Hacks & Sicherheitsvorfälle bei Kryptobörsen

Zeitleiste der Vorfälle

1. Binance · Oktober 2026 · ~6,3 Mrd. $

   Am 29. Oktober 2026 entwendeten Angreifer aus Hot Wallets von Binance Kryptowerte im Umfang von rund 6,3 Mrd. US-Dollar – der größte Krypto-Diebstahl, der je verzeichnet wurde. Das FBI ordnete den Angriff der nordkoreanischen Gruppe TraderTraitor zu.

   Lösung: Binance erklärte, die Verluste selbst zu übernehmen, statt sie an die Nutzer weiterzugeben, und hatte bis zum 2. November rund 95 % gedeckt (der Rest entfiel auf weniger liquide Token). Die während des Vorfalls ausgesetzten Auszahlungen wurden ab dem 1. November 2026 schrittweise wieder geöffnet.

   Quelle (abgerufen am 3. Nov. 2026)

2. Coinbase · Oktober 2026

   Ein Sicherheitsvorfall bei Amplitude, einem externen Analyseanbieter, legte die Kontaktdaten einer kleinen Gruppe von Coinbase-Kunden offen; Coinbase machte keine Angaben dazu, wie viele betroffen waren.

   Lösung: Coinbase erklärte, die eigenen Systeme seien nicht kompromittiert worden und Kundengelder nicht betroffen; betroffene Kunden und Aufsichtsbehörden würden benachrichtigt.

   Quelle (abgerufen am 3. Nov. 2026)

3. Coinbase · Mai 2025

   Angreifer bestachen externe Support-Dienstleister im Ausland, um personenbezogene Daten (Namen, Kontaktdaten, Teile der SSN, Ausweisbilder) von rund 70.000 Kunden abzuziehen, und forderten anschließend 20 Mio. US-Dollar Lösegeld.

   Lösung: Coinbase lehnte die Lösegeldforderung ab und setzte ein Kopfgeld von 20 Mio. US-Dollar auf die Angreifer aus; in einer Meldung an die SEC bezifferte das Unternehmen die Kosten für Behebung und Entschädigung auf 180 bis 400 Mio. US-Dollar.

   Quelle (abgerufen am 10. Aug. 2026)

4. Bybit · Februar 2025 · ~1,5 Mrd. $

   Am 21. Februar 2025 stahlen Angreifer, die mit der nordkoreanischen Lazarus Group in Verbindung gebracht werden, rund 1,5 Mrd. US-Dollar in Ethereum aus einer Cold Wallet von Bybit, indem sie die Signierschnittstelle eines Drittanbieters für Multisig-Wallets (Safe UI) kompromittierten – damals der größte Krypto-Exploit, der je verzeichnet wurde, bis zum Diebstahl bei Binance im Oktober 2026.

   Lösung: Bybit räumte den Vorfall öffentlich ein, legte eine Zeitleiste vor und startete ein Recovery-Bounty-Programm, das 10 % der wiedererlangten Gelder als Belohnung bot.

   Quelle (abgerufen am 10. Aug. 2026)

5. KuCoin · Januar 2025 · ~297 Mio. $

   Schuldbekenntnis zur Anklage des US-Justizministeriums (DOJ), ein nicht lizenziertes Geldübermittlungsunternehmen betrieben zu haben; rund 297 Mio. US-Dollar an strafrechtlicher Einziehung und Geldstrafen.

   Lösung: Zustimmung zum Rückzug aus dem US-Markt für mindestens zwei Jahre; die Gründer Chun Gan und Ke Tang wurden aus dem Management entfernt.

   Quelle (abgerufen am 10. Aug. 2026)

6. Kraken · Juni 2024 · ~3,0 Mio. $

   Mit CertiK verbundene Sicherheitsforscher nutzten einen Fehler aus, der Guthaben künstlich aufblähte und über Krakens Bug-Bounty-Programm gemeldet worden war, und hoben knapp 3 Mio. US-Dollar aus dem Treasury von Kraken ab; anschließend verlangten sie eine Belohnung, bevor sie die Gelder zurückgaben.

   Lösung: Kraken schloss die Schwachstelle etwa eine Stunde nach der Meldung; CertiK gab die Gelder anschließend (abzüglich der Transaktionsgebühren) zurück. Die Gelder stammten aus dem Treasury von Kraken, nicht aus Kundenwallets.

   Quelle (abgerufen am 10. Aug. 2026)

7. Gemini · November 2022 · ~1,1 Mrd. $

   Auszahlungen bei Gemini Earn wurden am 16. November 2022 gestoppt, als der Kreditpartner Genesis Global Capital Rückzahlungen einfror (rund 1,1 Mrd. US-Dollar an Earn-Nutzer geschuldet); kein Hack der Börse von Gemini.

   Lösung: Gemini kündigte (Februar 2024) eine Einigung an, mit der 100 % der digitalen Vermögenswerte der Earn-Nutzer in natura zurückgegeben werden; bis Mitte 2024 wurden Kryptowerte im Wert von über 2 Mrd. US-Dollar an rund 232.000 Nutzer ausgeschüttet.

   Quelle (abgerufen am 10. Aug. 2026)

8. Crypto.com · Januar 2022 · ~35,0 Mio. $

   Angreifer umgingen die 2FA und nahmen unautorisierte Auszahlungen von rund 4.836 ETH und rund 444 BTC (rund 35 Mio. US-Dollar) von 483 Nutzerkonten vor.

   Lösung: Crypto.com erklärte, alle betroffenen Nutzer seien entschädigt worden; das Unternehmen widerrief alle 2FA-Token, erzwang eine erneute Anmeldung bzw. Neueinrichtung der 2FA und verstärkte die Sicherheitsmaßnahmen.

   Quelle (abgerufen am 10. Aug. 2026)

9. KuCoin · September 2020 · ~281 Mio. $

   Die privaten Schlüssel von Hot Wallets wurden kompromittiert; Kryptowerte im Umfang von rund 281 Mio. US-Dollar wurden abgezogen, was der nordkoreanischen Lazarus Group zugeschrieben wird.

   Lösung: KuCoin erklärte, die gestohlenen Vermögenswerte seien wiedererlangt oder durch Versicherungen gedeckt worden; Ein- und Auszahlungen waren für alle Token bis November 2020 wieder möglich.

   Quelle (abgerufen am 10. Aug. 2026)

10. Binance · Mai 2019 · ~40,7 Mio. $

    Hacker entnahmen in einer einzigen Transaktion 7.000 BTC (rund 40,7 Mio. US-Dollar) aus einer Hot Wallet von Binance, nachdem sie per Phishing und mit weiteren Angriffen an API-Schlüssel und 2FA-Codes von Nutzern gelangt waren.

    Lösung: Binance deckte den Verlust vollständig aus dem SAFU-Notfallfonds ab; Nutzergelder waren nicht betroffen. Die Auszahlungen wurden während einer Überarbeitung der Sicherheitsmaßnahmen etwa eine Woche lang ausgesetzt.

    Quelle (abgerufen am 10. Aug. 2026)

11. Bitstamp · Januar 2015 · ~5,3 Mio. $

    18.866 BTC (rund 5,26 Mio. US-Dollar) wurden aus der Hot Wallet gestohlen, nachdem eine wochenlange Phishing-Kampagne den Rechner eines Systemadministrators und die Datei wallet.dat kompromittiert hatte.

    Lösung: Der Cold Storage war nicht betroffen; Bitstamp baute seine Plattform aus sicheren Backups neu auf, beauftragte Stroz Friedberg mit der Forensik und stellte auf Multisignatur-Wallets mit Cold Storage um.

    Quelle (abgerufen am 10. Aug. 2026)

Keine großen Vorfälle erfasst

Unsere belegten Aufzeichnungen verzeichnen keinen größeren Sicherheitsvorfall bei Bitvavo, Gate, MEXC und OKX.

Dass kein Vorfall verzeichnet ist, ist keine Garantie – wir erfassen nur Vorfälle, die wir belegen können.

Häufig gestellte Fragen