Cross-Chain-Hot-Wallet-Diebstahl bei Coinsbuy

Am 9. August 2026 wurde dem Krypto-Zahlungsdienstleister Coinsbuy bei einem koordinierten Angriff rund 7,9 Millionen US-Dollar (von einigen Medien mit etwa 8 Millionen US-Dollar angegeben) entwendet. Innerhalb von etwa einer Stunde wurden dabei Hot Wallets sowohl auf Tron als auch auf Ethereum geleert.

Was geschah

Der Angreifer begann mit einer winzigen Test-Transaktion über 5 USDT und leerte anschließend parallel auf zwei Chains die Gelder:

• Auf Tron wurden acht Wallets im Verlauf von etwa einer Stunde um rund 6,04 Millionen USDT erleichtert.
• Auf Ethereum wurden gleichzeitig drei Wallets um 1,89 Millionen USDT und 77 ETH geleert.

On-Chain-Analysten verknüpften die beiden Vorgänge über den Cross-Chain-Swap-Dienst Bridgers, dessen Ethereum-Auszahlungscontract direkt in das Ethereum-Swap-Wallet einspeiste — was scheinbar getrennte Vorfälle als ein einziges, koordiniertes Ereignis entlarvte. Die Sicherheitsfirma GoPlus Security erklärte, die Aktivität sei "konsistent mit dem Diebstahl eines Hot-Wallet-Private-Keys oder von Administratorrechten" und nicht auf einen Smart-Contract-Fehler zurückzuführen. Es gab keinen Protokoll-Exploit; der Angreifer kontrollierte schlicht die Schlüssel.

Nachwirkungen

Rund 6,3–6,4 Millionen US-Dollar der Beute wurden über den nicht-verwahrenden Swap-Dienst FixedFloat geleitet, dann über mehrere Börsen umgeschichtet und in Monero (XMR) gemischt, um die Spur zu verwischen. Coinsbuy erklärte öffentlich, dass keine Kundengelder verloren gingen, was darauf hindeutet, dass das Unternehmen den Fehlbetrag intern auffing. Zudem lobte es eine Belohnung von 100.000 US-Dollar für Hinweise zur Identifizierung der Angreifer aus, mit einem zusätzlichen Bonus für Hilfe bei der Wiederbeschaffung der gestohlenen Vermögenswerte. Zum Zeitpunkt der Berichterstattung waren die Gelder nicht zurückerlangt.

Warum es wichtig ist

Coinsbuy erinnert daran, dass das schwächste Glied eines verwahrenden Krypto-Geschäfts selten der Smart Contract ist — es ist die operative Sicherheit rund um die Signaturschlüssel. Wie die Kompromittierung der AFX-Trade-Bridge-Schlüssel wenige Wochen zuvor im Juli 2026 und unzählige Hot-Wallet-Diebstähle bei Börsen davor erforderte dieser Vorfall keine raffinierten On-Chain-Tricks: Wer die Schlüssel hält, hält die Gelder. Die schnelle Geldwäsche-Pipeline — FixedFloat, dann Monero — spiegelt das Standard-Playbook wider, das inzwischen bei Private-Key-Diebstählen üblich ist, und zeigt, warum Erkennungsgeschwindigkeit und im Voraus vereinbarte Börsen-Sperren mehr zählen als nachträgliche Forensik. Für Zahlungsdienstleister, die große Stablecoin-Bestände in Online-Wallets für Auszahlungen vorhalten, lautet die alte, aber ungelernte Lektion: Hot-Wallet-Bestände minimieren, hardwaregestütztes Multi-Party-Signing erzwingen und auf die verräterische kleine "Test"-Transaktion achten, die einem vollständigen Diebstahl so oft vorausgeht.