212 Angriffe in sechs Monaten und über eine Milliarde weg

Am 21. Februar 2025 verlor die Börse Bybit rund 1,46 Milliarden Dollar, überwiegend in Ether und gestaktem Ether. Etwa 401.000 ETH wechselten dabei die Adresse. Bis heute gilt das als größter Kryptodiebstahl der Geschichte, allein dieser Vorfall machte 44 Prozent der Jahressumme 2025 aus.

Bemerkenswert ist der Weg hinein. Angegriffen wurde nicht Bybit selbst, sondern die Benutzeroberfläche eines externen Entwicklers, der an der eingesetzten Wallet-Software arbeitete. Über Phishing und Social Engineering brachten die Täter ihn dazu, eine bösartige Transaktion zu signieren.

Der Rest lief automatisch ab. Ein routinemäßiger Transfer von der Cold Wallet zur Hot Wallet wurde umgeleitet, anschließend verteilten die Angreifer die Beute über zahlreiche Zwischenadressen. Weniger als 5 Prozent der Gelder konnten je zurückgeholt werden, obwohl Bybit erfahrene Analysten beauftragte.

Hinter dem Angriff steht nach Angaben von FBI und Chainalysis die nordkoreanische Gruppe Lazarus. Chainalysis beziffert die gesamten Kryptodiebstähle nordkoreanischer Akteure auf rund 6,75 Milliarden Dollar. Bybit hat inzwischen zivilrechtlich geklagt und ließ gestohlene Vermögenswerte gerichtlich einfrieren.

Die Halbjahresbilanz 2026 bestätigt dieses Muster. Häufigste Ursache erfolgreicher Angriffe war laut Blockaid der Missbrauch privilegierter Zugangsschlüssel, mit Verlusten von insgesamt 790 Millionen Dollar.

Zwei Vorfälle im April prägen die Statistik. Bei KelpDAO verschwanden 292 Millionen Dollar, nachdem eine kompromittierte Brücke zwischen zwei Blockchains eine Lücke in der Kommunikation öffnete. Nur 17 Tage später traf es das Drift-Protokoll, wo Angreifer über einen kompromittierten Mehrfachsignatur-Zugang in weniger als zwölf Minuten 285 Millionen Dollar abzogen.

Zusammen ergeben diese beiden Fälle 577 Millionen Dollar und damit mehr als die Hälfte des gesamten Halbjahresschadens. Nicht kryptografische Schwächen sind das Problem, sondern Menschen, Prozesse und Schlüsselverwaltung.

Ein neues Angriffsziel kommt hinzu. Blockaid verzeichnete 3,4-mal so viele bestätigte Vorfälle rund um KI-Agenten wie im Vorjahreszeitraum. Automatisierte Systeme mit Zugriff auf Wallets erzeugen neue Angriffsflächen, die vor zwei Jahren so noch nicht existierten.

Zur Einordnung lohnt der Blick auf zwei Begriffe. Eine Brücke verbindet zwei Blockchains und hält dabei Guthaben in Verwahrung, weshalb sie ein beliebtes Ziel ist. Ein Mehrfachsignatur-Zugang verlangt mehrere Unterschriften für eine Transaktion und gilt als sicher. Beide Konstruktionen sind nur so stark wie die Personen, die ihre Schlüssel verwalten.

Eine Entwicklung fällt in den Statistiken besonders auf. Körperliche Übergriffe auf Krypto-Besitzer verursachten im ersten Halbjahr 2026 Schäden von über 30 Millionen Dollar. Im gesamten Jahr 2025 lag dieser Wert bei 58 Millionen.

Der Zusammenhang zu Datenlecks ist direkt. Am 5. Januar 2026 wurde bekannt, dass Angreifer den Zahlungsabwickler Global-e gehackt hatten, über den der Wallet-Hersteller Ledger abwickelt. Erbeutet wurden Namen, Postadressen, E-Mail-Adressen, Telefonnummern und Bestellinformationen. Seed-Phrasen und Finanzdaten waren nicht betroffen.

Für Kriminelle ist ein solcher Datensatz trotzdem wertvoll. Er verrät, wer wahrscheinlich Kryptowerte besitzt und wo diese Person wohnt. Der Mitgründer von Ledger wurde 2025 entführt, ein Hauptverdächtiger im März 2026 in Spanien verhaftet. Branchendaten zufolge nahmen Social-Engineering-Angriffe 2025 um 40 Prozent zu.

Daraus folgt eine schlichte Verhaltensregel. Über eigene Bestände spricht man nicht öffentlich, weder in sozialen Netzwerken noch am Stammtisch.

Diese Verschiebung hat eine bittere Logik. Je besser Protokolle und Börsen abgesichert sind, desto attraktiver wird der direkte Weg zum Besitzer. Gegen eine Cold Wallet hilft kein Exploit, gegen einen Menschen unter Druck schon.

Die wichtigste Entscheidung betrifft die Aufteilung. Ein Handelsguthaben auf einer Plattform ist praktisch, ein langfristiger Bestand gehört dort nicht hin. Wer beides trennt, begrenzt den Schaden im Ernstfall auf den kleineren Teil.

Bei der Auswahl einer Plattform helfen einige Kriterien. Liegt eine Zulassung nach der europäischen MiCA-Verordnung vor. Veröffentlicht der Anbieter Nachweise über seine Reserven. Funktionierten Auszahlungen auch in Stressphasen. Wer diese Fragen nicht beantworten kann, sollte kein größeres Guthaben dort halten.

Auf der eigenen Seite helfen drei Einstellungen mehr als jede Software. Zwei-Faktor-Authentifizierung über eine App statt über SMS, eine Whitelist für Auszahlungsadressen, und Schnittstellen-Schlüssel niemals mit Abhebungsrechten versehen.

Ein Blick auf die Größenordnung hilft bei der Entscheidung. Wer 2.000 Euro in Krypto hält, wird kaum ein separates Setup aufbauen. Wer fünfstellig unterwegs ist, sollte den Aufwand nicht scheuen. Die Grenze zieht jeder selbst, wichtig ist nur, sie überhaupt zu ziehen.

Auf Rückholung sollte niemand bauen. Sobald gestohlene Coins in Umlauf kommen, haben Ermittler nach Branchenschätzungen etwa 45 Tage, bevor die Spur kalt wird. Der Bybit-Fall mit unter 5 Prozent Rückholquote zeigt, wie das in der Praxis endet.

Steuerlich bietet ein Diebstahl in Deutschland ebenfalls wenig Trost. Nach überwiegender Auffassung fehlt es an einer Veräußerung, weshalb sich ein solcher Verlust regelmäßig nicht nach Paragraf 23 Einkommensteuergesetz geltend machen lässt. Wer betroffen ist, sollte das mit einem Steuerberater klären.

Ein letzter Punkt betrifft die Erwartungshaltung. Keine Plattform ist unhackbar, auch keine mit Lizenz. Regulierung erhöht die Wahrscheinlichkeit sauberer Prozesse und einer Entschädigung, garantiert aber nichts. Wer das akzeptiert, trifft nüchternere Entscheidungen als jemand, der auf ein sicheres Zuhause für seine Coins hofft.

Chainalysis legt seinen Bericht für das laufende Jahr voraussichtlich zu Beginn des kommenden Jahres vor. Die Halbjahreszahlen deuten bereits eine Verschiebung an, nämlich mehr Vorfälle bei kleineren Einzelbeträgen.

Was das bedeutet, lässt sich unterschiedlich lesen. Entweder sind die großen Ziele inzwischen besser geschützt, oder die Angreifer streuen bewusst breiter. Für Privatanleger ändert beides wenig an der Grundregel, größere Bestände nicht dauerhaft auf einer Handelsplattform liegen zu lassen.

Beobachten lohnt außerdem der Umgang der Anbieter mit Vorfällen. Wie schnell wurde informiert, wurden Betroffene entschädigt, und was hat sich anschließend an den Prozessen geändert. Diese drei Fragen sagen mehr über eine Plattform aus als jedes Sicherheitsversprechen auf ihrer Startseite.