Was wirklich passiert, wenn eine Börse gehackt wird

Die ersten 48 Stunden

Das Muster variiert kaum. Auszahlungen werden pausiert, meist mit dem Verweis auf Wartungsarbeiten. On-Chain-Analysten entdecken große ungewöhnliche Transfers, bevor es eine Ankündigung gibt. Dann folgt eine Stellungnahme, die von einem Sicherheitsvorfall spricht, und die echte Zahl kommt Tage später ans Licht, fast immer größer als das erste Eingeständnis.

In diesem Zeitfenster liefert sich die Börse ein Wettrennen mit dem Angreifer. Gestohlene Token werden bei anderen Plattformen und Stablecoin-Emittenten gemeldet, die Vermögenswerte einfrieren können, sobald sie ihre Systeme berühren. Token mit zentralisierter Kontrolle können eingefroren oder direkt geforkt werden. Bitcoin und Monero faktisch nicht. Was gestohlen wurde, zählt genauso viel wie wie viel.

Mt. Gox: der schlimmste Fall

Mt. Gox wickelte den Großteil des weltweiten Bitcoin-Handels ab, als die Börse im Februar 2014 zusammenbrach und eingestand, dass rund 850.000 BTC verschwunden waren, über Jahre hinweg durch kompromittierte Schlüssel abgezogen, während die internen Bücher Guthaben auswiesen, die nicht existierten. Kunden warteten etwa ein Jahrzehnt auf eine Teilerstattung im Rahmen des japanischen zivilen Sanierungsverfahrens.

Gox schuf die Vorlage für alles, was Kunden heute fürchten: keine Versicherung, keine Trennung der Kundengelder, keine Möglichkeit, das Loch zu sehen, bevor es das Unternehmen verschlang. Jede Sicherheitspraxis, die wir heute bewerten, von Proof of Reserves bis zur Cold-Storage-Richtlinie, ist in gewissem Sinne eine Reaktion auf Gox.

Coincheck und KuCoin: zwei Erholungen

Coincheck verlor im Januar 2018 etwa $530 Millionen in NEM-Token aus einem Hot Wallet ohne Multisig. Die Rettung war unternehmerischer Natur: Coincheck entschädigte Kunden aus der eigenen Bilanz, wurde von der Monex Group übernommen und blieb im Betrieb. Die japanischen Aufsichtsbehörden reagierten mit deutlich strengeren Verwahrungsregeln.

Bei KuCoins Angriff 2020 wurden rund $280 Millionen erbeutet, doch das meiste kam zurück. Gestohlene Token wurden von den Emittenten eingefroren, einige durch projektseitige Forks zurückgeholt, und Verhandlungen brachten Berichten zufolge weitere Gelder zurück. Den Rest deckte KuCoin über Versicherungsfonds und Partner. Vollständige Kundenentschädigung, bemerkenswert für einen Hack dieser Größenordnung.

BitMart und FTX: die anderen Enden

BitMart verlor im Dezember 2021 etwa $196 Millionen, als der Private Key eines Hot Wallets kompromittiert wurde. Die Börse versprach, Nutzer aus eigenem Kapital zu entschädigen, doch die Erstattung verlief schleppend und die Kommunikation spärlich. BitMart ist weiterhin aktiv, und dieser Vorfall belastet noch heute seinen Sicherheitswert in unserem Modell. Ein Hack ist nicht nur ein Ereignis, sondern ein permanenter Datenpunkt.

FTX im November 2022 war gar kein Hack, auch wenn während des Zusammenbruchs ein rätselhafter Abfluss von $400 Millionen stattfand. Kundengelder waren vermischt und ausgegeben worden. Die Lehre: Externe Angreifer haben Milliarden gestohlen, aber die größten Kundenverluste in der Krypto-Geschichte kamen von innen.

Wer den Verlust trägt

Die Entschädigung hängt davon ab, ob der Verlust kleiner ist als der Wille und die Fähigkeit der Börse zu zahlen. Coincheck und KuCoin erstatteten vollständig, weil das Mutterunternehmen über Kapital verfügte oder die Wiederbeschaffung gut lief. Kunden von Mt. Gox und FTX wurden zu Insolvenzgläubigern, warteten Jahre auf eine Teilerstattung, oft ausgezahlt zu Preisen zum Antragsdatum, weit unter dem späteren Marktwert.

Unternehmensversicherungen und Sicherungsfonds helfen, sind aber gedeckelt, und keine Police deckt eine Insolvenz. Im Insolvenzverfahren entscheiden Ihre Nutzungsbedingungen, ob Sie Eigentümer oder ungesicherter Gläubiger sind, und diese Klausel wurde lange vor dem Hack geschrieben.

Was diese Geschichte an unseren Bewertungen ändert

Die Vorfallhistorie ist das härteste Sicherheitssignal, das wir haben, also gewichten wir sie stark. Sicherheit macht 20% in unserem Basis-Ranking aus und etwa 30% auf der Seite der sichersten Börsen, mit einem Bonus für Plattformen, die nie gehackt wurden. Kraken, seit 2011 sauber, profitiert davon. BitMart trägt einen Malus, dessen Abbau Jahre sauberen Betriebs erfordern wird.

Wir berücksichtigen auch, wie eine Plattform mit ihrem Vorfall umging. KuCoins Wiederbeschaffung und vollständige Erstattung spricht zu ihren Gunsten. Langsame, vage Kommunikation spricht dagegen. Der Einbruch offenbart die Architektur; die Reaktion offenbart das Management.

FAQ