Ein Hacker, der verdächtigt wird, Käufer von Ledger-Wallets über den Weiterverkäufer CryptoBilis angegriffen zu haben, hat 430.2 ETH im Wert von rund 1,07 Mio. USD über vier separate Wallets an Tornado Cash überwiesen, wie aus dem Bericht von Onchain Lens vom 9. Oktober 2026 hervorgeht. Zusätzlich wurden 270.280 USD an Binance gesendet. Ermittler können die Transaktionen beobachten, doch den Geldfluss zu verfolgen ist etwas anderes, als ihn zu stoppen.

Vier Wallets in den Mixer, ein Hot Wallet an der Börse

Tornado Cash ist ein Mixer-Protokoll, das Einzahlungen vieler Nutzer in gemeinsame Smart-Contract-Pools bündelt und Abhebungen an neue Adressen auszahlt, wodurch die direkte Verbindung zwischen Quelle und Ziel getrennt wird. Obwohl Tornado Cash es erheblich erschwert, Einzahlungen mit Abhebungen zusammenzuführen, wurde die Möglichkeit, die Gelder über andere Wege zurückzuverfolgen, nicht beseitigt.

Ein weiterer Bericht vom 9. Oktober von Onchain Lens ergab, dass 256.567 USD in USDT und nahezu 13.710 USD in TRX an Binance gesendet wurden; eine Überweisung von 22.390 USDT war bereits in der USDT-Gesamtsumme enthalten. Die Gelder wurden den Angaben zufolge in einem Hot Wallet an der Börse platziert – einem internetverbundenen Wallet zur Abwicklung von Ein- und Auszahlungen. Assets in der Verwahrung von Binance können weiterhin eingefroren werden; deren Rückholung ist jedoch eine ganz andere Geschichte.\n### Tether friert USDT ein, während Wallets in USDD wechseln

Tether hat einen Teil der USDT eingefroren, die mit dem mutmaßlichen Diebstahl in Verbindung stehen – ein Hebel, der im Token selbst verankert ist, da der Herausgeber Adressen auf Contract-Ebene auf eine Sperrliste setzen kann. Andere Gelder wurden Berichten zufolge über die SUN.io-Plattform und deren Peg Stability Module in USDD umgewandelt, einen dezentralen Stablecoin, der im TRON-Netzwerk ausgegeben wird, wie TokenPost berichtet. Eingefrorenes USDT konnte gegen nichts umgetauscht werden.

Ein Bericht von TokenPost vom 9. Oktober bezifferte die Assets des mutmaßlichen Hackers auf rund 70,60 Mio. USD in ETH, BTC, USDD und USDT. Während die von Arkham überwachten Wallets einen genaueren Blick auf diese Bestände bieten, ist der im Bericht genannte Wert nicht der bestätigte Betrag der angeblich verlorenen Gelder.

Laut dem FATF-Bericht vom März 2026 sind strengere Maßnahmen erforderlich, um das Einfrieren und Blockieren aller fragwürdigen Stablecoin-Transaktionen sicherzustellen. Die Nutzung von USDD zeigt jedoch, dass Kriminelle Gelder außerhalb des Geltungsbereichs solcher Regeln verschieben können.

Ledger ermittelt weiter, und die Zahl von 90 Mio. USD ist nicht bestätigt

Am 9. Oktober gab Ledger auf X bekannt, dass das Unternehmen Berichten über südostasiatische CryptoBilis-Kunden nachgeht und den Verkäufer aufgefordert hat, den Vertrieb der Geräte einzustellen, wie Cryptopolitan berichtete. Kunden, die in den vergangenen drei Monaten Produkte gekauft hatten, wurden gebeten, die neuen Geräte nicht zu verwenden, während bestehende Nutzer angewiesen wurden, ihre Assets zu einem neuen Signer mit einer neuen Seed-Phrase zu übertragen. Der Rat spiegelt wider, wie Hardware-Wallets konzipiert sind: Die Seed-Phrase wird auf dem Gerät generiert und offline aufbewahrt; ein neuer Signer mit einer frischen Seed-Phrase beseitigt daher jede Abhängigkeit von einer möglicherweise kompromittierten Seed.

Laut einem Artikel von The Block, der am selben Tag veröffentlicht wurde, lagen die Schätzungen von tanuki42 und Specter zwischen 72 Mio. und 86 Mio. USD und beruhten auf einer Analyse der Blockchain-Aktivität. Von B News am 9. Oktober gemeldete Zahlen bezifferten die Summe auf 90 Mio. USD. Keine dieser Zahlen wurde als tatsächliche Verlustschätzung bestätigt, und sie können sich auf unterschiedliche Wallets beziehen.

Changpeng Zhao, einer der Mitgründer von Binance, hat die Theorie eines verkäuferspezifischen Supply-Chain-Angriffs vorgebracht, bei dem ein Gerät zwischen Herstellung und Auslieferung kompromittiert wird. Mark Karpelès, der ehemalige CEO von Mt. Gox, hat die Möglichkeit einer Manipulation der Geräte angesprochen. Keine der beiden Theorien wurde validiert oder bestätigt.

Warum Mixer und Stablecoin-Swaps den Wiederherstellungsbemühungen immer einen Schritt voraus sind

Tornado Cash, das 2022 vom US-Finanzministerium sanktioniert und im März 2025 von der Sanktionsliste gestrichen wurde, blieb eine routinemäßige Anlaufstelle für gestohlene Gelder. TRM Labs meldete bis Mitte Juni 2026 mehr als 700 Mio. USD Zuflüsse zu Tornado Cash, was über 20 % der Mixer-Aktivität entspricht. Der Juli-Bericht zählte 207 Hacks und 972 Mio. USD gestohlene Gelder im ersten Halbjahr. Cryptopolitan berichtete bereits, dass Tornado Cash in 42 % der von Global Ledger untersuchten Exploits auftauchte.

Für Wallet-Besitzer bleibt die größte Sorge die Supply Chain. Ledger hat eine Manipulation der Geräte nicht bestätigt. Die Ergebnisse des Unternehmens, die Reaktion von Binance und weitere Wallet-Bewegungen könnten letztendlich darüber entscheiden, wie viel wiederhergestellt werden kann.