Bitcoin-Käufe wurden nach einem Datenleck beim israelischen Krypto-Broker Bits of Gold gestoppt, wobei die Handels- und Kraftstoffgruppe Paz die Option, über ihre Yellow-App Bitcoin zu kaufen, vorübergehend aussetzte, während die Untersuchung des Sicherheitsvorfalls weiterläuft.

Warum Bitcoin-Käufe gestoppt wurden

Bits of Gold teilte mit, dass es ungewöhnlichen Zugriff auf sein Datenanalysesystem festgestellt und das betroffene System im Rahmen der Reaktion auf einen groß angelegten Cybervorfall von seinen Datenquellen getrennt habe, wie aus dem Vorfall-Update des Unternehmens hervorgeht.

Als Reaktion darauf setzte Paz die Möglichkeit, über die Yellow-App Bitcoin zu kaufen, bis zum Abschluss der Untersuchung aus, wie CTech berichtete. Paz erklärte, dass es keine direkte Schnittstelle zwischen der Yellow- und der Bits-of-Gold-App gibt.

Die Kombination verleiht dem Vorfall eine breitere Reichweite im Privatkundengeschäft, als ein Ausfall nur bei einem Broker hätte: Paz ist einer der größten Kraftstoff- und Convenience-Einzelhändler Israels, und die Yellow-App bündelt Treue- und Zahlungsdienste mit der Bitcoin-Kaufoption, wodurch Krypto-Zugang breiteren Verbraucherkreisen angeboten wird. Bits of Gold, 2013 gegründet, gehört zu den am längsten tätigen Krypto-Brokern Israels und bedient den Kundenstamm, der das Ausmaß der Offenlegung besonders bedeutsam macht.

Die Pause ist eine vorsorgliche operative Maßnahme, die direkt mit der Reaktion auf das Datenleck zusammenhängt, und keine marktorientierte Entscheidung. Der Kaufbetrieb wurde ausgesetzt, damit die Plattformen den Vorfall eindämmen konnten, bevor der Zugang wiederhergestellt wird.

Was das Datenleck für Nutzer bedeutet

Für Kunden besteht die unmittelbare Folge darin, dass geplante oder laufende Bitcoin-Käufe über Yellow bis zur Aufhebung der Sperre nicht ausgeführt werden können. Die Störung betrifft den Kaufzugang, nicht bestehende Bestände.

Bits of Gold erklärte, dass Passwörter, Bestätigungscodes, private Schlüssel, Ausweisfotos, vollständige Kreditkartendaten, CVV-Codes, Kundengelder, Konten, Wallets und digitale Vermögenswerte bei dem Vorfall nicht offengelegt wurden. Nach Angaben des Unternehmens waren digitale Vermögenswerte und Gelder nicht betroffen.

Gleichzeitig sagte Bits of Gold, dass Namen, IP-Adressen, E-Mails, Telefonnummern, Bankkontodaten, israelische Ausweisnummern und einige öffentliche Wallet-Adressen möglicherweise offengelegt wurden. Diese Lücke ist relevant, weil persönliche Kennungen dieser Art – Namen, Kontaktdaten und nationale Ausweisnummern – als Material für Phishing- und Identitätsmissbrauch dienen können, sodass Bedenken hinsichtlich Kontosicherheit und Identität bestehen bleiben, auch wenn die Gelder offenbar sicher sind. Das Ausmaß der Offenlegung bleibt eine zentrale Frage, da Berichte darauf hindeuten, dass das Leck eine große Kundenbasis betroffen haben könnte.

Externe Berichte bezifferten den Vorfall auf rund 200.000 betroffene Kunden, laut CoinDesk, obwohl die öffentliche Mitteilung von Bits of Gold keine bestätigte Gesamtzahl betroffener Nutzer nennt. Diese Zahl ist weiterhin extern zugeschrieben und nicht vom Unternehmen bestätigt.

Der Unterschied ist wichtig: Die Unterbrechung der Transaktionen ist vorübergehend und rückgängig zu machen, während die mögliche Offenlegung personenbezogener Daten ein längerfristiges Vertrauensproblem darstellt, das über die Kaufpause hinaus Bestand hat. Die Sperre fällt zudem in eine Phase, in der Bitcoin in der Nähe jener Niveaus gehandelt wird, die die erneute Debatte über einen Ausverkauf um 65.000 $ ausgelöst haben.

Was vor der Wiederaufnahme der Käufe geschehen muss

Berichte führten den Vorfall auf eine kritische Schwachstelle in Metabase, der Datenanalysesoftware, konkret CVE-2026-72898, zurück, obwohl die Kundenmitteilung von Bits of Gold weder Metabase noch die CVE nennt. Diese Zuordnung stammt aus direkter Berichterstattung und nicht aus einer Bestätigung durch das Unternehmen.

Die National Vulnerability Database führt CVE-2026-72898 mit der maximalen CNA-Schwere von 10,0 CRITICAL und beschreibt eine Schwachstelle, die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, über den Endpunkt zum Zurücksetzen des Passworts beliebiges SQL einzuschleusen. Metabase ist eine weit verbreitete Open-Source-Analyseplattform, die weit über die Krypto-Branche hinaus eingesetzt wird, sodass eine Schwachstelle dieser höchsten Schwere nicht nur für Krypto-Plattformen, sondern für jede Organisation relevant war, die eine ungepatchte Instanz betreibt.

Metabase erklärte, dass es eine aktive Ausnutzung der Schwachstelle bestätigt, die Angriffs-Endpunkte blockiert und in seinem Sicherheitsupdate die minimal sicheren Versionen 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 und 0.63.5 veröffentlicht habe. Das Einspielen dieser Versionen ist der Behebungsschritt, der eine sichere Wiederaufnahme des Dienstes ermöglicht.

Bits of Gold sagte, es habe die zuständigen Behörden informiert, die CTech als Israels Capital Market Authority und die National Cyber Directorate identifizierte. Bits of Gold war das erste Unternehmen im israelischen Markt, das eine Lizenz der Capital Market Authority für digitale Finanzdienstleistungen erhielt, und lizenzierte Anbieter im Land unterliegen der Aufsicht der Capital Market Authority, wodurch der Vorfall Teil eines etablierten regulatorischen Prüfprozesses und nicht nur einer rein internen Angelegenheit ist.

Vor der Wiederaufnahme der Käufe werden Nutzer klare Statusmeldungen erwarten, die bestätigen, dass das betroffene System gesichert ist, die Schwachstelle gepatcht wurde und die Untersuchung mit den Aufsichtsbehörden abgeschlossen ist. Ein öffentlicher Zeitplan für die Wiederherstellung des Bitcoin-Kaufs über Yellow wurde nicht genannt.

Der Vorfall ist die dritte innerhalb von etwa einer Woche bekannt gewordene Offenlegung von Daten in der Krypto-Branche, nach Ereignissen mit SafePal und Trezor-Anbietern, wie aus der Berichterstattung von CoinDesk hervorgeht. Diese Häufung hat die Sicherheitslage kundenorientierter Krypto-Plattformen erneut in den Fokus gerückt.