötig ist, bevor Geld bewegt wird. Der eingeschleuste Code umging diese Kontrolle, indem er manipulierte, was die Freigebenden zu sehen bekamen. Die 1,5 Milliarden US-Dollar, die die Plattform verließen, flossen durch diesen einzigen kompromittierten Prozess. On-Chain-Daten und Unternehmensangaben beziffern den Gesamtschaden bei Binance, Bybit und Bitget über einen Zeitraum von 20 Monaten auf mehr als 8 Milliarden US-Dollar. Jeder dieser Raubzüge erfolgte über den Freigabeschritt und nicht über die Schlüssel. Safe{Wallet} ist die Signaturschnittstelle des Safe-Protokolls, dessen Wallets branchenweit weit verbreitet sind. Deshalb kommt der Vorfall bei jedem neuen Sicherheitsverstoß wieder zur Sprache. Der Safe-Kurs liegt in den vergangenen 24 Stunden 3,3 % im Minus, während sich dieses Muster wiederholt. Für ein Protokoll, dessen Produkt das Vertrauen in den Signaturprozess ist, stellt ein Vorfall, bei dem Unterzeichner Transfers freigaben, die sie nie ausgewählt hatten, genau das Versagen dar, das die Marke verhindern soll.

Drei Hacks, keine gestohlenen Schlüssel

Am Donnerstag, dem 29. Oktober, traf es Binance: Die Börse verlor rund 6,3 Milliarden US-Dollar. Co-CEO Richard Teng sagte, der Angriff habe mit dem kompromittierten Laptop eines Ingenieurs begonnen. Bei der internen Untersuchung habe das Unternehmen keine Hinweise auf einen Schlüsselabfluss gefunden. „Der Angreifer nutzte nicht einfach die Berechtigungen eines einzelnen Ingenieurs, und es handelte sich auch nicht um eine einzige Aktion mit nur einem Klick“, sagte Teng in seiner offiziellen Darstellung des Sicherheitsvorfalls. Bitget verlor im September rund 387,5 Millionen US-Dollar. Der Angriff erfolgte über Schwachstellen in externen Sicherheitsprodukten, woraufhin gefälschte Auszahlungsaufträge den regulären Signaturprozess durchliefen. Coinbase, das keinen vergleichbaren Diebstahl offengelegt hat, ist das Gegenbeispiel, das der Markt nun unter die Lupe nimmt. Das Verwahrungsmodell des Unternehmens nutzt Mehrparteienberechnungen (MPC), bei denen jeder Schlüssel in Teile zerlegt wird, die auf getrennten Rechnern gespeichert sind. Coinbase zufolge entwickelt das Unternehmen zudem sämtliche sicherheitskritische Software selbst. Sowohl die Angriffe auf Bitget als auch auf Bybit erfolgten über Drittanbieter. Greg Tusar, Co-CEO von Coinbase Institutional, beschrieb den Ansatz in einem Blogbeitrag des Unternehmens: „MPC stellt sicher, dass vollständige private Schlüssel weder im Ruhezustand noch während des Signierens oder bei der Verwendung auf einem einzelnen Rechner gespeichert werden.“ On-Chain-Daten zeigen, dass Coinbase-Wallets rund 959.000 BTC über 69,8 Millionen Adressen halten – ein Bestand im Wert von 74,7 Milliarden US-Dollar. Der Forscher Zeeme argumentiert in einem Thread auf X, dass dieser Aufbau alle drei Angriffswege blockiere, da ein gestohlener Laptop nur ein nutzloses Schlüsselfragment liefere. Chief Technology Officer Rob Witoff sagte, die Börse „beobachte die Preisvolatilität und verfolge gestohlene Gelder on-chain“. Chief Security Officer Jeff Lunglhofer sagte, Coinbase blockiere Überweisungen an kompromittierte Binance-Wallets und habe vorsichtshalber seine Cold-Storage-Bestände angepasst. Kunden, die ihre Gelder lieber von der Plattform abziehen möchten, können unserer Anleitung folgen, wie man bei Coinbase Geld auszahlt. Das Unternehmen ist nicht frei von Sicherheitsvorfällen: 2025 bestachen Kriminelle Support-Mitarbeiter im Ausland, damit sie Kundendaten preisgaben, die im Rahmen des KYC-Prozesses erhoben worden waren. Coinbase bezifferte den Schaden auf 180 bis 400 Millionen US-Dollar, erklärte jedoch, dass auf die Gelder niemals zugegriffen werden konnte. Der Forscher Marc Baumann schätzte im April, dass Coinbase 84 % der Vermögenswerte in US-amerikanischen Bitcoin-Spot-ETFs verwahrt – rund 77 Milliarden US-Dollar bei einem einzigen Verwahrer.

Signaturrisiken jenseits der Börsen

Allen drei Diebstählen liegt derselbe Designfehler zugrunde – und es geht dabei nicht um Kryptografie: Jeder Angriff richtete sich gegen den Freigabeschritt, bei dem ein Mensch eine Transaktion signiert. Genau davor sollen die Schlüsselaufteilung und die interne Entwicklung bei Coinbase schützen. Bei SAFE fällt die Bewertung schwieriger aus: Beim Diebstahl bei Bybit war die Signaturschnittstelle des Protokolls der Angriffsvektor, und der Markt bewertet den Token wegen dieser Verbindung neu – ebenso wie aufgrund seiner Tokenomics. Auf unserer Seite zur technischen Analyse von SAFE verfolgen wir, wie der Token auf jede neue Sicherheitsmeldung reagiert. Hardware-Wallets werfen ähnliche Fragen zur Lieferkette auf, wie der seit März 2026 bekannte Bericht über ein Implantat in Safe-5-Geräten von CryptoBilis zeigt. Da 84 % der Vermögenswerte in US-amerikanischen Bitcoin-Spot-ETFs bei einem einzigen Verwahrer liegen, schützt derselbe Freigabeschritt nun auch die Gelder der Wall Street. Die Verluste tragen die Börsen und ihre Nutzer. Coinbase gibt an, gestohlene Gelder on-chain zu verfolgen; die bisherigen Erkenntnisse zeigen jedoch keinen Weg, das Abgeflossene zurückzuholen.