Krypto-Börsenplattformen sind im Allgemeinen stärker abgesichert als die eigenen Geräte und Konten eines einzelnen Wallet-Inhabers, weshalb die meisten Börsenkonto-Kompromittierungen genau nicht damit beginnen, dass die Systeme der Börse selbst durchbrochen werden. Sie beginnen irgendwo vorgelagert – einer Phishing-E-Mail, einem SIM-Swap, einem wiederverwendeten, in einem unabhängigen Datenleck offengelegten Passwort oder einer gefälschten Support-Interaktion –, und das Börsenkonto ist schlicht das Wertvollste, wohin dieser vorgelagerte Zugriff letztlich führt.
Krypto-bezogene Hacks und Betrügereien stahlen 2025 schätzungsweise 2,1 Milliarden Dollar, und während die Schlagzeilenberichterstattung sich tendenziell auf großangelegte Plattform-Sicherheitsverletzungen konzentriert, lässt sich ein erheblicher Anteil individueller Verluste bei Börsen auf diese Art der Konto-Übernahme zurückführen statt auf einen Fehler in der Kerninfrastruktur der Börse.
Die typische Abfolge hinter einer Konto-Übernahme
Offenlegung von Zugangsdaten
Viele Konto-Übernahmen beginnen mit einem Anmeldedatensatz, der ganz woanders offengelegt wurde, oft Jahre zuvor, bei einem Datenleck einer völlig unabhängigen Website. Da die Wiederverwendung von Passwörtern weit verbreitet bleibt, testen Angreifer routinemäßig offengelegte E-Mail- und Passwort-Kombinationen gegen Börsen-Login-Seiten – eine Technik, die als Credential Stuffing bekannt ist –, in der Hoffnung, Konten zu finden, bei denen dasselbe Passwort nie geändert wurde.
Gezielt auf Börsen-Zugangsdaten ausgerichtetes Phishing
Ein gezielterer Weg umfasst eine Phishing-Nachricht oder gefälschte Website, die der Login-Seite, Login-Warnung oder Verifizierungsanfrage einer bestimmten Börse eng nachempfunden ist. Da diese Nachrichten häufig auf echte Kontoaktivität verweisen oder dringlich klingende Sicherheitssprache verwenden, können sie selbst erfahrene Nutzer davon überzeugen, Zugangsdaten oder einen Einmalcode direkt in die Seite des Angreifers einzugeben.
SIM-Swapping zur Umgehung der Verifizierung
Verlässt sich ein Börsenkonto auf SMS-basierte Verifizierung, kann ein SIM-Swap diesen Schutz vollständig umgehen, indem er die Telefonnummer des Opfers auf ein vom Angreifer kontrolliertes Gerät umleitet. Dieser spezifische Mechanismus und wie man ihn im Gange erkennt, wird ausführlich in unserem Leitfaden zu SIM-Swap-Angriffen behandelt, da die beiden Themen in der Praxis eng miteinander verknüpft sind.
Kompromittierung durch Insider und Support-Kanäle
Ein weniger häufiger, aber gut dokumentierter Weg umfasst einen kompromittierten oder bestochenen Kundensupport-Mitarbeiter der Börse oder eines verbundenen Dienstleisters, der auf Kontodetails zugreift oder Änderungen genehmigt, die eigentlich eine stärkere Verifizierung erfordert hätten. Vorfälle mit bestochenem Support-Personal bei großen Plattformen haben Kundendaten in großem Umfang offengelegt und in der Folge überzeugendere, personalisierte Identitätsimitationsversuche gegen die betroffenen Nutzer ermöglicht.
Die meisten Börsenkonto-Kompromittierungen werden nicht durch eine Schwäche in den Kernsystemen der Börse verursacht. Sie entstehen dadurch, dass ein Angreifer die Kontrolle über etwas vorgelagertes zum Konto erlangt, am häufigsten ein E-Mail-Postfach oder eine Telefonnummer.
Ein realistisches Szenario: von einer Phishing-E-Mail zu einem geleerten Börsenkonto
- Ein Opfer erhält eine E-Mail, die exakt wie eine echte Sicherheitswarnung seiner Börse formatiert ist, vor einem verdächtigen Anmeldeversuch warnt und einen Link bereitstellt, um das Konto sofort zu sichern.
- Der Link führt zu einer geklonten Login-Seite, optisch identisch mit der echten Börse, auf der das Opfer seine E-Mail-Adresse und sein Passwort eingibt, die sofort vom Angreifer erfasst werden.
- Die geklonte Seite fordert außerdem einen einmaligen Authentifizierungscode an, den der Angreifer in Echtzeit an die echte Login-Seite der Börse weiterleitet und damit die Anmeldung beim tatsächlichen Konto innerhalb derselben Minute abschließt.
- Nach der Anmeldung ändert der Angreifer die Positivliste der Auszahlungsadressen des Kontos oder deaktiviert sie vollständig, sofern die Börse diese Änderung ohne zusätzliche Verzögerung zulässt, und veranlasst anschließend eine Auszahlung an ein von ihm kontrolliertes Wallet.
- Das Opfer erhält kurz darauf eine legitime Auszahlungsbestätigungs-E-Mail der echten Börse – häufig der erste Hinweis darauf, dass etwas nicht stimmt –, zu einem Zeitpunkt, an dem die Gelder die Plattform in der Regel bereits verlassen haben.
Diese Art von Echtzeit-Relay-Angriff, bei dem eine gefälschte Seite gestohlene Zugangsdaten und Codes innerhalb derselben Sitzung direkt an den echten Dienst weiterleitet, hebelt die standardmäßige Zwei-Faktor-Authentifizierung vollständig aus, da der Einmalcode echt ist und innerhalb seines normalen Gültigkeitsfensters verwendet wird. Dies ist einer der Gründe, warum Hardware-Sicherheitsschlüssel, die einen Authentifizierungsversuch kryptografisch an die exakte Domain der echten Seite binden, deutlich stärkeren Schutz bieten als ein Einmalcode jeglicher Art.
Wie Börsen entscheiden, ob Gelder eingefroren werden
Meldet ein Opfer eine Kompromittierung schnell genug, prüfen die Betrugs- und Compliance-Teams einer Börse in der Regel mehrere Faktoren, bevor entschieden wird, welche Maßnahme möglich ist. Befinden sich die gestohlenen Gelder noch in einem Wallet, das die Börse selbst kontrolliert, ist eine interne Sperre unkompliziert und kann oft sofort innerhalb der eigenen Systeme der Börse angewendet werden. Sind die Gelder bereits auf eine andere Plattform verschoben worden, kann die Börse lediglich um Kooperation von dieser empfangenden Plattform bitten, was von einer bestehenden Beziehung oder einem formellen Kanal der Strafverfolgungsbehörden abhängt, und es gibt keine Garantie, dass die empfangende Plattform handelt, bevor die Gelder erneut abgehoben werden. Börsen frieren ein Konto im Allgemeinen nicht allein aufgrund einer unverifizierten Meldung ein, da eine falsche Behauptung selbst dazu genutzt werden könnte, einen legitimen Kontoinhaber zu behindern, weshalb selbst bei einer Notfall-Einfrierungsanfrage in der Regel eine gewisse Identitätsverifizierung erforderlich ist. Dieser Verifizierungsschritt, so frustrierend er für ein Opfer, das sofortiges Handeln wünscht, mitunter sein mag, existiert gezielt, um zu verhindern, dass der Einfrierungsprozess selbst zu einem neuen Angriffsvektor wird. Mehr darüber, wie sich diese Art der Kooperation zwischen Plattformen entwickelt hat, erfahren Sie in unserem Leitfaden zu Trends bei der Börsen-Kooperation.
Börsenkonto-Kompromittierung im Vergleich zu einem Self-Custody-Wallet-Hack
Ein Self-Custody-Wallet-Hack und eine Börsenkonto-Kompromittierung teilen viele derselben vorgelagerten Ursachen, darunter Phishing, Schadsoftware und SIM-Swapping, doch die beiden Situationen unterscheiden sich stark, sobald der Diebstahl geschehen ist. Ein Self-Custody-Wallet hat keinen Vermittler, an den man sich wenden könnte. Sobald eine Transaktion signiert und bestätigt ist, steht kein Unternehmen, keine Support-Hotline und kein Konto-Einfrierungsmechanismus zwischen dem Opfer und dem Verlust. Ein Börsenkonto hingegen umfasst einen regulierten Vermittler, der die tatsächlichen Vermögenswerte bis zur Auszahlung im Namen des Nutzers hält, was bedeutet, dass zumindest ein wenn auch schmales Zeitfenster besteht, in dem menschliches oder automatisiertes Eingreifen auf Börsenebene den Verlust noch verhindern oder begrenzen kann. Dies ist einer der wenigen praktischen Vorteile von Custodial-Börsenkonten gegenüber Self-Custody aus rein sicherheitstechnischer Sicht, ausgeglichen durch die Tatsache, dass ein Börsenkonto vollständig davon abhängt, der eigenen Sicherheit und den internen Kontrollen dieses Vermittlers zu vertrauen.
Was eine Börse typischerweise tut, sobald sie benachrichtigt wird
Seriöse Börsen bieten im Allgemeinen speziell für diese Situation eine Notfall-Kontosperre oder Einfrierungsfunktion an, die Auszahlungen stoppt, während der Kontoinhaber die Kontrolle durch Identitätsverifizierung zurückerlangt. Nach der Meldung einer Kompromittierung überprüfen Börsen typischerweise die jüngste Anmelde- und Auszahlungsaktivität des Kontos, können ausgehende Übertragungen an gekennzeichnete Adressen vorübergehend einfrieren und in manchen Fällen mit empfangenden Börsen zusammenarbeiten, um Gelder zu kennzeichnen oder einzufrieren, die noch nicht abgehoben oder umgetauscht wurden, insbesondere bei schneller Meldung.
Diese Kooperation ist weder automatisch noch garantiert und hängt stark von der Geschwindigkeit ab. Je länger Gelder in einem gekennzeichneten Konto verbleiben, bevor sie weiterbewegt werden, desto wahrscheinlicher wird ein Eingreifen möglich, weshalb eine sofortige Meldung an die Börse, statt zunächst selbstständig eine Lösung zu versuchen, tendenziell bessere Ergebnisse erzielt.
Sofortmaßnahmen bei einer Kompromittierung Ihres Kontos
- Kontaktieren Sie sofort den offiziellen Support-Kanal der Börse über deren verifizierte Website oder App, und beantragen Sie eine Notfall-Kontosperre oder Einfrierung.
- Ändern Sie Ihr E-Mail-Passwort von einem separaten, vertrauenswürdigen Gerät aus, da ein kompromittiertes E-Mail-Konto häufig der ursprüngliche Zugangspunkt hinter einer Börsenkonto-Übernahme ist.
- Überprüfen und widerrufen Sie jeden mit dem Konto verbundenen API-Schlüssel, da ein gestohlener API-Schlüssel automatisierte Auszahlungen ermöglichen kann, ohne dass überhaupt weiterer Anmeldezugriff erforderlich ist.
- Dokumentieren Sie jede nicht autorisierte Transaktion einschließlich Zieladressen, Transaktionskennungen und Zeitstempeln, was die Grundlage sowohl für eine Ermittlung der Börse als auch für eine formelle Meldung bildet.
- Erstatten Sie zusätzlich zur eigenen Ermittlung der Börse eine Meldung bei Ihrer nationalen Cyberkriminalitäts-Meldestelle, etwa dem IC3 des FBI in den Vereinigten Staaten.
Sobald der Zugriff wiedererlangt ist, verdienen einige spezifische Kontoeinstellungen eine direkte Überprüfung, da ein Angreifer mit ausreichendem Zugriff mitunter einen leiseren, dauerhafteren Fußhalt hinterlässt, statt sich allein auf den ursprünglichen Login zu verlassen.
- Bestätigen Sie, dass die registrierte E-Mail-Adresse und Telefonnummer des Kontos nicht unbemerkt zu vom Angreifer kontrollierten geändert wurden, was ihm auch nach einer Passwort-Rücksetzung erneuten Zugriff ermöglichen würde.
- Überprüfen Sie die Positivliste der Auszahlungsadressen, sofern die Börse eine anbietet, und entfernen Sie jede nicht erkannte Adresse, bevor Sie Auszahlungen wieder aktivieren.
- Prüfen Sie auf neu erstellte API-Schlüssel, Unterkonten oder verknüpfte Zahlungsmethoden, da ein Angreifer mit ausreichendem Zugriff mitunter einen dauerhaften Zugangspunkt schafft, statt sich allein auf den ursprünglichen Login zu verlassen.
- Überprüfen Sie die aktuellen Kontoaktivitätsprotokolle auf Anmeldeorte und Geräte, die nicht Ihrem eigenen Verlauf entsprechen, und melden Sie sich auf jedem Gerät von allen aktiven Sitzungen ab.
Haben Gelder ein Börsenkonto vollständig verlassen, verlagert sich der weitere Weg typischerweise hin zur Blockchain-Rückverfolgung, um zu identifizieren, wohin die Gelder geflossen sind und ob sie eine andere regulierte Börse durchlaufen haben, bei der eine Einfrierungsanfrage noch greifen könnte. Firmen, die sich auf diese Art der Ermittlung spezialisiert haben, darunter Coin Trace, arbeiten direkt mit diesen Beweisen, um eine dokumentierte Darstellung des Geldflusses zu erstellen, die sowohl eine Meldung an die Strafverfolgungsbehörden als auch, sofern ein realistischer Weg besteht, einen Wiederbeschaffungsversuch unterstützen kann, wobei kein Ergebnis im Voraus garantiert werden kann.
Häufig gestellte Fragen
Nicht zuverlässig. Bei einem Relay-Angriff leitet eine gefälschte Login-Seite einen gestohlenen Einmalcode innerhalb seines normalen Gültigkeitsfensters an die echte Börse weiter und schließt damit eine echte Anmeldung ab. Ein Hardware-Sicherheitsschlüssel, der kryptografisch die exakte Domain verifiziert, bei der man sich anmeldet, bietet gegen diese spezifische Technik weitaus stärkeren Schutz als ein per SMS oder Authenticator-App zugestellter Einmalcode.
Keine Börse kann eine Blockchain-Transaktion rückgängig machen, sobald sie on-chain bestätigt wurde. Was eine Börse manchmal tun kann, ist, Gelder einzufrieren, die ein empfangendes Konto noch nicht verlassen haben, weshalb die Geschwindigkeit bei der Meldung der Kompromittierung erheblich wichtig ist.
Sie verringert das Risiko erheblich, bietet jedoch keinen absoluten Schutz, insbesondere wenn sie auf SMS-Codes basiert, die durch einen SIM-Swap abgefangen werden können. Eine Authenticator-App oder ein Hardware-Sicherheitsschlüssel bietet deutlich stärkeren Schutz als SMS-basierte Verifizierung.
Das ist eine persönliche Entscheidung, doch wenn Sie das Konto weiter nutzen, stellen Sie zunächst sicher, dass Passwort, E-Mail und alle verbundenen API-Schlüssel und Authentifizierungsmethoden vollständig ersetzt wurden, da jedes davon auch nach der Behebung des unmittelbaren Vorfalls noch kompromittiert sein könnte.
Ermittler folgen der Blockchain-Aufzeichnung jeder nachfolgenden Übertragung, achten auf Muster, die auf gezielte Verschleierung hindeuten, und identifizieren Punkte, an denen die Gelder mit einem regulierten Dienst interagieren, der kontaktiert werden kann, um das betreffende Konto zu kennzeichnen oder einzufrieren.
Quellen und weiterführende Informationen
- 2026 Crypto Crime Report: Scams · Chainalysis
- 2024 WazirX hack · Wikipedia
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public · FBI Internet Crime Complaint Center (IC3)