Der Binance-Diebstahl von 6,3 Milliarden US-Dollar verschärft die Sorgen um die Sicherheit von Krypto-Wallets – Experten warnen vor weiteren Angriffen

Ein schwerwiegender Sicherheitsvorfall, von dem Berichten zufolge Vermögenswerte im Wert von rund 6,3 Milliarden US-Dollar im Zusammenhang mit Binance betroffen waren, hat die Debatte darüber neu entfacht, wie Börsen die Gelder ihrer Kunden schützen. Am selben Tag stellte die internationale Plattform von Polymarket den Handel vorübergehend ein, nachdem ein Drittanbieter für Daten kompromittiert worden war. Dabei sollen mindestens 2,7 Millionen US-Dollar an Nutzergeldern gestohlen worden sein.

Diese Vorfälle werfen für Krypto-Nutzer eine schwierige Frage auf: Sollten Vermögenswerte auf zentralisierten Handelsplattformen verbleiben, oder sollten Anleger durch Self-Custody-Wallets die vollständige Kontrolle übernehmen?

Darauf gibt es keine allgemeingültige Antwort. Beide Modelle sind mit unterschiedlichen Risiken, Verantwortlichkeiten und Möglichkeiten zur Wiederherstellung verbunden.

Verwahrung durch Börsen ist bequem, bietet aber keinen bankähnlichen Schutz

Zentralisierte Börsen sind für viele Kryptowährungsnutzer nach wie vor der wichtigste Zugang zum Markt. Sie bieten Liquidität, Handelswerkzeuge, Kundensupport und – zumindest in manchen Fällen – die finanziellen Mittel, um Nutzer nach einem Sicherheitsvorfall zu entschädigen.

Wer Vermögenswerte auf einer Börse hält, kontrolliert die privaten Schlüssel jedoch nicht direkt. Die Sicherheit der Gelder hängt dann von der Wallet-Architektur der Plattform, ihren internen Kontrollmechanismen, Auszahlungsrichtlinien, Mitarbeitern, Dienstleistern und Verfahren zur Reaktion auf Cyberangriffe ab.

Tyler Moore, Professor für Cybersicherheit an der University of Tulsa, hat davor gewarnt, dass die Konzentration großer Guthaben auf Handelsplattformen Nutzer einem erheblichen Kontrahentenrisiko aussetzen kann. Anders als traditionelle Bankeinlagen in bestimmten Rechtsordnungen unterliegen Guthaben bei Krypto-Börsen in der Regel keinem allgemein geltenden Einlagensicherungssystem.

Auch die Verbraucherinformationen der Federal Trade Commission zu Kryptowährungen betonen, dass sich Kryptotransaktionen normalerweise nicht auf dieselben Möglichkeiten zur Rückabwicklung und Wiedererlangung von Geldern stützen können wie herkömmliche Finanzdienstleistungen.

Daraus ergibt sich ein wichtiger Unterschied:

• Eine Plattform kann betroffenen Kunden eine Erstattung versprechen.
• Eine Plattform kann über ausreichendes Kapital verfügen, um Verluste aufzufangen.
• Keine dieser Zusagen ist automatisch mit einer gesetzlich geschützten Einlagensicherung gleichzusetzen.

Nutzer sollten daher die Sicherheitsangaben einer Börse, ihre Auszahlungskontrollen, die Methodik des Proof of Reserves, bestehende Versicherungsvereinbarungen und den bisherigen Umgang mit Sicherheitsvorfällen prüfen, bevor sie die Plattform als langfristigen Aufbewahrungsort betrachten.

Self-Custody reduziert das Börsenrisiko – überträgt aber mehr Verantwortung auf den Nutzer

Self-Custody setzt an einem anderen Problem an. Wer die privaten Schlüssel selbst verwaltet, ist weniger von der Zahlungsfähigkeit einer Börse, ihrer internen Wallet-Verwaltung oder der Verfügbarkeit von Auszahlungen abhängig.

Diese Unabhängigkeit gehört zu den zentralen Vorteilen der Blockchain-Technologie. Sie bedeutet allerdings auch, dass Fehler irreversibel sein können. Verlorene Wiederherstellungsphrasen, bösartige Genehmigungen, Phishing-Angriffe, gefälschte Wallet-Anwendungen und kompromittierte Geräte können zu dauerhaften Verlusten führen.

Brett Falk, Professor an der University of Pennsylvania, argumentiert, dass manche Nutzer ihre Gelder möglicherweise lieber einem finanziell leistungsfähigen Unternehmen anvertrauen, als vollständig auf Self-Custody zu setzen. Seine Einschätzung spiegelt eine praktische Realität wider: Viele Nutzer sind nicht darauf vorbereitet, Seed-Phrasen, Transaktionssignaturen, Adressprüfungen und Gerätesicherheit ohne Unterstützung zuverlässig zu verwalten.

Dabei ist Self-Custody keineswegs eine einheitliche Sicherheitskategorie. Es macht einen erheblichen Unterschied, ob man:

• Vermögenswerte auf einem Börsenkonto belässt, das hauptsächlich durch Zugangsdaten geschützt ist.
• Schlüssel in einer Browser-Wallet aufbewahrt, die Phishing und bösartigen Websites ausgesetzt sein kann.
• Eine Hardware-Wallet verwendet, die private Schlüssel von gewöhnlichen Online-Aktivitäten getrennt hält.
• Gelder über ein sorgfältig konzipiertes Multisignatur- oder institutionelles Verwahrungssystem verwaltet.

Welche Lösung geeignet ist, hängt von den technischen Fähigkeiten des Nutzers, der Höhe der Vermögenswerte, der Häufigkeit von Transaktionen und der persönlichen Risikotoleranz im operativen Bereich ab.

Drittanbieter werden zu einer kritischen Angriffsfläche

Der Vorfall bei Polymarket verdeutlicht eine weitere wachsende Gefahr: Ein Unternehmen kann von einer Sicherheitsstörung betroffen sein, selbst wenn sich der direkte Angriff nicht gegen die eigene Wallet-Infrastruktur, sondern gegen einen Dienstleister richtet.

Krypto-Plattformen sind zunehmend auf externe Anbieter für Datenfeeds, Analysen, Cloud-Dienste, Identitätsprüfung, Kommunikation und Transaktionsüberwachung angewiesen. Jede dieser Verbindungen kann die Angriffsfläche vergrößern.

Ein Sicherheitsvorfall bei einem Drittanbieter muss zwar nicht unmittelbar private Schlüssel offenlegen, kann aber dennoch schwerwiegende Folgen haben, darunter:

• Manipulierte Markt- oder Preisdaten
• Unbefugter Zugriff auf Administrationssysteme
• Phishing-Kampagnen unter Verwendung einer vertrauenswürdigen Marke
• Störungen bei Einzahlungen, Auszahlungen oder dem Handel
• Diebstahl von Nutzerdaten, die gezielte Angriffe erleichtern

Für Nutzer bedeutet das, dass die Sicherheit einer Plattform nicht allein danach bewertet werden sollte, ob eine Börse über ein robustes Wallet-System verfügt. Ebenso wichtig sind das Management von Dienstleistern, die Trennung von Zugriffsrechten, die Überwachung von Sicherheitsvorfällen und die Integrität der Daten.

Das NIST Cybersecurity Framework bietet eine weit verbreitete Struktur zur Identifizierung, zum Schutz, zur Erkennung, zur Reaktion und zur Wiederherstellung im Zusammenhang mit Cyberrisiken. Obwohl es nicht speziell für digitale Vermögenswerte entwickelt wurde, sind seine Grundsätze für Krypto-Börsen und Web3-Plattformen von großer Bedeutung.

KI könnte die Geschwindigkeit und das Ausmaß von Krypto-Angriffen erhöhen

Experten erwarten außerdem, dass künstliche Intelligenz die Bedrohungslage verändern wird. Angreifer können KI nutzen, um überzeugendere Phishing-Nachrichten zu verfassen, Kundendienstmitarbeiter zu imitieren, Social Engineering zu automatisieren und potenzielle Opfer in großem Umfang zu identifizieren.

Für Krypto-Nutzer könnten die gefährlichsten KI-gestützten Angriffe weniger darauf abzielen, die Kryptografie der Blockchain zu brechen. Stattdessen könnten sie das menschliche Vertrauen ausnutzen.

Beispiele dafür sind:

• Personalisierte Nachrichten, die das Support-Team einer Börse imitieren
• Gefälschte Sicherheitswarnungen, in denen Nutzer aufgefordert werden, eine Wallet zu „verifizieren“
• Die Imitation von Führungskräften und Influencern per Stimme oder Video
• Automatisch erstellte bösartige Websites, die legitimen Plattformen ähneln
• Betrügerische Anlageangebote, die über koordinierte Accounts verbreitet werden

Blockchain-Transaktionen lassen sich nach ihrer Bestätigung in der Regel nur schwer oder gar nicht rückgängig machen. Nutzer sollten unerwartete Wallet-Aufforderungen, dringende Auszahlungsanfragen und Bitten um Wiederherstellungsphrasen daher als Ereignisse mit hohem Risiko behandeln.

Ein seriöser Dienst wird niemals verlangen, dass Nutzer ihre Seed-Phrase oder ihren privaten Schlüssel preisgeben. Wer diese Informationen erhält, kann die Vermögenswerte möglicherweise ohne weitere Zustimmung transferieren.

Regulierung kann Standards verbessern, aber Risiken nicht beseitigen

Auch die Rolle der Regulierung ist umstritten.

CFTC-Chef Michael Selig hat argumentiert, dass Offshore-Plattformen den Nutzern möglicherweise nicht denselben Schutz bieten wie regulierte US-Finanzmärkte. Er unterstützt einen bundesweiten Registrierungsweg, der es bestimmten Handelsplattformen ermöglichen würde, unter klareren Anforderungen an Cybersicherheit und Compliance tätig zu sein.

Ein regulatorischer Rahmen könnte Mindeststandards schaffen für:

• Die Trennung von Kundengeldern
• Cybersicherheits-Governance
• Die Meldung von Sicherheitsvorfällen
• Risikohinweise
• Die Überwachung von Dienstleistern
• Marktüberwachung
• Pläne zur Geschäftskontinuität und Wiederherstellung

Eine Regulierung kann jedoch nicht garantieren, dass jeder Angriff verhindert wird. Brett Falk weist darauf hin, dass auch Plattformen unter US-amerikanischer Aufsicht gegenüber ausgefeilten Cyberbedrohungen verwundbar bleiben könnten.

Auch die Kundenhinweise der CFTC zu digitalen Vermögenswerten warnen davor, dass Märkte für digitale Vermögenswerte erhebliche Risiken bergen, darunter Betrug, Diebstahl, den Ausfall von Plattformen und einen begrenzten rechtlichen Schutz.

Regulierung kann Verantwortlichkeit und Transparenz verbessern. Sie ersetzt jedoch weder eine solide Wallet-Architektur noch starke Authentifizierung, Transaktionsüberwachung oder die Vorsicht der Nutzer.

Es gibt keine allgemeingültige Definition von „sicher“

Ryan Kirkley, CEO des Global Settlement Network, hat Nutzer dazu aufgefordert, vorsichtig zu sein, wenn sie Vermögenswerte in Wallets oder auf Plattformen verwahren, die keinen nennenswerten Versicherungsschutz bieten. Seine übergeordnete These lautet, dass die Branche noch immer keine einzelne Lösung besitzt, die für jeden Nutzer und jede Art von Vermögenswert Sicherheit garantieren kann.

Diese Einschätzung ist wichtig, weil die Sicherheit von Kryptowährungen auf mehreren Ebenen beruht. Eine Plattform kann über ein hervorragendes Cold-Storage-Verfahren verfügen, aber Schwächen bei den Kontrollen ihres Kundensupports aufweisen. Ein Nutzer kann eine sichere Hardware-Wallet besitzen und dennoch einen bösartigen Smart Contract genehmigen. Eine Börse kann Kunden nach einem Vorfall entschädigen, doch die Erstattungsrichtlinien können je nach Rechtsordnung und Umständen unterschiedlich ausfallen.

Statt nach einer perfekten Verwahrungsmethode zu suchen, sollten Nutzer ihre Sicherheitsstrategie an den Zweck ihrer Gelder ausrichten:

Für den aktiven Handel

Halten Sie auf einer Handelsplattform nur den Betrag, den Sie für kurzfristige Aktivitäten benötigen. Behandeln Sie ein Börsenkonto nicht als dauerhaftes Sparkonto.

Für langfristige Anlagen

Erwägen Sie eine dedizierte Self-Custody-Lösung mit einem sicheren Signiergerät, offline aufbewahrten Wiederherstellungs-Backups und einem sorgfältig getesteten Wiederherstellungsprozess.

Für Portfolios mit hohem Wert

Nutzen Sie mehrschichtige Kontrollen wie mehrere Wallets, Transaktionslimits, getrennte Geräte und – sofern sinnvoll – eine Multisignatur-Governance.

Für alle Nutzer

Aktivieren Sie eine starke Authentifizierung, überprüfen Sie URLs, kontrollieren Sie Transaktionsdetails auf einem vertrauenswürdigen Bildschirm und führen Sie eine klare Dokumentation der Wallet-Adressen und Wiederherstellungsverfahren.

Eine praktische Sicherheitscheckliste für Krypto-Nutzer

Die jüngsten Vorfälle liefern mehrere praktische Lehren:

1. Trennen Sie Handelsguthaben von langfristigen Anlagen.
   Wer alle Vermögenswerte an einem einzigen Ort aufbewahrt, schafft einen zentralen Ausfallpunkt.

2. Nutzen Sie für größere Guthaben einen hardwarebasierten Schlüsselschutz.
   Eine Hardware-Wallet kann private Schlüssel von vielen Onlinebedrohungen abschirmen. Sie schützt Nutzer jedoch nicht vor jeder Form von Phishing oder Social Engineering.

3. Geben Sie niemals eine Seed-Phrase oder einen privaten Schlüssel weiter.
   Kein seriöser Supportmitarbeiter, keine Börse und kein Wallet-Anbieter sollte danach fragen.

4. Überprüfen Sie Transaktionen direkt auf dem Gerät.
   Verlassen Sie sich nicht ausschließlich auf Informationen, die ein möglicherweise kompromittierter Computer oder Browser anzeigt.

5. Überprüfen Sie Token-Genehmigungen und Smart-Contract-Berechtigungen.
   Nicht mehr benötigte Genehmigungen können im Bereich der dezentralen Finanzwirtschaft zusätzliche Risiken schaffen.

6. Erstellen Sie unabhängige Backups.
   Bewahren Sie Wiederherstellungsinformationen sicher auf und fotografieren Sie sie nicht beziehungsweise laden Sie sie nicht in Cloud-Dienste hoch.

7. Beobachten Sie Plattformmitteilungen und Auszahlungsbedingungen.
   Vorübergehende Sperren, ungewöhnliche Wartungsarbeiten oder Änderungen der Auszahlungsrichtlinien können auf betriebliche Probleme hindeuten.

8. Bewerten Sie das Kontrahentenrisiko, bevor Sie Gelder einzahlen.
   Berücksichtigen Sie, in welchem Land das Unternehmen registriert ist, wie Kundengelder verwahrt werden, welche Schutzmechanismen bestehen und wie das Unternehmen in der Vergangenheit mit Vorfällen umgegangen ist.

Was die Vorfälle bei Binance und Polymarket für die Branche bedeuten

Die gemeldeten Vorfälle bei Binance und Polymarket beweisen nicht, dass zentralisierte Verwahrung oder Self-Custody grundsätzlich überlegen ist. Sie zeigen vielmehr, dass die Sicherheit von Kryptowährungen entlang der gesamten Verwahrungskette bewertet werden muss.

Zentralisierte Plattformen können Kapitalreserven, professionelle Sicherheitsteams und die Möglichkeit bieten, Nutzer zu entschädigen. Self-Custody kann die Abhängigkeit von Vermittlern verringern und direkte Kontrolle über private Schlüssel ermöglichen. Beide Modelle können scheitern, wenn Nutzer, Plattformen oder Dienstleister grundlegende Sicherheitsmaßnahmen vernachlässigen.

Da KI-gestützte Angriffe leichter zugänglich werden und die Krypto-Infrastruktur immer stärker miteinander vernetzt ist, sollten Nutzer mit weiteren Versuchen rechnen, Identitätssysteme, Drittanbieter, Wallet-Oberflächen und menschliches Verhalten auszunutzen.

Wer die Abhängigkeit von der Verwahrung durch Börsen reduzieren möchte, kann mit einer Hardware-Wallet wie OneKey eine Offline-Umgebung zum Signieren von Transaktionen und Verwalten privater Schlüssel nutzen. Ihr größter Nutzen entsteht jedoch in Kombination mit disziplinierten Abläufen: sicheren Backups, der Überprüfung von Transaktionsdetails, aktueller Firmware und einer sorgfältigen Kontrolle jeder einzelnen Anfrage.

Die zentrale Erkenntnis ist einfach: Beim Besitz von Kryptowährungen geht es nicht nur darum, wo die Vermögenswerte aufbewahrt werden. Entscheidend ist auch, wer die Schlüssel kontrolliert, welche Systeme Transaktionen beeinflussen können, wie mit Sicherheitsvorfällen umgegangen wird und ob der Nutzer über einen realistischen Plan zur Wiederherstellung verfügt.