Fallakte
BitConnect
Was geschah
BitConnect lud Nutzer ein, Bitcoin gegen den eigenen Token zu tauschen und ihn in einem Lending-Programm zu sperren, das stetige Renditen versprach — angeblich erzeugt von einem firmeneigenen Trading-Bot, den außerhalb des Unternehmens niemand prüfen konnte. Eine mehrstufige Empfehlungsstruktur bezahlte bestehende Teilnehmer dafür, neue anzuwerben. Nach Unterlassungsanordnungen von Wertpapieraufsichten einzelner US-Bundesstaaten wurde die Lending-Plattform im Januar 2018 geschlossen, der Kurs des Tokens brach zusammen. US-Behörden werteten das Ganze später als Betrug: Ein Promoter bekannte sich schuldig, der Gründer wurde angeklagt und gilt Berichten zufolge als flüchtig.
Was man daraus lernt
Eine feste oder garantierte Rendite in Krypto ist eine Aussage über die Zukunft, die niemand ehrlich treffen kann. Wenn die Strategie dahinter nicht prüfbar ist und Anwerbung belohnt wird, werden die Renditen aus späteren Einzahlungen bezahlt — das ist eine Struktur, keine Marktmeinung, und sie endet, sobald die Einzahlungen nachlassen.
Wo es in der Chronik steht
Die dokumentierten Börsenpleiten, die wir erfassen, in der Reihenfolge ihres Auftretens.
- 2014
Mt. Gox
February 2014Once the exchange handling the large majority of the world's Bitcoin trades, Mt. Gox abruptly halted withdrawals and filed for bankruptcy in Japan after disclosing that hundreds of thousands of customer and company bitcoins were gone — later attributed to theft that went undetected for years.
- 2015
Bitstamp
January 2015Im Januar 2015 wurden nach einem gezielten Angriff auf Mitarbeiter rund 19.000 BTC aus den Hot Wallets von Bitstamp abgezogen. Die Börse stoppte den Handel, baute ihre Infrastruktur neu auf und wechselte anschließend zu institutioneller Drittverwahrung, bei der der Großteil der Kundenbestände offline liegt.
- 2016
Bitfinex
August 2016A security breach in Bitfinex's multi-signature wallet setup let attackers drain a large share of customer bitcoin in a single incident. The exchange spread the loss across all users' balances and later repaid affected customers over several years.
- 2016
The DAO
June 2016The DAO war ein von Anlegern gesteuerter Fonds, vollständig als Ethereum-Smart-Contracts geschrieben: Token-Inhaber stimmten darüber ab, welche Vorschläge Mittel erhielten, ohne Verwalter dazwischen. Der Token-Verkauf von 2016 sammelte einen erheblichen Anteil aller umlaufenden Ether ein. Im Juni 2016 nutzte ein Angreifer eine Reentrancy-Lücke in dem Code aus, mit dem ein Teilnehmer seinen Anteil abheben konnte: Der Vertrag sendete Ether, bevor er den Kontostand des Anfragenden aktualisierte, sodass ein bösartiger Vertrag die Auszahlung wiederholt erneut aufrufen und jedes Mal auf einen noch nicht verringerten Stand hin ausgezahlt werden konnte. Rund 3,6 Millionen ETH wanderten in einen Untervertrag mit einer Haltefrist, die in den eigenen Regeln von The DAO stand — das verschaffte der Gemeinschaft Wochen, um über eine Reaktion zu streiten. Die Ethereum-Teilnehmer beschlossen schließlich einen Hard Fork, der die Mittel in einen Rückholvertrag überführte. Eine Minderheit lehnte den Fork mit der Begründung ab, das Register dürfe nicht umgeschrieben werden, und führte die ursprüngliche Kette als Ethereum Classic weiter.
- 2017
Parity Multisig Wallet Freeze
November 2017Die Multisig-Wallets von Parity trugen ihre Logik nicht jeweils selbst. Um Bereitstellungskosten zu sparen, war jede Wallet ein schlanker Vertrag, der sein Verhalten an einen einzigen gemeinsam genutzten Bibliotheksvertrag im Netzwerk delegierte. Diese Bibliothek war ohne Initialisierung bereitgestellt worden, ihr Eigentum also noch unbeansprucht. Im November 2017 beanspruchte ein Nutzer sie und rief anschließend ihre Selbstzerstörungsfunktion auf, die den Code der Bibliothek aus der Kette entfernte. Jede davon abhängige Wallet zeigte fortan ins Leere: Die Guthaben stehen weiter im Register, der Code, der eine Überweisung freigeben könnte, jedoch nicht mehr. Öffentliche Schätzungen beziffern den festsitzenden Betrag auf rund 513.000 ETH. Niemand nahm die Gelder, kein Exploit bewegte sie; sie waren schlicht nicht mehr erreichbar. Vorschläge, sie per Protokolländerung zu bergen, wurden diskutiert und nicht umgesetzt. Monate zuvor hatte eine andere Lücke derselben Wallet-Software einen tatsächlichen Diebstahl von öffentlichen Schätzungen zufolge rund 150.000 ETH ermöglicht.
- 2018
BitConnect
Du bist hierJanuary 2018BitConnect lud Nutzer ein, Bitcoin gegen den eigenen Token zu tauschen und ihn in einem Lending-Programm zu sperren, das stetige Renditen versprach — angeblich erzeugt von einem firmeneigenen Trading-Bot, den außerhalb des Unternehmens niemand prüfen konnte. Eine mehrstufige Empfehlungsstruktur bezahlte bestehende Teilnehmer dafür, neue anzuwerben. Nach Unterlassungsanordnungen von Wertpapieraufsichten einzelner US-Bundesstaaten wurde die Lending-Plattform im Januar 2018 geschlossen, der Kurs des Tokens brach zusammen. US-Behörden werteten das Ganze später als Betrug: Ein Promoter bekannte sich schuldig, der Gründer wurde angeklagt und gilt Berichten zufolge als flüchtig.
- 2018
Coincheck
January 2018The Japanese exchange kept a large pool of a single token in an internet-connected hot wallet without a multi-signature setup. Attackers stole hundreds of millions of dollars' worth in one of the largest exchange hacks by value at the time.
- 2019
Binance
May 2019Am 7. Mai 2019 zogen Angreifer in einer einzigen Transaktion rund 7.000 BTC — damals etwa 40 Millionen US-Dollar — aus einer Hot Wallet von Binance ab, mithilfe gestohlener API-Schlüssel und per Phishing erbeuteter Zugangsdaten. Binance deckte den gesamten Verlust aus dem Secure Asset Fund for Users; Kundenguthaben blieben unangetastet.
- 2019
Bitfinex / Crypto Capital
2018–20192018 und 2019 lagen bei Bitfinex' Zahlungsdienstleister Crypto Capital Corp rund 850 Millionen US-Dollar vermischter Kunden- und Firmengelder, dessen Konten von Behörden mehrerer Länder beschlagnahmt wurden. Die Reserven des verbundenen Stablecoin-Emittenten Tether deckten die Lücke; beide Firmen einigten sich im Februar 2021 ohne Schuldeingeständnis auf einen Vergleich über 18,5 Millionen US-Dollar mit der New Yorker Generalstaatsanwaltschaft.
- 2019
QuadrigaCX
Early 2019Canada's largest exchange at the time told customers it could no longer access roughly CA$190M in funds after its founder died while allegedly holding sole control of the cold-wallet keys. A later court-appointed investigation found many of the wallets had been empty long before his death, pointing to mismanagement and likely fraud rather than a pure accident.
- 2020
KuCoin
September 2020Am 25. September 2020 zogen Angreifer rund 281 Millionen US-Dollar aus KuCoins Hot Wallets ab. In den folgenden Wochen wurden etwa 84 % zurückgeholt — durch On-Chain-Tracing, das Einfrieren und Neuausgeben von Token durch die Emittenten sowie Sperrlisten anderer Börsen. Den Rest deckte KuCoins Versicherungsfonds; die Nutzer wurden entschädigt.
- 2022
Celsius Network
June 2022The crypto lending platform froze all customer withdrawals during a market downturn and filed for bankruptcy weeks later. Its founder was subsequently charged with, and later pleaded guilty to, fraud for misrepresenting the platform's risk to depositors.
- 2022
Crypto.com
January 2022Am 20. Januar 2022 wurden rund 34 Millionen US-Dollar in Bitcoin, Ether und weiteren Werten von 483 Crypto.com-Kundenkonten abgehoben. Die Abhebungen wurden freigegeben, ohne dass die Zwei-Faktor-Authentifizierung korrekt erzwungen wurde. Das Unternehmen stoppte Auszahlungen, baute den Anmeldeprozess um und entschädigte alle Betroffenen.
- 2022
FTX
November 2022One of the largest exchanges globally collapsed within days after reporting revealed customer deposits had been comingled with, and lent to, a sister trading firm. Its founder was later convicted on multiple counts of fraud.
- 2022
Ronin Bridge
March 2022Die Ronin-Bridge, die die Sidechain des Spiels Axie Infinity mit Ethereum verband, wurde im März 2022 geleert, nachdem Angreifer die Mehrheit des kleinen Validatorensatzes kontrollierten, dessen Signaturen Auszahlungen freigaben. Am Vertrag war nichts gebrochen: Die Auszahlungen waren gültig mit jenen Schlüsseln signiert, denen das System vertraute. Der Verlust fiel erst Tage später auf, als ein Nutzer meldete, nicht auszahlen zu können. US-Behörden schrieben den Diebstahl später der mit Nordkorea verbundenen Lazarus-Gruppe zu.
- 2022
Terra / LUNA
May 2022TerraUSD war ein algorithmischer Stablecoin, der seine Dollarbindung nicht mit Reserven hielt, sondern über eine Präge-und-Brenn-Verbindung zu LUNA, dem volatilen Token des eigenen Netzwerks: Ein UST unter einem Dollar ließ sich stets gegen einen Dollar frisch geprägter LUNA tauschen. Im Mai 2022 rutschte die Bindung, und der Mechanismus lief rückwärts — ihre Wiederherstellung verlangte immer mehr LUNA, was deren Kurs zerdrückte und genau den Wert vernichtete, auf dem die Bindung beruhte. Beide Assets brachen binnen Tagen zusammen; Terraform Labs und ihr Gründer sahen sich später Straf- und Zivilverfahren in den USA und Südkorea gegenüber.
- 2022
Three Arrows Capital
June 2022Three Arrows Capital war ein in Singapur ansässiger Hedgefonds, der zu einem der größten Kreditnehmer im Kryptobereich geworden war und gehebelte Positionen mit Darlehen zentraler Kreditabteilungen finanzierte. Der Fonds hielt eine erhebliche Position im Terra-Ökosystem, das im Mai 2022 praktisch seinen gesamten Wert verlor, und war weiteren Geschäften ausgesetzt, die sich mit fallenden Kursen gegen ihn wandten. Als die Kreditgeber im Juni 2022 Nachschüsse forderten, konnte der Fonds sie nicht leisten. Ein Gericht auf den Britischen Jungferninseln ordnete Ende des Monats die Liquidation an; die Liquidatoren beantragten kurz darauf die Anerkennung des Verfahrens in den Vereinigten Staaten. Der Ausfall blieb nicht beim Fonds: Mehrere der Kreditplattformen, die ihm Mittel gegeben hatten, legten Verluste offen, und einige gingen anschließend selbst in die Insolvenz. Singapurs Aufsicht erließ später Tätigkeitsverbote gegen die Gründer.
- 2022
Wormhole
February 2022Wormhole, eine Bridge, die auf mehreren Chains verpackte Assets ausgibt, verlor im Februar 2022 rund 120.000 Wrapped Ether: Ein Angreifer nutzte einen Fehler darin, wie der Vertrag auf Solana-Seite die Guardian-Signaturen prüfte, die eine Prägung freigeben. Er konnte eine Prägung erzeugen, die der Vertrag ohne passende Einzahlung auf Ethereum akzeptierte, womit die verpackten Token unterbesichert waren. Jump Crypto, das hinter dem Projekt stand, ersetzte den fehlenden Ether, sodass die Halter des verpackten Assets keinen Verlust erlitten.
- 2023
HTX (formerly Huobi)
September 2023Am 24. September 2023 wurden aus einer einzelnen Hot Wallet von HTX rund 5.000 ETH — etwa 8 Millionen US-Dollar — entwendet. Die Börse identifizierte den Angreifer, handelte die Rückgabe von 95 % der Mittel aus und zahlte die verbleibenden 5 % als White-Hat-Prämie. Kundenguthaben waren vollständig gedeckt.
- 2024
DMM Bitcoin
May 2024Am 31. Mai 2024 meldete DMM Bitcoin, eine bei der japanischen Finanzaufsicht registrierte Börse, einen unbefugten Abfluss von 4502,9 BTC — damals rund 300 Millionen Dollar und einer der größten Diebstähle in der Geschichte des Landes. Das Unternehmen erklärte, es werde mit Unterstützung der DMM-Gruppe die entsprechende Menge Bitcoin beschaffen, sodass die Kundenbestände vollständig gedeckt seien; die japanische FSA erließ eine Anordnung zur Geschäftsverbesserung. Im Dezember 2024 schrieben US-amerikanische und japanische Behörden den Diebstahl öffentlich nordkoreanisch verbundenen Akteuren zu, und DMM kündigte an, das Kryptogeschäft einzustellen und die Kundenkonten an SBI VC Trade zu übertragen.
- 2025
Bybit
February 2025Am 21. Februar 2025 verschoben Angreifer rund 1,46 Milliarden US-Dollar in Ether und gestaktem Ether aus einer Cold Wallet von Bybit, indem sie manipulierten, was die Unterzeichner in einer Safe-Multisig-Oberfläche sahen — legitime Schlüsselinhaber gaben so eine Überweisung frei, die nicht das war, wonach sie aussah. Das FBI schrieb den Angriff der nordkoreanischen Lazarus-Gruppe zu.
Als Nächstes
Die NotenDas NotenregisterDie fünf Prüfungen, die aus dieser Chronik entstanden sind — angewandt auf jede von uns bewertete Börse.Öffnen