133-Mio.-Dollar-Krypto-Diebstahl bei nicht identifizierter EU-Institution

Am 1. November 2026 wurden einer nicht identifizierten Institution aus der Europäischen Union an einem einzigen Wochenende rund 133 Millionen Dollar in Stablecoins von ihren Börsenkonten abgezogen. Der Ermittler ZachXBT machte den Diebstahl am 2. November erstmals öffentlich; die Identität des Opfers — und des Angreifers — blieb unbekannt, während die gestohlenen Mittel rasch umgewandelt und außer Reichweite gebrückt wurden.

Was geschah

Ab Sonntag, dem 1. November, zogen angreiferkontrollierte Adressen USDC und USDT aus Konten ab, die das Opfer bei mehreren zentralisierten Börsen hielt. ZachXBT bezifferte zunächst mehr als 106 Millionen Dollar über elf Wallet-Adressen, erhöhte die Schätzung am 3. November auf über 133 Millionen Dollar, nachdem er rund 27 Millionen Dollar an weiteren Abhebungen identifiziert hatte. Die On-Chain-Analysefirma Bitquery führte die Abflüsse auf Konten bei Kraken, Crypto.com und OKX zurück und zählte allein etwa 108,8 Millionen Dollar in USDC über ein Fenster von rund 21 Stunden. Statt eines Smart-Contract-Exploits deutete das Muster auf eine Kompromittierung auf Nutzerseite hin: Der Angreifer schien sowohl die Börsen-Logins als auch die privaten Schlüssel der vom Opfer genutzten Wallets zu besitzen, sodass jede Abhebung als legitime, authentifizierte Handlung ausgeführt wurde. Der Weg des ursprünglichen Zugriffs wurde nie öffentlich gemacht.

Folgen

Der Angreifer wusch das Geld schnell. Etwa 62,98 Millionen Dollar in Stablecoins wurden binnen vier Stunden in rund 27.553 ETH getauscht, überwiegend über UniswapX, Teile wurden über Instant-Exchange-Dienste geleitet und in Monero gebrückt. Tether fror einen Teil der gestohlenen USDT ein, während Circle die verbleibenden USDC zum Zeitpunkt der Berichterstattung nicht eingefroren hatte; Crypto.com und OKX erklärten, gegen die verknüpften Konten vorzugehen bzw. sie zu prüfen. ZachXBT warf dem Opfer vor, den Vorfall nicht den Behörden gemeldet zu haben, wodurch mehr als 30 Millionen Dollar gewaschen werden konnten, die sonst hätten eingefroren werden können. Zudem äußerte er sich sehr zuversichtlich, dass die Wäschemuster nicht mit der nordkoreanischen Lazarus-Gruppe übereinstimmten.

Warum es wichtig ist

Der Diebstahl ist eine Erinnerung daran, dass die schädlichsten Krypto-Verluste zunehmend nicht aus neuartigen Contract-Bugs stammen, sondern aus kompromittierten Zugangsdaten und Schlüsseln auf Opferseite — derselbe Fehlermodus wie beim Mercado-Bitcoin-Hot-Wallet-Angriff Tage zuvor und beim rekordverdächtigen Binance-Angriff. Er verdeutlicht auch eine Offenlegungslücke: Schweigt ein Opfer, läuft die Geldwäsche ungehindert weiter, und die einzige öffentliche Bilanz stammt von unabhängigen On-Chain-Ermittlern statt von der Institution, die das Geld verloren hat.