Der Blockchain-Ermittler ZachXBT erklärte am Dienstag, dass der noch nicht offengelegte Kryptoverlust bei einer ungenannten westeuropäischen Institution über 133 Millionen Dollar gestiegen ist – nach der Zahl von 106 Millionen Dollar, die er einen Tag zuvor genannt hatte. ZachXBT, der durch die öffentliche Aufdeckung von Kryptoangriffen bereits früher Offenlegungen erzwungen hat, wirft der betroffenen EU-Einrichtung nun vor, den Vorfall zu vertuschen, statt ihn den EU-Behörden zu melden.

Vertuscht eine EU-Bank einen Crypto-Hack?

Auf seinem Telegram-Kanal schrieb ZachXBT am frühen Dienstag: „Meine Arbeitshypothese ist, dass eine große Finanzinstitution in Westeuropa ausgenutzt wurde und dies derzeit vertuscht wird.“

Nach Angaben des Ermittlers beläuft sich die Verlustschätzung nun auf 133 Millionen Dollar, nachdem weitere 27 Millionen Dollar über zentralisierte Börsen abgeflossen sind. Die Abhebungen gingen auch nach seiner ersten Offenlegung am Montag weiter.

Trotz wiederholter Hinweise auf den Vorfall wurde das Opfer nicht benannt, und die Vertuschungsbehauptung ist ebenfalls nicht unabhängig überprüft.

ZachXBT vermutet keine Beteiligung der nordkoreanischen Lazarus Group, der Einheit, die mit vielen der größten Angriffe auf die Kryptoindustrie in Verbindung gebracht wird, da das Waschmuster nicht den typischen Routen der Gruppe entspreche. Er wies zudem darauf hin, dass mehr als 30 Millionen Dollar der mutmaßlich gestohlenen Mittel innerhalb des Freezing-Netzes der EU gelandet wären, wäre der Vorfall gemeldet worden.

Drei Börsen an einem Tag geleert

Das Analyseunternehmen Bitquery, das eine eigene Untersuchung des Diebstahls veröffentlicht hat, verfolgte 108,8 Millionen Dollar im Zusammenhang mit dem Vorfall On-Chain. Die Transfers begannen am Sonntag, dem 1. November, und leerten über etwa 21 Stunden Konten bei Kraken, Crypto.com und OKX.

Der Großteil des Geldes bewegte sich als USDC auf 15 Wallets, von denen 11 von denselben Börsen bereits vor dem Diebstahl bezahlt worden waren. Dieses Detail führte Bitquery zu dem Schluss, dass der Angreifer über die Schlüssel und Börsen-Logins des Opfers verfügte; laut Arbeitshypothese hat der Angreifer die Geräte des Eigentümers kompromittiert – oder zumindest ein Gerät einer Person im Team des Opfers.

Acht der kompromittierten Wallets waren Trust-Wallet-Smart-Accounts. Bitquery betonte, dass der Vorfall nicht auf einen Fehler in der Trust-Wallet-App hinweist.

Nach dem Diebstahl wurden die Mittel schnell von freezbaren in nicht-freezbare Assets verschoben. Rund 62,98 Millionen Dollar in Stablecoins wurden über etwa vier Stunden über UniswapX in 27.553 ETH getauscht und anschließend in Monero (XMR), eine darauf ausgelegte Privacy Coin, die Transaktionsdetails verschleiert, sowie über Bridges weitergeleitet.

Bitquery zufolge befanden sich zum Zeitpunkt von 13:47 UTC am 2. November noch etwa 78,3 Millionen Dollar auf Ethereum in Wallets mit Verbindung zum Angreifer, während die Wallet des Angreifers weiterhin 3,74 Millionen Dollar in USDC hält – Geld, das Circle weiterhin einfrieren kann.

Warum ein Bank-Opfer anders zu bewerten wäre

ZachXBTs Theorie zielt auf eine Kategorie von Unternehmen ab, die erst vor Kurzem in den Markt eingetreten ist. Europäische Banken haben 2026 damit verbracht, unter den Markets-in-Crypto-Assets-Regeln des Blocs in Krypto einzusteigen, und Kreditinstitute machen inzwischen nahezu 23 % der Crypto-Asset-Serviceanbieter im MiCA-Register der EU aus (Stand September). Die Deutsche Bank, Deutschlands größtes Kreditinstitut, hat auf die MiCA-Zulassung für Digital-Asset-Custody hingearbeitet. Die MiCA-Zulassung ermöglicht diese Verschiebung erst: Lizenzierte Crypto-Asset-Serviceanbieter können Dienste wie Custody und Exchange anbieten, wodurch Banken von Beobachtern zu direkten Verwaltern digitaler Kundenassets wurden.

Cryptopolitans früherer Bericht über den Abfluss von 106 Millionen Dollar stellte dasselbe Muster fest wie bei den Hacks auf Binance und Bitget: Angreifer tauschen Stablecoins in Ether und Privacy Coins um, bevor Circle oder Tether handeln können.

Die Frage der Offenlegung

Der Vorwurf der Vertuschung wiegt am schwersten, wenn das Opfer ein Finanzunternehmen ist. Nach der Digital Operational Resilience Act (DORA) der EU, die seit dem 17. Januar 2025 in Kraft ist, müssen Finanzunternehmen – einschließlich Crypto-Asset-Serviceanbieter – größere ICT-bezogene Vorfälle bei den Aufsichtsbehörden über eine erste Warnung, ein Folge-Update und einen Abschlussbericht melden, wie die französische Marktaufsichtsbehörde AMF erläutert.

ZachXBTs Punkt ist, dass die Verzögerung direkte Kosten verursacht hat: Ohne Offenlegung, so sein Argument, seien rund 30 Millionen Dollar unzugänglich geworden, die die Behörden hätten einfrieren können. Ob ein DORA-pflichtiges Unternehmen betroffen ist, bleibt unbestätigt, und keine Aufsichtsbehörde hat ein Opfer benannt. Derzeit hängt die Geschichte von einer kurzen Liste offener Fakten ab: der Identität der Institution, ob eine Aufsichtsbehörde den Eingang eines Vorfallberichts bestätigt und ob die verbleibenden freezbaren USDC eingefroren werden oder in Assets umgewandelt werden, die kein Emittent mehr erreichen kann.