Die südkoreanische Kryptowährungsbörse Bithumb entdeckte am 27. Oktober einen unbefugten Zugriff auf ihre interne mobile Groupware und meldete den Vorfall noch am selben Tag an die Korea Internet & Security Agency (KISA) und die Personal Information Protection Commission (PIPC), wie Yonhap berichtete.

Was die Angreifer erreichten

Das kompromittierte Tool ist Daou Office, eine Arbeitsanwendung, die Bithumb-Mitarbeiter für Messaging und Dateiaustausch nutzen, wie News1 berichtete. Bithumb teilte dem Medium mit, dass seine Handelssysteme auf einem physisch getrennten Netzwerk betrieben werden und keine Kryptowährung gestohlen wurde. Das steht im Einklang mit den Kontrollen, die in der Sicherheitshinweis vom 2. Oktober von Bithumb beschrieben wurden: Cold-Wallet-Speicherung und Genehmigungsschritte für die Bewegung von Kundengeldern sowie Beschränkungen und Zugriffsprotokollierung für Mitarbeiter, die mit personenbezogenen Daten umgehen.

Offen ist die Frage, welche Daten sich in der App befanden. Nach Angaben von Digital Today betreffen die bislang offengelegten Informationen hauptsächlich Mitarbeiter, doch Bithumb hat Kundendaten nicht ausgeschlossen. Mitarbeiterchats und geteilte Dateien können im Rahmen der alltäglichen Supportarbeit Kundendaten enthalten, weshalb die Prüfung Nachrichten und Dokumente umfasst und nicht nur die zentrale Kundendatenbank.

In einer von Financial News zitierten und aus dem Koreanischen übersetzten Erklärung sagte die Börse: „Wir analysieren den genauen Umfang, einschließlich der Möglichkeit, dass Mitgliederdaten enthalten waren.“

Bithumb hat nicht gesagt, wie viele Personen, falls überhaupt, betroffen sind, welche Datenfelder offengelegt wurden oder wie die Angreifer Zugriff erlangten.

Die Zahl 38.490 gehört nicht zu Bithumb

Bithumb hat die Sicherheitslücke am selben Tag wie zwei andere koreanische Finanzunternehmen offengelegt, und mindestens eine Krypto-Nachrichtenseite hat seitdem berichtet, dass der Angriff auf Bithumb 38.490 Kunden betroffen habe. Diese Zahl gehört zu Daishin Securities. Wie The Korea Times berichtete, bestätigte Daishin ein Leck persönlicher und Kreditinformationen von 38.490 Kunden nach unbefugtem Zugriff auf einen Server im Zusammenhang mit Online-Kontoeröffnungen, während auch Mirae Asset Global Investments betroffen war.

Die Offenlegung von Daishin zeigt, wie eine bestätigte Mitteilung aussieht. Digital Today berichtete, dass die Prüfung acht Arten geleakter Daten ergab, darunter Namen, E-Mail- und Privatadressen, Telefonnummern, Banknamen und Kontonummern. Bithumb hat bislang nichts Vergleichbares veröffentlicht. Es gibt auch keinen öffentlichen Befund, dass die drei Vorfälle einen gemeinsamen Angreifer oder Zugangspunkt haben.

Bithumb war schon einmal in dieser Lage

Im Jahr 2017 kompromittierte ein Angreifer den Heimcomputer eines Bithumb-Mitarbeiters und erhielt die Namen, E-Mail-Adressen und Mobilfunknummern von rund 31.800 Nutzern, wie Berichte seinerzeit zeigten. Es wurden keine Passwörter entwendet, und Bithumb betonte damals, dass seine Server in der Zentrale nicht kompromittiert wurden.

Der Schaden kam danach. Kunden begannen, Anrufe und Nachrichten von Personen zu erhalten, die sich als Bithumb-Mitarbeiter ausgaben und ihre Namen und Nummern bereits kannten; einige wurden dazu gebracht, die Einmalpasswörter preiszugeben, die ihre Konten schützten. Mehr als 100 Kunden reichten Beschwerden bei der Cyberkrimininheit der Polizei ein, und Bithumb bot jedem betroffenen Nutzer 100.000 Won sowie den Ersatz nachgewiesener Verluste an.

Der Vorfall von 2026 betrifft ein anderes System und bislang einen anderen Umfang. Doch das Muster ist das, auf das es zu achten gilt: Das Risiko eines Datenlecks bei einer Börse zeigt sich meist später – in einem Anruf, der echt klingt, weil der Anrufer echte Details kennt. Ähnliche Sorgen folgten auf ein Datenleck mit Kundendaten beim israelischen Broker Bits of Gold.

Die Warnung, die Bithumb zwei Wochen zuvor herausgab

Am 14. Oktober, vor diesem Vorfall, veröffentlichte Bithumb Leitfäden zu Betrugsmaschen mit geleakten personenbezogenen Daten. Es warnte, dass ein Name, Kontaktdaten und die Kenntnis der genutzten Dienste eine betrügerische Nachricht glaubwürdig erscheinen lassen können, und beschrieb Ansätze rund um falsche Entschädigungsangebote, Identitätsprüfungen und Kontosicherheitsüberprüfungen – genau die Maschen, mit denen Betrüger diese Woche bei besorgten Kunden versuchen würden.

Was Bithumb-Kunden jetzt tun können

• Behandeln Sie jeden Anruf, jede SMS oder E-Mail zum Vorfall als unbemerkt, bis Sie ihn in der Bithumb-App oder auf der normalerweise genutzten Website überprüft haben.
• Teilen Sie niemals ein Passwort, einen Einmalcode oder eine Verifizierungsnummer mit jemandem, der Sie kontaktiert – egal, welche Details diese bereits kennen.
• Ignorieren Sie „Entschädigungsangebote“, die verlangen, dass Sie sich über einen Link anmelden oder Gelder bewegen.
• Behalten Sie das offizielle Hinweistableau von Bithumb im Auge, um eine Benachrichtigung zu erhalten, die die betroffenen Daten nennt.

Wann Kunden mehr erfahren sollten

Das Personal Information Protection Act in Korea setzt eine Frist. Sobald ein Unternehmen davon erfährt, dass personenbezogene Daten geleakt wurden, muss es die betroffenen Personen innerhalb von 72 Stunden benachrichtigen, einschließlich Schritte, die diese ergreifen können, um Schäden zu begrenzen, und innerhalb desselben Zeitraums bei der PIPC oder KISA melden, wenn 1.000 oder mehr Personen betroffen sind oder das Leck einen illegalen externen Zugriff umfasste.

Bithumb hat den Einbruch bereits beiden Behörden gemeldet. Bestätigt die Prüfung, dass Kundendaten offengelegt wurden, beginnt die 72-Stunden-Frist zur Benachrichtigung dieser Kunden mit diesem Befund. Eine hilfreiche Mitteilung würde nennen, welche Datenfelder sich in der App befanden, welchen Zeitraum die Offenlegung abdeckt und wie Bithumb die betroffenen Nutzer kontaktiert – damit Kunden eine echte Nachricht von den Betrugsmaschen unterscheiden können, vor denen der eigene Leitfaden warnt.

Dieser Artikel dient ausschließlich Informationszwecken. Der Umfang des Vorfalls wird noch untersucht, und die Erkenntnisse können sich ändern, wenn Bithumb und die Behörden weitere Informationen bereitstellen.