Was tun, wenn Ihre Krypto-Exchange gehackt wird: sofortige Maßnahmen, Schadensbegrenzung und Wiederherstellungsoptionen

Was wirklich passiert, wenn eine Krypto-Exchange gehackt wird

Es gibt zwei grundlegend unterschiedliche Szenarien. Das erste ist ein Einbruch in die eigene Infrastruktur der Exchange: ihre Hot Wallets, Cold-Wallet-Signiersysteme oder Abhängigkeiten von Drittanbietern. Das zweite ist ein Angreifer, der sich Zugang zu einem bestimmten Kundenkonto verschafft, typischerweise durch Phishing, SIM-Swapping oder Credential-Stuffing.

Bei einem Hack auf Infrastrukturebene – wie beim Bybit-Angriff im Februar 2025 – werden die eigenen Signiersysteme der Exchange kompromittiert und die gebündelte Hot Wallet oder der Multi-Signatur-Vertrag wird geleert. Jeder Kunde mit Vermögenswerten auf dieser Exchange wird zum Opfer. Die 1,5 Milliarden US-Dollar, die in einer einzigen Transaktion von Bybit gestohlen wurden, repräsentierten laut Chainalysis-Forschung 44 % aller im Jahr 2025 branchenweit gestohlenen Kryptowährungen.

Bei einem Kompromittierung auf Kontoebene zielt der Angreifer speziell auf Sie ab. Ihre Anmeldedaten, 2FA-Codes oder Sitzungs-Tokens werden gestohlen, und von Ihrem Konto werden Abhebungen vorgenommen.

Der Bybit-Angriff vom 21. Februar 2025 veranschaulicht die Raffinesse, die moderne Exchange-Hacker einsetzen. Die Lazarus-Gruppe, die für Nordkorea unter dem vom FBI bezeichneten Kampagnennamen TraderTraitor operiert, kompromittierte Safe{Wallet}, die beliebte Multi-Signatur-Wallet-Oberfläche, die Bybit zur Verwaltung seines Cold-Storage verwendete. Die Angreifer veranlassten Bybits Unterzeichner, Transaktionen zu genehmigen, die die Kontrolle über rund 1,5 Milliarden US-Dollar in ETH auf angreifergesteuerte Adressen übertrugen. Das FBI schrieb den Angriff im März 2025 formell Nordkorea zu.

Die forensische Analyse von TRM Labs zeigte, dass die Gelder sofort auf Hunderte von Wallets verteilt und über Bridges, Mixer und dezentrale Exchanges verschoben wurden. Die Geldwäscheoperation verwendete Tranchen unter 500.000 US-Dollar, um automatisierte Warnungen zu vermeiden.

Zentralisierte Exchanges halten Kundenvermögen in einem verwahrerischen Modell: Die Exchange kontrolliert die privaten Schlüssel, und Sie halten einen Anspruch auf diese Vermögenswerte. Der für die Liquidität in Hot Wallets gehaltene Anteil ist die primäre Angriffsfläche. Selbst Cold Storage ist nicht immun, wenn die Signiersoftware oder -hardware kompromittiert wird.

Die Geldwäsche nach einem Hack folgt vorhersehbaren Mustern. Innerhalb von Stunden werden gestohlene Gelder auf Dutzende bis Hunderte von Wallets aufgeteilt. In den folgenden 24–72 Stunden werden die Gelder durch Mixer, Cross-Chain-Bridges und OTC-Broker bewegt. Zwischen Tag 3 und 7 beginnt die Umwandlung in Fiat oder stabile Assets. Dieser Zeitrahmen definiert Ihr Reaktionsfenster.

Sofortige Maßnahmen in den ersten 24 Stunden

Schritt 1: Stoppen Sie alle Aktivitäten und machen Sie sich einen Überblick. Schließen Sie alle Exchange-Tabs, stoppen Sie ausstehende Orders und machen Sie sich ein Bild davon, welche Vermögenswerte Sie haben und was fehlt.

Schritt 2: Ziehen Sie zugängliche Vermögenswerte sofort auf eine Hardware-Wallet (Ledger, Trezor) ab, die Sie kontrollieren. Wenn Abhebungen gesperrt sind, notieren Sie den genauen Zeitstempel Ihres fehlgeschlagenen Abhebungsversuchs.

Schritt 3: Sichern Sie Ihr Konto von einem sauberen Gerät aus. Ändern Sie Ihr Passwort. Aktivieren Sie hardware-basierte 2FA (YubiKey). Aktivieren Sie die Whitelist für Abhebungsadressen. Prüfen Sie, ob Ihre E-Mail kompromittiert wurde.

Schritt 4: Widerrufen Sie Token-Genehmigungen von verbundenen Wallets über Revoke.cash, den Token-Genehmigungen-Tab von Etherscan oder das entsprechende Blockchain-Äquivalent.

Schritt 5: Machen Sie umfassende Screenshots, bevor etwas verschwindet: Kontostand, vollständige Transaktionshistorie (TXIDs), Vorfallsbenachrichtigungen, Warnungen über nicht autorisierte Transaktionen.

Schritt 6: Kontaktieren Sie den Exchange-Support und erstellen Sie ein formales Ticket mit allen Details zu nicht autorisierten Transaktionen. Fordern Sie eine schriftliche Bestätigung an.

Schritt 7: Erstatten Sie innerhalb der ersten 24 Stunden Anzeige beim FBI IC3 (ic3.gov). Das FBI IC3 meldete im Jahr 2025 Verluste von über 11 Milliarden US-Dollar durch kryptowährungsbezogene Vorfälle und mehr als 180.000 Einzelbeschwerden. Wenn Sie über 60 Jahre alt sind, kontaktieren Sie auch die National Elder Fraud Hotline unter 1-833-372-8311.

Wie Sie forensische Beweise für die Wiederherstellung und rechtliche Schritte sichern

Die Beweissicherung ist der Schritt, den die meisten Opfer überspringen. Der FATF-Leitfaden zur Vermögenswiederherstellung vom November 2025 betont, dass Schnelligkeit und die Integration von Blockchain-Analysen in die Beweiserhebung die entscheidenden Erfolgsfaktoren sind.

On-Chain-Transaktionsbeweise:

Sammeln Sie für jede nicht autorisierte Transaktion: Transaktions-ID (TXID), Quell-Wallet-Adresse, Ziel-Wallet-Adresse(n), genaue Beträge und Asset-Typen, Block-Zeitstempel und Block-Nummern sowie Zwischenwallet-Höpfe aus Block-Explorern (Etherscan, Blockchain.com, BscScan). Speichern Sie Seiten als PDFs mit zeitgestempelten Screenshots, die die URL-Leiste anzeigen.

Kontohistorie und außerkettliche Aufzeichnungen:

Laden Sie herunter: Transaktionshistorie (CSV oder PDF), Ein- und Auszahlungsaufzeichnungen, Kontoauszüge, KYC-Dokumentation und interne Exchange-Nachrichten. Sammeln Sie außerdem: Phishing-E-Mails, die Sie vor dem Vorfall erhalten haben, Sicherheitswarnungen und 2FA-Benachrichtigungen, die Sie nicht initiiert haben.

Exchange-Kommunikation:

Speichern Sie alle Exchange-Kommunikationen im Zusammenhang mit dem Hack: Support-Antworten, E-Mail-Ankündigungen, Blog-Beiträge und Social-Media-Posts. Archivieren Sie Webseiten mit web.archive.org/save/ oder einem PDF-Drucker.

Organisieren Sie Ihr Beweispaket:

Erstellen Sie einen einzigen Ordner, der an mindestens zwei Orten gesichert ist (Cloud und lokal) und folgendes enthält: eine zeitgestempelte Zeitleiste, alle Transaktionsaufzeichnungen, alle Screenshots, alle heruntergeladenen Kontodateien und eine schriftliche narrative Zusammenfassung.

Wie Sie den Hack melden: FBI IC3, Europol, SEC und lokale Behörden

Das Einreichen von Berichten bei mehreren Behörden ist strategisch notwendig. Jede Behörde verfügt über eine unterschiedliche Zuständigkeit und unterschiedliche Durchsetzungsmittel.

FBI IC3 (ic3.gov):

Das primäre US-amerikanische Meldeportal. Der IC3-Jahresbericht 2025 dokumentierte Verluste von über 11 Milliarden US-Dollar durch kryptowährungsbezogene Vorfälle und mehr als 180.000 Einzelbeschwerden. IC3 leitet Beschwerden an Operation Level Up weiter, die Berichten zufolge über 500 Millionen US-Dollar an zusätzlichen Verlusten verhindert hat. Fügen Sie folgendes bei: Exchange-Name, Vorfallsdatum, Konto-E-Mail, alle nicht autorisierten TXIDs und Wallet-Adressen, Gesamtverlust und eine klare Schilderung.

Europol und nationale Cyberkriminalitätseinheiten:

Das Europol-Portal unter europol.europa.eu leitet Beschwerden an die zuständige nationale Cyberkriminalitätseinheit weiter. Europols Operationen 2025 umfassten die Zerschlagung eines Kryptowährungs-Betrugsnetzwerks, das über 700 Millionen Euro wäsche. Großbritannien: Action Fraud. Kanada: Canadian Anti-Fraud Centre. Australien: ReportCyber.

SEC (sec.gov/tcr):

Relevant, wenn Ihre Exchange ein in den USA registriertes Unternehmen war oder Produkte anbot, die die SEC als Wertpapiere betrachtet. Die Crypto Task Force der SEC gab im Geschäftsjahr 2025 262 Millionen US-Dollar an geschädigte Anleger zurück.

Lokale Strafverfolgungsbehörden:

Eine lokale Anzeige erstellt einen offiziellen Nachweis, der für Versicherungsansprüche, Zivilanwälte und Zivilgerichte erforderlich ist.

Welche rechtlichen und vertraglichen Pflichten Ihre Exchange hat

Die meisten Opfer gehen davon aus, dass die Exchange gesetzlich verpflichtet ist, sie zu entschädigen. Die Realität ist erheblich weniger günstig.

Klauseln in den Nutzungsbedingungen:

Praktisch jede zentralisierte Krypto-Exchange in ihren Nutzungsbedingungen: (1) lehnt die Haftung für Verluste durch Sicherheitsverletzungen ab; (2) beruft sich auf höhere Gewalt; (3) verlangt obligatorische Schiedsgerichtsbarkeit und verzichtet auf Sammelklagsrechte; (4) begrenzt die maximale Haftung der Exchange. Diese Bedingungen sind weitgehend durchsetzbar.

Krypto ist nicht durch die FDIC oder SIPC versichert:

Die FDIC versichert Bankeinlagen bis zu 250.000 US-Dollar. Die SIPC schützt Wertpapiere bis zu 500.000 US-Dollar. Keine von beiden erstreckt sich auf Kryptowährungen bei Krypto-Exchanges. Die FTC hat eine spezifische Verbraucherwarnung herausgegeben, nachdem mehrere Exchanges irreführend FDIC-Schutz behauptet hatten.

Private Kriminalversicherung:

Einige Exchanges wie Coinbase und Kraken unterhalten private Kriminalversicherungspolicen, die einen Teil der Hot-Wallet-Verluste abdecken. Diese sind typischerweise auf einen Bruchteil des gesamten verwalteten Vermögens begrenzt. Bybits Entscheidung, nach seinem Hack 2025 freiwillig alle Kundenverluste zu ersetzen, war eine Ausnahme.

Regulatorische Pflichten unter MiCA und FATF:

Die MiCA der EU stellt erhöhte Verbraucherschutzanforderungen an Anbieter von Krypto-Asset-Dienstleistungen. Elliptics Analyse von 2026 verzeichnet eine signifikante Ausweitung der US-amerikanischen Regulierungsaufsicht. Exchanges unter diesen Regimen unterliegen einem höheren rechtlichen Standard.

Was Sie schriftlich von Ihrer Exchange verlangen sollten:

Einen vollständigen Vorfallbericht; eine Bestätigung der Vermögenswerte, die von Ihrem Konto verloren gegangen sind; eine Zeitleiste der Erkennung und Reaktion; eine Erklärung zum Versicherungsschutz; und Kontaktinformationen für den Strafverfolgungsbeauftragten der Exchange.

Blockchain-Forensik: wie Ermittler gestohlene Gelder verfolgen

Die öffentliche Blockchain ist ein permanentes, unveränderliches Hauptbuch. Jede Transaktion wird aufgezeichnet und der Geldfluss ist nachverfolgbar.

Was Blockchain-Analyse-Firmen tun:

Chainalysis, TRM Labs und Elliptic erstellen Attributionsdatenbanken, die Wallet-Adressen bekannten Einheiten zuordnen: Exchanges, Mixer, Darknet-Märkte, sanktionierte Adressen und identifizierte Bedrohungsakteure. TRM Labs' Forensics deckt mehr als 40 Blockchains ab, verwendet Verhaltens-Clustering und wendet Mustererkennung an, um Peeling-Chain-Techniken zu erkennen. Chainalysis' kettenkettenspannende Verfolgung folgte 1,5 Milliarden US-Dollar in ETH durch Bridges, DEXes und Mixing-Dienste.

TRM Beacon Network:

TRM Labs betreibt das Beacon Network, ein Echtzeit-Netzwerk, das Mitglieds-Exchanges warnt, wenn illegale Gelder auf ihre Einzahlungsadressen zubewegen. Mitglieds-Exchanges können Gelder einfrieren, bevor der Angreifer eine Abhebung initiiert.

Anfragen zum Einfrieren von Exchanges:

Der Prozess umfasst: (1) die forensische Firma erstellt einen Bericht, der die Exchange und die Einzahlungsadresse identifiziert; (2) die Strafverfolgungsbehörde sendet eine formelle rechtliche Forderung; (3) die Exchange legt einen Sperrvermerk an; (4) ein Gerichtsbeschluss sichert die Gelder.

DOJ- und FBI-Beschlagnahmungsmöglichkeiten:

Das DOJ und das FBI haben in mehreren Fällen erhebliche Krypto-Assets beschlagnahmt. Im Bitfinex-Hack erholten Ermittler Jahre nach dem Diebstahl 3,6 Milliarden US-Dollar in Bitcoin. Beschlagnahmungen gehen an die US-Regierung und werden über das Remissionsverfahren des DOJ verteilt. Der OneCoin-Fall vom April 2026 stellte 40 Millionen US-Dollar für Opfer zur Verfügung.

Europols gränzüberschreitende Koordination:

Europols J-CAT koordiniert Blockchain-Untersuchungen über EU-Mitgliedstaaten hinweg. Die Zerschlagung im Jahr 2025 eines Netzwerks, das über 700 Millionen Euro wäsche, umfasste Verhaftungen in neun Ländern.

Realistische Wiederherstellungsoptionen: was funktioniert und was ein Betrug ist

Eine Wiederherstellung ist in etwa 25–40 % der Fälle möglich, die mit einem professionellen forensischen Bericht zu einer rechtlichen Auseinandersetzung gelangen. Für die meisten Kleinanleger-Opfer liegen die direkten Wiederherstellungsquoten unter 5 %.

Weg 1 (freiwillige Entschädigung durch die Exchange):

Das günstigste Ergebnis ist, wenn eine Exchange freiwillig Verluste ersetzt, wie Bybit es nach seinem Hack 2025 tat, indem sie alle 1,5 Milliarden US-Dollar übernahm. Bybit bot auch eine Prämie von 10 % für die Rückgabe gestohlener Gelder an. Dieses Modell ist eine Ausnahme.

Weg 2 (Blockchain-Forensik und Exchange-Einfrierung):

Einbindung einer Blockchain-Forensik-Firma innerhalb von 24–48 Stunden, Erstellung eines professionellen forensischen Berichts und dessen Nutzung zur Unterstützung von Einfrierungsanfragen bei den Strafverfolgungsbehörden. TRM Labs, Chainalysis und Elliptic bieten alle Incident-Response-Dienste an.

Weg 3 (Zivilklage):

Verfügbar, wenn Sie nachweisen können, dass die Fahrlässigkeit der Exchange Ihren Verlust verursacht hat. Sammelklagen verändern die Wirtschaftlichkeit erheblich. Bemerkenswerte Krypto-Hack-Sammelklagen haben Vergleiche erzielt.

Weg 4 (staatliche Einziehung und Remission):

Wenn das DOJ, das FBI oder die IRS Krypto-Assets beschlagnahmt, können Opfer Ansprüche über das Asset-Forfeiture-Programm des DOJ anmelden. Der OneCoin-Prozess vom April 2026 stellte 40 Millionen US-Dollar zur Verfügung; die SEC gab 262 Millionen US-Dollar über ihren Fair-Funds-Mechanismus zurück.

Warnsignale eines Wiederherstellungsbetrugs:

• Vorauszahlung in Kryptowährung erforderlich
• Garantierter Erfolg wird versprochen
• Anforderung privater Schlüssel oder Seed-Phrasen
• Imitation von FBI, Europol oder SEC (diese Behörden bieten keine kostenpflichtigen Wiederherstellungsdienste an)
• Keine überprüfbaren Anmeldeinformationen, keine öffentliche Website oder namentlich genannte Mitarbeiter
• Drucktaktiken, die daran hindern sollen, Anmeldeinformationen zu überprüfen

Der IC3-Bericht des FBI 2025 nennt Wiederherstellungsbetrug ausdrücklich als eine bedeutende und wachsende sekundäre Kategorie von Kryptokriminalität.

Wie Sie Ihre Vermögenswerte bei Exchanges künftig schützen

Halten Sie nur das Nötigste auf der Exchange: Bewahren Sie nicht mehr Kryptowährung auf einer Exchange auf, als Sie für den aktiven Handel benötigen. Langfristige Bestände gehören in Cold Storage, das Sie kontrollieren (Ledger, Trezor, Coldcard).

Verwenden Sie hardware-basierte 2FA: SMS-basierte 2FA ist anfällig für SIM-Swap-Angriffe. YubiKey und ähnliche Hardware-Sicherheitsschlüssel erzeugen kryptografische Authentifizierung, die nicht abgefangen werden kann. Jede Exchange, die Hardware-2FA unterstützt, sollte diese aktiviert haben.

Aktivieren Sie Whitelists für Abhebungsadressen: Genehmigen Sie Abhebungsadressen vorab. Wenn ein Angreifer Ihr Konto kompromittiert, kann er nicht auf eine nicht genehmigte Adresse abheben. Das Ändern der Whitelist dauert typischerweise 24–48 Stunden und erfordert eine E-Mail-Bestätigung.

Verwenden Sie eindeutige Anmeldedaten und einen Passwort-Manager: Verwenden Sie ein eindeutiges, zufällig generiertes Passwort für jede Exchange, gespeichert in einem seriösen Passwort-Manager (1Password, Bitwarden).

Beobachten Sie die Exchange, die Sie nutzen: Prüfen Sie: (1) Proof-of-Reserves-Attestierungen; (2) Sicherheitsaudits von Drittanbietern; (3) Versicherungsschutz; (4) Vorfallsgeschichte.

Diversifizieren Sie über mehrere Exchanges: Konzentrieren Sie nicht alle Exchange-gehaltenen Vermögenswerte auf einer einzigen Plattform. Behandeln Sie jede Exchange als Gegenpartei mit einem Kreditlimit.

Wichtigste Erkenntnisse:

• Hacker stahlen im Jahr 2025 3,4 Milliarden US-Dollar von Krypto-Diensten; Hacks auf Exchange-Ebene können von einzelnen Opfern oft nicht verhindert werden
• Ihre Reaktion in den ersten 24 Stunden ist der primäre Bestimmungsfaktor für die Wiederherstellungsaussichten
• Krypto ist nicht durch die FDIC oder SIPC versichert; Exchange-Versicherungsversprechen sind freiwillig
• Blockchain-Forensik kann Gelder auch durch Mixer und Bridges verfolgen, aber Geschwindigkeit ist entscheidend
• Eine sinnvolle Wiederherstellung erfordert professionelle Forensik plus Koordination mit den Strafverfolgungsbehörden; Garantieangebote für Wiederherstellung sind Betrug
• Der wirksamste Schutz ist strukturell: Hardware-Wallets, Hardware-2FA, Whitelist für Abhebungen

Verwandte Leitfäden:

Quellen

1. 1Chainalysis. Krypto-Kriminalitätsbericht 2026: Hacking. Chainalysis, Januar 2026.
2. 2Federal Bureau of Investigation. Nordkorea verantwortlich für den 1,5-Milliarden-Dollar-Bybit-Hack. FBI-Cyber-Division-Warnung, März 2025.
3. 3FBI Internet Crime Complaint Center. IC3-Jahresbericht 2025 zu Internetkriminalität. IC3, 2026.
4. 4Financial Action Task Force. Leitlinien zur Vermögenswiederherstellung und Best Practices. FATF, November 2025.
5. 5TRM Labs. Der Bybit-Hack: Verfolgung von Nordkoreas größtem Exploit. TRM Labs Blog, März 2025.
6. 6TRM Labs. Krypto-Vorfall-Reaktion. TRM Labs, 2025.
7. 7Europol. Cyberkriminalität online melden. Europol, 2024.
8. 8Europol. Internationale Zerstörung eines Kryptowährungs-Betrugsnetzwerks, das über 700 Millionen Euro wäschte. Europol-Pressemitteilung, 2025.
9. 9U.S. Securities and Exchange Commission. Crypto-Asset-Task-Force. SEC, 2025.
10. 10Chainalysis. Bybit-Exchange-Hack Februar 2025: DPRK-Krypto-Sicherheitsanalyse. Chainalysis, Februar 2025.
11. 11Elliptic. Wie die US-Krypto-Regulierung 2026 umgeschrieben wird. Elliptic Insights, 2026.
12. 12U.S. Department of Justice. Das Justizministerium kündigt das Entschädigungsverfahren für OneCoin-Betrugopfer an. DOJ-Pressemitteilung, April 2026.
13. 13Financial Action Task Force. Gezielte Aktualisierung zur Umsetzung der FATF-Standards für virtuelle Vermögenswerte. FATF, 2026.
14. 14Federal Trade Commission. Krypto-Unternehmen mit FDIC-Versicherung? Nicht so schnell. FTC-Verbraucherwarnung, Oktober 2023.
15. 15TRM Labs. Beacon Network: Echtzeit-Krypto-Verbrechensreaktion. TRM Labs, 2025.

Häufig gestellte Fragen