Warum scheitert Krypto-Sicherheit oft an alten Wallets?

Im Juli 2025 verlor CoinDCX bei einem Hack rund 44 Millionen Dollar. Damals klang die Sache wie ein abgeschlossener Angriff auf eine Kryptobörse. Jetzt zeigt sich laut CoinDesk: Ein Teil des Risikos blieb im Betrieb liegen. CoinDCX, Indiens größte Kryptobörse nach Handelsvolumen, hat nach eigenen Angaben 15,99 Millionen Dollar Verlust selbst getragen, weil ein interner Prozess Kundeneinzahlungen nicht aus einer ausgemusterten Wallet entfernte.

Sie werden über Krypto meist zwei Warnungen hören: Der Kurs schwankt stark, und die Regulierung kann zuschlagen. Beides stimmt. Beides greift zu kurz. Der unscheinbarere Bruch entsteht dort, wo alte Adressen weiterleben, Software fremden Servern vertraut und Banken den Zugang begrenzen. Dort merkt der Nutzer das Problem oft erst, wenn Geld fehlt oder ein Transfer scheitert.

Alte Wallets verschwinden nicht, nur weil eine Börse sie abschaltet

Bei CoinDCX begann der neue Ärger laut CoinDesk damit, dass Blockchain-Ermittler rund 16 Millionen Dollar verdächtige Abflüsse aus Wallets meldeten, die mit der Börse in Mumbai verbunden waren. CEO Sumit Gupta nannte die Meldungen auf X zunächst einen Fehlalarm. Die Börse erklärte, die genannten Adressen seien alt, im Januar 2025 erstellt und beim Hack im Juli 2025 kompromittiert worden. Man habe sie nicht mehr genutzt.

Dann kam die unbequeme Betriebsebene. Der On-Chain-Ermittler ZachXBT sagte laut CoinDesk, mindestens eine dieser Adressen mit dem Label TQKJQ sei noch im April und Mai 2026 von einem Liquiditätsanbieter genutzt worden. Ein Liquiditätsanbieter ist ein Handelspartner, der einer Börse Kauf- und Verkaufsvolumen bereitstellt. Die Adresse habe Nutzer-Einzahlungen zur aktuellen öffentlichen Hot Wallet von CoinDCX weitergeleitet. Eine Hot Wallet ist eine online angebundene Wallet für den laufenden Betrieb.

CoinDCX schrieb später in einem Blogbeitrag, die Wallet gehöre zur alten operativen Infrastruktur. Kundenbestände, aktive Wallets und Handelssysteme seien nicht betroffen. Zugleich räumte die Börse ein, sie hätte den Vorfall schneller offenlegen können. Für Nutzer ist diese Mischung heikel: Die Bilanz wird geschützt, aber das Vertrauen wird durch die Zeitlücke beschädigt.

Bei Electrum reichte ein falscher Server im falschen Moment

Der zweite Fall betrifft keine zentrale Börse, sondern eine der älteren Bitcoin-Software-Wallets. Electrum meldete laut CoinDesk eine Schwachstelle, durch die bösartige Server Nutzer zu Zahlungen an Angreifer verleiten konnten. Mindestens ein Diebstahl wurde bestätigt. Der Angriff traf Nutzer, die eine noch nicht bestätigte Bitcoin-Transaktion beschleunigen wollten.

Dabei geht es um Replace-by-Fee. Diese Funktion erlaubt es, eine noch unbestätigte Bitcoin-Transaktion durch eine neue Version mit höherer Gebühr zu ersetzen. Das ist im Alltag nützlich, wenn das Netzwerk langsam ist. Vor der Fehlerbehebung vertraute Electrum laut CoinDesk den externen Servern bei der Anzeige ausstehender Transaktionen, ohne die relevanten Signaturen zu prüfen.

Ein Angreifer mit Kontrolle über einen solchen Server konnte eine Zahlung abfangen, bevor sie im Bitcoin-Netzwerk landete. In der Wallet-Historie erschien dann eine falsche ausstehende Transaktion. Wer glaubte, nur die Gebühr zu erhöhen, konnte am Ende eine Zahlung an den Angreifer unterschreiben. Electrum veröffentlichte am 24. Oktober Version 4.8.3, die Signaturen bei den betroffenen unbestätigten Transaktionen prüft. Ältere Versionen bleiben laut CoinDesk anfällig, wenn sie sich mit bösartigen Servern verbinden.

Der Sicherheitsbruch beginnt oft nach dem Kauf

Produktverkäufer werden solche Fälle gern als Ausnahmen darstellen. Ein Anbieter habe geschlampt, eine Wallet habe einen Bug gehabt, ein Nutzer habe nicht aufgepasst. Diese Lesart ist bequem für alle, die Vertrauen verkaufen. Sie ist aber zu eng.

Krypto-Sicherheit endet nicht beim privaten Schlüssel. Sie umfasst Adressmanagement, Serverauswahl, Software-Updates, interne Kontrollen, Liquiditätsanbieter und Kommunikationswege. Jede dieser Schichten kann sauber wirken und trotzdem eine alte Schwachstelle weitertragen. Das ist für Anleger unangenehm, weil es die Lieblingsfrage verschiebt. Nicht nur „wem gehört der Schlüssel?“ zählt, sondern auch: Welche Systeme helfen mir, ihn richtig zu benutzen?

Hier arbeitet der Rückschaufehler gegen Sie. Nach einem Vorfall wirkt alles offensichtlich. Natürlich hätte eine ausgemusterte Wallet keine Einzahlungen mehr annehmen dürfen. Natürlich hätte eine Wallet ausstehende Transaktionen prüfen müssen. Vorher sehen dieselben Lücken wie Kleinkram aus, vor allem wenn der Markt steigt und die Herde weiterzieht.

Was Beobachter an Krypto-Infrastruktur prüfen können

Der dritte Baustein liegt außerhalb der Wallets. In Großbritannien gingen laut CoinDesk über ein Online-Werkzeug der Gruppe Stand With Crypto innerhalb von 90 Tagen mehr als 10.000 Beschwerden über Bankbeschränkungen bei Kryptotransaktionen ein. Der Zeitraum lag zwischen Mai und August. Die Beschwerden kamen von 9.800 Personen und betrafen Kunden aus allen 650 Wahlkreisen. Lloyds Banking Group erhielt laut der Auswertung die meisten Beschwerden, danach folgten Barclays und NatWest. Die Daten sind freiwillig gemeldet und nicht um Marktanteile bereinigt.

Auch das gehört zur Sicherheitsfrage. Wenn Banken pauschal blockieren, Nutzer auf Umwege treiben oder Regeln unklar halten, entsteht ein anderer Typ Risiko. Katie Harries, europäische Politikchefin von Coinbase, sagte CoinDesk dazu: „A country cannot credibly invite innovators in while allowing banks to lock consumers out.“ Man muss diesen Satz nicht als Branchenwerbung übernehmen, um den Konflikt zu sehen. Zugang, Kontrolle und Verbraucherschutz stoßen aneinander.

Für Beobachter heißt das: Prüfen Sie bei Krypto nicht nur Preis, Gebühren und Marke. Fragen Sie nach der Lebensdauer von Einzahlungsadressen, nach dem Umgang mit kompromittierter Infrastruktur, nach Update-Pfaden, nach Serververtrauen und nach der Geschwindigkeit von Offenlegung. Verlustaversion kann dazu verleiten, schlechte Nachrichten kleinzureden, solange der Kontostand noch stimmt. Herdentrieb kann dazu verleiten, bekannte Namen mit sicheren Prozessen zu verwechseln.

Die neuen Fälle zeigen keinen Zusammenbruch der Krypto-Infrastruktur. Sie zeigen etwas Nüchterneres. Viele Risiken entstehen im Zwischenraum zwischen Technik und Betrieb. Genau dort sind sie schwer zu sehen, leicht zu beschwichtigen und teuer, wenn sie bleiben. Die offene Frage lautet deshalb: Welche alte Adresse, welcher ungeprüfte Server oder welcher manuelle Prozess liegt heute schon bereit, obwohl ihn noch niemand als Risiko zählt?