Hacker stahlen 30 Millionen US-Dollar von einer Bank, leiteten das Geld über neu eröffnete Konten weiter und kauften damit Kryptowährung. Ermittler verfolgten das Geld nahezu in Echtzeit. Die Börsen, auf denen sich die Assets befanden, konnten sie dennoch nicht einfrieren, weil niemand offiziell bestätigt hatte, dass es überhaupt ein Opfer gab.

Das ist der zentrale Frust eines Falls, den Taylor Monahan, Sicherheitsforscherin und Gründerin von MyCrypto, in einem Gespräch mit der Journalistin Laura Shin um den 4. November 2026 aufarbeitete. In dieser Raubgeschichte war der Flaschenhals nicht die Blockchain. Es war der ausgebliebene Anruf der Bank.

Wie sich das Geld bewegte

Nach dem von Monahan und Shin erörterten Ablauf zogen die Angreifer rund 30 Millionen US-Dollar von Konten der Bank ab. Das Geld floss nicht direkt in Krypto. Es landete zunächst auf neu eröffneten Fiat-Konten, von denen aus die Hacker das Geld auf mehreren zentralisierten Börsen in Kryptowährung umtauschten.

Sobald das Geld öffentliche Blockchains berührte, wurde es sichtbar. An diesem Punkt kam ZachXBT, der unabhängige On-Chain-Ermittler, ins Spiel. ZachXBT verfolgte den Fluss der gestohlenen Gelder und versuchte, sich mit den Börsen zu koordinieren, um die Assets einfrieren zu lassen. Auf dem Papier ist das das Idealszenario: Ein Ermittler meldet schmutziges Geld auf regulierten Plattformen, die technisch in der Lage sind, es zu sperren. Auf zentralisierten Plattformen gelten zudem Compliance-Pflichten — Identitätsprüfungen bei der Registrierung, Überwachung der Kontoaktivität — weshalb Ermittler ihre Warnungen zuerst an diese Plattformen richten: Sie sind die Engstellen, die sowohl über die Unterlagen als auch über die technische Möglichkeit zum Eingreifen verfügen.

In der Praxis blieb der Vorhaben stecken. Die Bank hatte den Hack nicht öffentlich eingeräumt und während der laufenden Verfolgung keine Erklärung zu dem Vorfall abgegeben. Ohne diese Bestätigung fehlte den Börsen die verlässliche Grundlage, um zu handeln. Dass ein Drittermittler sagt, das Geld sei gestohlen, ist nicht dasselbe wie eine Aussage des Eigentümers des Geldes.

Kein Fall auf Lazarus-Niveau

Monahan äußerte auch eine Einschätzung dazu, wer hinter der Operation stecken könnte. Nach ihrer Bewertung schien sie nicht mit der Lazarus Group verbunden zu sein, der Nordkorea zugerechneten Gruppierung, die mit einigen der größten Diebstähle der Krypto-Geschichte in Verbindung gebracht wird. Ihre Charakterisierung deutete auf ein weniger raffiniertes Team hin.

Das macht das Ergebnis eher unbequemer, nicht weniger. Wenn eine weniger professionelle Gruppe gestohlene Bankgelder in Krypto überführen kann, während Ermittler zusehen, liegen die Lücken offenbar in den Abläufen und nicht in der Technik.

Das Gespräch beleuchtete zudem Bedenken hinsichtlich der Latenz beim Tracking in Echtzeit. Verfolgungstools können Gelder schnell nachzeichnen, aber die menschliche und institutionelle Reaktionskette bewegt sich mit einer ganz anderen Geschwindigkeit. Das Gespräch betonte die Notwendigkeit einer schnelleren Zusammenarbeit zwischen Finanzinstituten und Börsen, insbesondere an der Fiat-Krypto-Schnittstelle, dem Punkt, an dem traditionelles Geld zu digitalen Assets wird.

Warum ein fehlendes Opfer das System sprengt

Das Einfrieren von Kundengeldern ist für jede Börse ein ernster Schritt, und die Anforderung eines bestätigten Opfers dient als Schutzschiene. Wird das falsche Konto eingefroren, riskiert man, einen legitimen Kunden zu schädigen; werden markierte Gelder freigegeben, riskiert die Plattform, die letzte Station zu sein, bevor eine Waschspur kalt wird. Genau dieser Kompromiss ist der Grund, warum das Problem auftritt, wenn das tatsächliche Opfer schweigt. In diesem Fall war das Institut, das das Geld verloren hatte, die einzige Partei, deren Wort eine Reaktion auslösen könnte — und es hatte sich nicht öffentlich geäußert.

Banken haben nach einem Vorfall ihre eigenen Gründe, vorsichtig vorzugehen: interne Ermittlungen, rechtliche Prüfung, Reputationsbedenken. Keine dieser Zeitleisten passt dazu, wie schnell sich Krypto bewegen kann, sobald es ein öffentliches Ledger erreicht.

Das Ergebnis ist eine seltsame Umkehrung. Krypto, oft als die opake Seite der Finanzwelt kritisiert, war in dieser Geschichte der Teil, in dem das Geld sichtbar war. Bei der traditionellen Bank lag die Informationslücke.

Was das für Börsen, Banken und Nutzer bedeutet

Für zentralisierte Börsen verdeutlicht der Fall eine missliche Lage. Sie können die letzte Kontrollstelle sein, bevor gestohlene Gelder weiter verschwinden, sind aber an Verifizierungsstandards gebunden, die davon abhängen, dass externe Parteien sich melden.

Für Banken liegt die Lektion in der Geschwindigkeit der Offenlegung, zumindest gegenüber den richtigen Gegenparteien. Eine Privatche bestätigt einem Börse einen Angriff, die verfolgte Gelder hält, ist etwas anderes als eine Pressemitteilung — und beides muss nicht im selben Zeitrahmen erfolgen.

ZachXBT hat wiederholt gezeigt, dass die Verfolgung die einfachere Hälfte des Problems ist. Dieser Fall zeigt die schwierigere Hälfte: die Institutionen, die handeln können, dazu zu bringen, dies zu tun, bevor sich das Geld wieder bewegt. Das Signal, auf das es jetzt ankommt, ist die Offenlegung. Wenn die Bank den Angriff schließlich bestätigt — öffentlich oder privat gegenüber den Plattformen, die die Verfolgungsmeldung erhalten haben — würde die Verifizierung, die den Börsen laut eigenen Angaben fehlte, nicht mehr im Weg stehen. Ob diese Bestätigung eintrifft, während sich die verfolgten Assets noch auf Börsen befinden, die sie einfrieren könnten, ist die offene Frage in diesem Fall.

Dieser Artikel basiert auf einer Reportage von CryptoBriefing, redigiert von John Chen.