Ein Bedrohungsakteur, dem gemeldete Diebstähle von mehr als 300 Millionen USD bei Coinbase-Nutzern zugeschrieben werden, hat erneut Gelder bewegt. Der On-Chain-Ermittler VAL erklärte, bei der jüngsten Transaktion seien rund 500.000 USD in Ether umgewandelt und an Tornado Cash übertragen worden.

Die Ermittler führen die umfassenderen Verluste auf Social Engineering gegenüber einzelnen Kontoinhabern zurück. Die Kampagne haben sie nicht als Ausnutzung einer Smart-Contract-Schwachstelle beschrieben.

‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4 — VAL (@osint_based) August 17, 2026

‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4

Wie Betrüger auf Coinbase-Nutzer abzielten

Die Betrüger gaben sich als Mitarbeiter des Coinbase-Kundensupports aus. Sie kontaktierten Nutzer und versuchten, sich durch Täuschung die Kontrolle über deren Vermögenswerte zu verschaffen.

In einigen Fällen gaben die Opfer den Tätern ihre Kontozugangsdaten preis. In anderen Fällen übertrugen Opfer Kryptowährungen oder genehmigten auf Basis falscher Anweisungen böswillige Transaktionen.

In beiden Fällen richteten sich diese Methoden gegen Kontoinhaber und nicht gegen Schwachstellen der Blockchain selbst. Betrug durch Identitätstäuschung dieser Art ist ein seit Langem bestehendes Problem der Branche, und US-Behörden wie das FBI und die Federal Trade Commission haben wiederholt davor gewarnt, dass Betrüger, die sich als Kundensupport oder Servicevertreter ausgeben, zu den am häufigsten gemeldeten Methoden des Kryptobetrugs gehören.

Zuvor hatte der On-Chain-Ermittler ZachXBT kumulierte Verluste von über 300 Millionen USD gemeldet. Diese Verluste standen im Zusammenhang mit Diebstählen aus mehreren Coinbase-Konten, die in die Operation verwickelt waren.

Berichten zufolge befinden sich weiterhin zweistellige Millionenbeträge in USD in den Wallets des Bedrohungsakteurs. Der Bericht von VAL enthielt keine Angabe zum Gesamtsaldo aller verknüpften Wallets.

Die jüngsten Transfers folgen demselben Weg

VAL berichtete, dass die aktuelle Operation mit der Umwandlung von knapp 500.000 USD in ETH begann, die anschließend an Tornado Cash gesendet wurden.

Drei Wochen zuvor waren rund 2 Millionen USD über denselben Weg geleitet worden. Auch dieser Betrag wurde vor der Übertragung an Tornado Cash in ETH umgewandelt. Die Transaktionen zeigen, dass der Operator mehrere Transfers statt einer einzigen Überweisung nutzte.

Ein- und Auszahlungen bei Tornado Cash werden durch Smart Contracts getrennt, was die Verfolgung von Geldern auf der Ethereum-Blockchain erschwert. Das Protokoll löscht frühere Blockchain-Transaktionen nicht, und Gelder bleiben so lange nachverfolgbar, bis sie die Einzahlungs-Contracts von Tornado Cash erreichen.

Der Mixer selbst stand wegen dieser Funktion im Mittelpunkt juristischer Auseinandersetzungen. Das Office of Foreign Assets Control des US-Finanzministeriums verhängte im August 2022 Sanktionen gegen Tornado Cash und verwies dabei auf dessen Nutzung durch die nordkoreanische Lazarus-Gruppe zum Waschen gestohlener Kryptowährungen; die Sanktionen wurden im März 2025 aufgehoben, nachdem ein US-Berufungsgericht entschieden hatte, dass die unveränderbaren Smart Contracts des Protokolls kein sanktionierbares „Eigentum“ darstellen.

Im aktuellen Bericht nannte VAL zwei an der Transaktion beteiligte Wallets. Die gekürzten Adressen dieser Wallets lauteten „0x5Da2…89D8a“ und „0x3ECe…f296“.

Täter verspottet ZachXBT, während Coinbase Nutzer warnt

Bereits zuvor war bekannt, dass der Bedrohungsakteur Transaktionen an das Wallet von ZachXBT sendete. Berichten zufolge enthielten diese Transaktionen benutzerdefinierte Nachrichten, die den Ermittler während seiner Nachverfolgung verspotteten.

Die Nachrichten verspotteten die Bemühungen von ZachXBT und VAL bei ihren Ermittlungen. Angaben zur Identität des Angreifers oder zum Verbleib der restlichen Gelder gab es nicht.

ZachXBT verfolgte die Gesamtheit der Verluste, während VAL die beiden letzten Transaktionen meldete. Beide Ermittler brachten die Aktivität mit derselben gemeldeten Kampagne in Verbindung. In früheren Fällen vergleichbarer Größenordnung kam der entscheidende Punkt häufig, wenn vermischte Gelder erneut bei Börsen oder anderen regulierten Diensten auftauchten, wo Identitätsprüfungen es ermöglichten, gestohlene Vermögenswerte einzufrieren, nachdem Ermittler Wallet-Daten mit Compliance-Teams geteilt hatten.

Mitarbeiter von Coinbase fragen Kunden nicht nach deren Passwörtern, Zwei-Faktor-Authentifizierungscodes oder nach der Übertragung von Vermögenswerten.