Ein 1,5-Milliarden-Dollar-Kryptowährungs-Hack ist zu einem maßgeblichen Fallbeispiel dafür geworden, warum gestohlene digitale Vermögenswerte so schwer zurückzufordern sind – selbst wenn jede Transaktion auf einer öffentlichen Blockchain sichtbar ist. Der Diebstahl – einer der größten der Geschichte – offenbarte die anhaltende Lücke zwischen der Rückverfolgung von Geldern und ihrer tatsächlichen Wiederbeschaffung, sobald sie eine Wallet verlassen haben.

Der Vorfall wurde von der Börse Bybit offengelegt, die einen fortlaufenden Bericht über die Verletzung auf ihrer Sicherheitsvorfall-Zeitleiste veröffentlichte. Bybit-Geschäftsführer Ben Zhou äußerte sich zudem direkt über sein Konto auf X zu der Situation und beschrieb die Reaktion der Börse, während sich die Ereignisse entwickelten. Der Angriff zielte auf Bybits Ethereum-Cold-Wallet ab und wurde anschließend von Blockchain-Analyseunternehmen wie Chainalysis und TRM Labs Nordkoreas Lazarus-Gruppe zugeordnet, woraufhin das FBI eine eigene Bestätigung herausgab – ein Beleg dafür, wie staatlich unterstützte Akteure zu einer dominierenden Kraft hinter großen Krypto-Diebstählen geworden sind.

Warum die Rückgewinnung gestohlener Kryptowährungen so schwierig ist

Das Kernproblem besteht darin, dass Blockchain-Transaktionen nach der Bestätigung in der Regel unwiderruflich sind. Kein zentraler Betreiber kann eine Überweisung rückgängig machen, sodass eine validierte On-Chain-Bewegung ungeachtet der Art und Weise, wie die Gelder beschafft wurden, Bestand hat.

Transparenz löst dieses Problem nicht. Analysten können in Echtzeit beobachten, wie gestohlene Vermögenswerte über Wallets und Netzwerke wandern, doch Sichtbarkeit ist nicht gleichbedeutend mit Kontrolle. Rückverfolgbarkeit sagt Ermittlern, wohin das Geld geflossen ist; Wiederbeschaffbarkeit erfordert jemanden mit der Befugnis, es einzufrieren oder zurückzugeben.

Genau diese Unterscheidung ist der Grund, warum in den ersten Minuten nach einem Angriff Geschwindigkeit enorm wichtig ist. Gelder können fast sofort aufgeteilt und verschoben werden, und je länger sie in Bewegung bleiben, desto geringer werden die Chancen auf eine vollständige Rückgewinnung. Das Ausmaß der Verluste in diesem Fall spiegelt einen breiteren Trend wider: Hacker haben 2024 rund 1,5 Milliarden Dollar abgezogen, bevor die Verluste im Jahr 2025 weiter stiegen. Allein Gruppen mit Verbindungen zu Nordkorea wurden in den letzten Jahren mit Milliarden an gestohlenen Kryptowährungen über mehrere Vorfälle hinweg in Verbindung gebracht, wobei die Rückgewinnungsquoten selbst dann niedrig bleiben, wenn die Urheberschaft geklärt ist.

Wie Angreifer gestohlene Gelder verschleiern

Sobald Vermögenswerte gestohlen wurden, versuchen Angreifer typischerweise, die Spur zu verwischen. Zu den Methoden gehören das Tauschen von Token, das Springen zwischen Wallets sowie das Weiterleiten von Werten über Bridges und Dienste, um den Weg in viele kleinere Schritte zu fragmentieren. In diesem Fall beobachteten Ermittler, wie die Angreifer die Gelder rasend schnell über mehrere Chains und dezentrale Dienste verteilten – ein Vorgehen, das mit früheren Lazarus-Gruppen-Operationen übereinstimmt.

Chain-übergreifende Bewegungen erhöhen die Reibung für jeden, der reagieren will. Jeder Token-Tausch oder jede Bridge kann Verzögerungen für Ermittler und für Plattformen verursachen, die versuchen, Vermögenswerte zu markieren oder einzufrieren, bevor sie sich verstreuen.

Börsen und Dienstanbieter können Gelder manchmal einfrieren, aber nur, wenn die Vermögenswerte rechtzeitig identifiziert und gemeldet werden. Da dieses Zeitfenster eng und das Routing absichtlich verschlungen ist, ist eine teilweise Rückgewinnung weitaus häufiger als eine vollständige Rückgabe. Ähnliche Rückverfolgungs-Herausforderungen traten nach dem 285-Millionen-Dollar-Hack bei Drift auf Solana auf.

Auswirkungen auf Börsen, Nutzer und Aufsichtsbehörden

Diebstähle dieser Größenordnung erhöhen den Druck auf Börsen, Verwahrer und Protokolle, Überwachung und Incident-Response zu verschärfen. Wenn ein einziger Angriff in Minuten einen neunstelligen Betrag bewegen kann, sind die Kosten einer langsamen Erkennung enorm. Der Bybit-Vorfall – bei dem Angreifer angeblich die Signatur-Schnittstelle manipulierten, um eine bösartige Transaktion zu verschleiern – hat zudem die Prüfung von Multi-Signature-Wallet-Abläufen und der Vertrauensannahmen, die in hardwarebasierte Genehmigungsprozesse eingebaut sind, ausgelöst.

Für Nutzer unterstreicht der Vorfall, dass sich Wiederherstellungszeiträume in die Länge ziehen können, selbst wenn die Gelder weiterhin rückverfolgbar bleiben. Bybits eigene, mit dem Angriff verbundene Klage zeigt, wie weit eine betroffene Börse gehen kann, um gestohlene Vermögenswerte nachträglich zu verfolgen.

Wiederherstellungsbemühungen obliegen selten einer einzigen Partei. Sie umfassen typischerweise Börsen, On-Chain-Analyseunternehmen und Strafverfolgungsbehörden, die parallel arbeiten – oft über Rechtsgebiete mit ungleicher Durchsetzung hinweg. Diese Komplexität ist ein Grund, warum massive Hacks ein systemisches Problem für den Sektor bleiben. Dieses Risiko treibt auch das Interesse an präventiven Werkzeugen wie Wallet-basierter Sicherheitssoftware, da die Verluste durch Betrug und Diebstahl weiter steigen. Mit jedem weiteren Mega-Hack bleibt die Fähigkeit – oder Unfähigkeit – der Branche, einzufrieren, zurückzugewinnen und abzuschrecken, eine offene Frage, die sowohl das regulatorische Handeln als auch das Vertrauen der Nutzer in Zukunft prägen wird.