Tracker für Sicherheitsvorfälle bei Krypto-Wallets
Stand 2026-10-25 erfassen wir seit 2018 60 Sicherheitsvorfälle, die bekannte Self-Custody-Wallets und ihre Nutzer betreffen, darunter 20 Hacks, Exploits oder offengelegte Schwachstellen sowie 5 Supply-Chain-Angriffe. Die meisten Verluste von Nutzern entstanden durch Phishing, Drainer und gefälschte Apps, nicht durch gebrochene Wallet-Kryptografie.
Kurzfakten
- Was waren die größten Wallet-bezogenen Vorfälle?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Profanity-Vanity-Adressen (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- Was ist der neueste Vorfall?
- 2026-10-09: Ledger-Geräte, die über CryptoBilis verkauft wurden, einen südostasiatischen Händler, der von Ledger als autorisiert geführt wurde, enthielten ein verstecktes Implantat, das die 24-Wörter-Phrase bei der Einrichtung auslas und über ein Mobilfunkmodul (LTE) versendete; Ledger bestätigte das Implantat in einer Stellungnahme vom 10. Okt. CryptoBilis stoppte den Verkauf, Ledger forderte Besitzer dieser Geräte auf, ihre Guthaben auf ein neues Gerät mit neuem Seed zu übertragen, und bat am 13. Okt. Händler in sieben asiatischen Märkten, die Ware aus dem Verkauf zu nehmen. Auch MediaMarktSaturn stellte den Verkauf von Ledger-Geräten ein. Laut Ledgers Dokumentation prüft Genuine Check das Secure Element und kann physische Manipulationen nicht erkennen.
- Was ist die wichtigste Lehre?
- Die meisten Verluste beginnen außerhalb der Wallet-Kryptografie: Phishing-Seiten, gefälschte Apps, bösartige Freigaben und kompromittierte Lieferketten. Prüfe Downloads, gib deine Seed-Phrase niemals auf einer Website ein und kontrolliere, was du signierst.
Zeitleiste
| Datum | Wallet | Art | Gemeldeter Verlust | Was geschah | Quelle |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | Lieferkette | ~$86M–$93M | Ledger-Geräte, die über CryptoBilis verkauft wurden, einen südostasiatischen Händler, der von Ledger als autorisiert geführt wurde, enthielten ein verstecktes Implantat, das die 24-Wörter-Phrase bei der Einrichtung auslas und über ein Mobilfunkmodul (LTE) versendete; Ledger bestätigte das Implantat in einer Stellungnahme vom 10. Okt. CryptoBilis stoppte den Verkauf, Ledger forderte Besitzer dieser Geräte auf, ihre Guthaben auf ein neues Gerät mit neuem Seed zu übertragen, und bat am 13. Okt. Händler in sieben asiatischen Märkten, die Ware aus dem Verkauf zu nehmen. Auch MediaMarktSaturn stellte den Verkauf von Ledger-Geräten ein. Laut Ledgers Dokumentation prüft Genuine Check das Secure Element und kann physische Manipulationen nicht erkennen. | cryptoslate.com |
| 2026-10-01 | MetaMask | Sonstiges | — | MetaMask meldete einen „laufenden Sicherheitsvorfall“, der einen Teil seiner Infrastruktur betrifft, und begann vorsorglich, Validatoren seines nicht-verwahrenden Staking-Dienstes abzuziehen (einschließlich seiner Validatoren bei Lido, deren Ausstieg bis 7. Okt. abgeschlossen sein sollte). Nach eigenen Angaben fand MetaMask keine Hinweise darauf, dass Wallets oder Kundengelder betroffen waren; die Ursache wurde nicht genannt. | thehackernews.com |
| 2026-09-09 | Trezor | Phishing | — | Angreifer drangen bei Trezors E-Mail-Marketing-Dienstleister Brevo ein und verschickten von [email protected] Phishing-E-Mails über eine angebliche STM32-„Mikrocontroller-Schwachstelle“, die auf eine Seite zum Diebstahl von Seed-Phrasen führten. Trezor ließ die Domain innerhalb von etwa 20 Minuten abschalten, sperrte sein Brevo-Konto und erklärte, dass kein anderes Trezor-System betroffen war. | bleepingcomputer.com |
| 2026-08-16 | SafePal | Datenleck | — | Ein Angreifer nutzte eine Autorisierungslücke in einem Plug-in zur Sendungsverfolgung im Webshop von SafePal aus und erbeutete Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestelldetails zu Bestellungen von März 2025 bis April 2026; Seed-Phrasen und Schlüssel waren nicht betroffen. SafePal schloss die Lücke, beauftragte eine externe Sicherheitsfirma und ließ mehr als 30 Phishing-Seiten abschalten. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (Browser-Erweiterung) | Schwachstelle | — | Der Forscher V12 meldete eine Lücke zur „stillen Signaturextraktion“ in der Rabby-Erweiterung: Eine bösartige Website, mit der der Nutzer verbunden war, konnte ohne Abfrage Signaturen erhalten, wenn der Auto-Lock-Timer auf 10 Minuten eingestellt war. Rabby veröffentlichte am 11. Aug. 2026 einen Fix, erklärte, die mobile App sei nicht betroffen, und meldete keine bekannte Ausnutzung. | techflowpost.com |
| 2026-08-10 | Trezor | Datenleck | — | Trezors Logistikdienstleister ShipMonk wurde über eine Metabase-Schwachstelle kompromittiert, wodurch Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen zu Bestellungen vom 10. Mai bis 8. Aug. 2026 offengelegt wurden. Am 7. Sept. teilte Trezor mit, dass auch Daten von 67.000 US-Kunden, die zwischen Nov. 2019 und Aug. 2021 bestellt hatten, betroffen waren, weil ShipMonk sie nicht gelöscht hatte. Trezor erklärte, die eigenen Systeme und Geräte seien nicht kompromittiert, und warnte vor nachfolgendem Phishing. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | Schwachstelle | ~$116M | Ein Fehler in der Build-Konfiguration, der auf die Coldcard-Firmware 4.0.1 (März 2021) zurückgeht, führte dazu, dass Seeds auf betroffenen Mk2/Mk3 und in geringerem Maße auf Mk4, Mk5 und Q-Firmware aus einem schwachen Software-RNG statt aus der Hardware-Entropiequelle stammten und daher per Brute Force ermittelt werden konnten; Diebstähle begannen am 30. Jul. 2026. Coinkite lieferte am 31. Jul. korrigierte Firmware aus (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) und forderte Besitzer betroffener Seeds auf, einen neuen Seed zu erstellen und ihre Guthaben zu übertragen; das Update schützt nur neue Seeds. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (nachgeahmt) | gefälschte App | ~$1.8M | Drei Nutzer verklagten Apple vor einem Bundesgericht in Kalifornien mit dem Vorwurf, eine gefälschte iOS-App namens „Sparrow Wallet“ (das echte Sparrow hat keine iOS-Version) habe Mitte 2025 ihre Seed-Phrasen und Bitcoin gestohlen. Apple äußerte sich nicht zur Klage, erklärte aber, dass es derzeit keine Sparrow-Wallet-Nachahmer im App Store gebe. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, TROPIC01-Chip) | Schwachstelle | — | Ledgers Donjon fand eine Schwachstelle für Laser-Fehlerinjektion im sicheren Chip TROPIC01, der im Trezor Safe 7 verbaut ist; ein Angriff erfordert physischen Besitz, Dekapselung und Laborausrüstung und lässt sich bei bestehenden Chips nicht per Firmware beheben. Trezor erklärte, Wallet-Schlüssel und Backup würden nicht auf diesem Chip gespeichert, sodass Guthaben, PIN und Backup nicht offengelegt werden könnten, und Nutzer nichts unternehmen müssten. | trezor.io |
| 2026-04-20 | Mehrere (MetaMask, Ledger, Trust Wallet, Coinbase und andere nachgeahmt) | gefälschte App | — | Kaspersky meldete 26 gefälschte Wallet-Apps in Apples App Store, Teil einer Kampagne, die mindestens seit Herbst 2025 aktiv ist. Sie drängten Nutzer, über ein Entwicklerprofil trojanisierte Wallet-Versionen zu installieren, oder fragten auf gefälschten Bildschirmen die Wiederherstellungsphrase ab. | kaspersky.com |
| 2026-04-07 | Ledger (nachgeahmt) | gefälschte App | ~$9.5M | Eine gefälschte Ledger-Live-App im Mac App Store von Apple sammelte Wiederherstellungsphrasen; ZachXBT ordnete ihr Diebstähle von rund 9,5 Mio. $ zwischen dem 7. und 13. Apr. 2026 zu, wobei drei Opfer jeweils über 1 Mio. $ verloren. Apple entfernte den Eintrag, ohne zu erklären, wie er die Prüfung bestanden hatte. | theblock.co |
| 2026-02-14 | Trezor, Ledger | Phishing | — | Briefe auf gefälschtem Trezor- und Ledger-Briefpapier behaupteten, ein verpflichtender „Authentication Check“ oder „Transaction Check“ sei erforderlich, und leiteten Empfänger per QR-Code auf Phishing-Seiten, die Wiederherstellungsphrasen sammelten. Beide Anbieter betonen, dass sie niemals nach einer Wiederherstellungsphrase fragen. | bleepingcomputer.com |
| 2026-01-05 | Ledger | Datenleck | — | Global-e, der Zahlungsabwickler für einen Teil der Bestellungen auf Ledger.com, wurde kompromittiert, wobei Namen und Kontaktdaten von Kunden offengelegt wurden. Ledger erklärte, die eigene Hardware, Software und Plattform seien nicht betroffen und es bestehe kein Risiko für Guthaben. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (Browser-Erweiterung) | Lieferkette | ~$8.5M | Eine bösartige Chrome-Erweiterung v2.68, die außerhalb des eigenen Release-Prozesses von Trust Wallet veröffentlicht wurde, schleuste Wiederherstellungsphrasen von Nutzern aus, die sich zwischen dem 24. und 26. Dez. angemeldet hatten. Trust Wallet geht mit hoher Sicherheit davon aus, dass der Angriff auf den npm-Wurm Sha1-Hulud vom Nov. 2025 zurückgeht, der GitHub-Secrets von Entwicklern und einen API-Schlüssel für den Chrome Web Store offengelegt hatte. Das Unternehmen veröffentlichte v2.69, widerrief seine Release-APIs, ließ die Exfiltrations-Domain abschalten und richtete ein Antragsverfahren zur Entschädigung betroffener Nutzer ein. | trustwallet.com |
| 2025-12-20 | Allgemein (Address Poisoning) | Phishing | ~$50M | Ein Trader kopierte eine zum Verwechseln ähnliche Adresse, die ein Address-Poisoning-Skript in seinem Transaktionsverlauf platziert hatte, und schickte nach einer kleinen Testüberweisung fast 50 Mio. $ in USDT dorthin. Der Angreifer wusch die Gelder über DAI, ETH und Tornado Cash; das Opfer bot eine Belohnung von 1 Mio. $ an. | theblock.co |
| 2025-12-16 | Exodus | Richtlinie | — | Die OFAC des US-Finanzministeriums gab einen Vergleich über 3.103.360 $ mit Exodus Movement wegen 254 mutmaßlicher Verstöße gegen Iran-Sanktionen bekannt (12 davon als schwerwiegend eingestuft). Zwischen Okt. 2017 und Jan. 2019 halfen Support-Mitarbeiter von Exodus Nutzern im Iran, in einigen Fällen beim Zugang zu Partnerbörsen, und schlugen in 12 Fällen VPNs vor. Kein Hack; Gelder von Nutzern waren nicht betroffen. | ofac.treasury.gov |
| 2025-09-08 | Allgemein (npm-Lieferkette) | Lieferkette | ~$600 | Nach einem Phishing-Angriff auf einen Maintainer veröffentlichten Angreifer bösartige Versionen von chalk, debug und etwa 18 weiteren npm-Paketen. Der Code klinkte sich in Browsern in window.ethereum und Netzwerkaufrufe ein, um Krypto-Empfängeradressen auszutauschen. Die bösartigen Versionen wurden schnell entdeckt und brachten den Angreifern sehr wenig ein. | thehackernews.com |
| 2025-06-23 | Trezor | Phishing | — | Angreifer reichten im Namen von Opfern Anfragen über das Support-Formular von Trezor ein, sodass Trezors eigene automatische Antwort-E-Mails Phishing-Inhalte enthielten. Trezor erklärte, auf seine Systeme und Daten sei nicht zugegriffen worden, ließ die Phishing-Seite abschalten und arbeite daran, weiteren Missbrauch zu verhindern. | theblock.co |
| 2025-05-07 | Allgemein (Inferno Drainer) | Drainer | >$9M | Check Point berichtete, dass Inferno Drainer wieder im Einsatz war, Opfer über gefälschte Collab.Land-Verifizierungsseiten auf Discord lockte und Einweg-Verträge sowie verschlüsselte On-Chain-Konfiguration ergänzt hatte, um der Erkennung zu entgehen. | decrypt.co |
| 2025-04 | Ledger | Phishing | — | Ledger-Nutzer erhielten Briefe, die eine „verpflichtende Wallet-Validierung“ per QR-Code und Eingabe der Wiederherstellungsphrase verlangten. Ledger bestätigte, dass es sich um Betrug handelte, und erklärte, niemals nach den 24 Wörtern zu fragen. | theblock.co |
| 2025-03-05 | Trezor | Schwachstelle | — | Ledgers Donjon zeigte, dass Voltage Glitching an einem ausgelöteten Mikrocontroller einige Lieferketten-Schutzmaßnahmen des älteren Trezor Safe 3 umgehen konnte. Trezor legte das Problem offen, bezeichnete es als schwer ausnutzbar, verwies auf Passphrasen und Firmware-Prüfungen und merkte an, dass der Safe 5 einen gegen Glitching resistenten Chip verwendet. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | Lieferkette | ~$1.5B | Lazarus zugeschriebene Angreifer kompromittierten den Rechner eines Safe{Wallet}-Entwicklers und veränderten Frontend-JavaScript in Safes AWS-S3-Bucket, wodurch die Unterzeichner von Bybit eine getarnte bösartige Transaktion auf der Cold Wallet der Börse freigaben. Safe baute seine Infrastruktur neu auf, tauschte alle Zugangsdaten aus, stellte den Dienst wieder her und erklärte, seine Smart Contracts seien nicht verwundbar gewesen. | slowmist.medium.com |
| 2025-02-06 | Allgemein (SparkCat) | gefälschte App | — | Kaspersky fand das SparkCat-SDK in Apps im App Store und bei Google Play; es nutzte OCR auf dem Gerät, um Screenshots von Wiederherstellungsphrasen in Fotogalerien zu finden und hochzuladen. Beide Stores entfernten die Apps. | thehackernews.com |
| 2025-01-21 | Ledger | Sonstiges | — | Balland und seine Partnerin wurden in Frankreich für ein Krypto-Lösegeld entführt und innerhalb weniger Tage von der Polizei befreit, nachdem Balland an einem Finger verletzt worden war; zehn Verdächtige wurden festgenommen. Der Fall gilt als prominentes Beispiel für die Zunahme physischer „Wrench Attacks“ auf Krypto-Besitzer. | thelocal.fr |
| 2025-01 | Allgemein (Address Poisoning) | Phishing | >$83.8M | Eine Studie auf der USENIX Security 2025 erfasste in rund zwei Jahren etwa 270 Millionen Address-Poisoning-Versuche auf Ethereum und BSC mit Verlusten von mindestens 83,8 Mio. $. | arxiv.org |
| 2024-12-30 | Tangem | Schwachstelle | — | Ein Logging-Fehler in der mobilen App schrieb private Schlüssel in Logs, wenn ein Nutzer eine Wallet mit Seed-Phrase erstellte, und diese Logs konnten beim Tangem-Support landen. Tangem behob den Fehler am 30. Dez. 2024, löschte die Support-Logs, kontaktierte betroffene Nutzer und erklärte, es seien keine Gelder verloren gegangen, wurde aber dafür kritisiert, öffentlich wenig mitzuteilen. | cointelegraph.com |
| 2024-09 | WalletConnect (nachgeahmt) | gefälschte App | ~$70,000 | Check Point fand eine gefälschte „WalletConnect“-App bei Google Play, die etwa fünf Monate lang Wallets leerte – der erste rein mobile Krypto-Drainer, den das Unternehmen beobachtet hatte. Die App wurde entfernt. | thehackernews.com |
| 2024-05-17 | Allgemein (Pink Drainer) | Drainer | ~$85M | Pink Drainer, ein Drainer-as-a-Service-Angebot, das für die Übernahme von Discord- und X-Konten bekannt war, kündigte nach Diebstählen von rund 85 Mio. $ seine Einstellung an (ScamSniffer). | theblock.co |
| 2024-05-03 | Allgemein (Address Poisoning) | Phishing | ~$68M | Ein Wal schickte 68 Mio. $ in WBTC an eine vergiftete, zum Verwechseln ähnliche Adresse. Nach On-Chain-Verhandlungen gab der Angreifer innerhalb von etwa einer Woche fast alle Gelder zurück. | unchainedcrypto.com |
| 2024-02-12 | Safe (von Angel Drainer missbraucht) | Drainer | ~$403,000 | Angel Drainer setzte einen bösartigen Safe-Vault-Vertrag ein und brachte Opfer dazu, Permit2-Freigaben zu signieren, wobei das „verified“-Abzeichen von Etherscan falsche Sicherheit vermittelte. Laut Blockaid wurde Safe selbst nicht angegriffen. | cointelegraph.com |
| 2024-02-06 | Exodus (nachgeahmt) | gefälschte App | ~$490K | Ein gefälschtes „Exodus“-Wallet-Snap im Snap Store von Ubuntu stahl Wiederherstellungsphrasen; Canonical stellte es nach einer Meldung vom 12. Feb. unter Quarantäne. Ein gefälschtes Ledger-Live-Snap hatte im Sept. 2023 einen Nutzer rund 10.000 $ gekostet. | blog.popey.com |
| 2024-01-17 | Trezor | Datenleck | — | Ein Angreifer verschaffte sich Zugang zu einem Support-Ticketportal eines Drittanbieters und legte Namen und E-Mail-Adressen von Personen offen, die sich seit Dez. 2021 an den Trezor-Support gewandt hatten; mindestens 41 erhielten Phishing-Nachrichten, die auf Seed-Phrasen abzielten. Trezor informierte betroffene Nutzer per E-Mail und erklärte, es seien keine Vermögenswerte kompromittiert worden. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | Lieferkette | ~$600,000 | Über das npm-Konto eines per Phishing kompromittierten ehemaligen Mitarbeiters wurde ein bösartiges Ledger Connect Kit veröffentlicht, das einen Drainer in dApps einschleuste, die die Bibliothek nutzten. Ledger veröffentlichte einen Fix, sagte den Opfern volle Entschädigung zu und kündigte an, Blind Signing zugunsten von Clear Signing auslaufen zu lassen. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | Hack | ~$2.7M | Ein mutmaßlich geleakter Proxy-Admin-Schlüssel ermöglichte es Angreifern, einen veralteten OKX-DEX-Vertrag zu aktualisieren und Token abzuziehen, für die Nutzer Freigaben erteilt hatten. OKX widerrief die Berechtigungen und sagte zu, betroffene Nutzer zu entschädigen. | theblock.co |
| 2023-11-14 | Allgemein (BitcoinJS „Randstorm“) | Schwachstelle | — | Unciphered legte „Randstorm“ offen, schwache Zufallszahlen in BitcoinJS-basierten Browser-Wallets, die 2011–2015 erzeugt wurden (aus JSBN SecureRandom und Math.random des Browsers), wodurch Schlüssel möglicherweise per Brute Force ermittelt werden können. Besitzer wurden aufgefordert, ihre Guthaben zu übertragen. | forklog.com |
| 2023-11 | Allgemein (Inferno Drainer) | Drainer | >$80M | Inferno Drainer, aktiv seit Nov. 2022 und mit gefälschten Auftritten von mehr als 100 Krypto-Marken auf über 16.000 Phishing-Domains, kündigte im Nov. 2023 seine Einstellung an (Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (nachgeahmt) | gefälschte App | ~$768,000 | Eine gefälschte Ledger-Live-App im Microsoft Store stahl ab dem 19. Okt. 2023 Wiederherstellungsphrasen, wie ZachXBT meldete. Microsoft entfernte sie. | bitdefender.com |
| 2023-09-05 | Allgemein (LastPass-Datenleck) | Datenleck | >$35M | Forscher brachten eine Reihe von Krypto-Diebstählen mit Seed-Phrasen in Verbindung, die in beim Datenleck 2022 gestohlenen LastPass-Tresoren gespeichert waren und offline geknackt wurden. Sie bezeichneten den Zusammenhang als wahrscheinlich, aber nicht eindeutig belegt. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | Schwachstelle | >$900,000 | Der Befehl `bx seed` verwendete einen zeitbasiert initialisierten PRNG mit nur 32 Bit Entropie (CVE-2023-39910), sodass Seeds per Brute Force ermittelt werden konnten. Libbitcoin bestritt, dass es sich um einen Fehler handelte, und verwies auf Warnhinweise in seiner Dokumentation. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | Hack | >$100M | Tausenden Nutzern von Atomic Wallet wurden Gelder bei einem Angriff entwendet, den Elliptic der nordkoreanischen Lazarus Group zuschrieb. Atomic bestätigte nie eine Ursache und nannte vier mögliche Angriffswege; das Unternehmen arbeitete mit Börsen, Chainalysis und Crystal zusammen, um Gelder einzufrieren, und kündigte keine Entschädigung an. | decrypt.co |
| 2023-05 | Ledger (Recover) | Richtlinie | — | Ledger kündigte Ledger Recover an (16. Mai 2023), einen optionalen kostenpflichtigen Dienst, der die Seed-Phrase verschlüsselt und auf drei Verwahrer aufteilt. Nutzer kritisierten, dass die Firmware Schlüssel extrahieren könne; CEO Pascal Gauthier entschuldigte sich für die Kommunikation, versprach eine schnellere Offenlegung des Quellcodes und verschob den Start. | forklog.com |
| 2023-04-22 | Trust Wallet (Browser-Erweiterung) | Schwachstelle | ~$170,000 | Eine Entropie-Schwachstelle in WebAssembly in Trust Wallet Core machte einige von der Erweiterung erzeugte Wallets erratbar, worauf zwei Exploits folgten. Trust Wallet behob das Problem, sicherte den Großteil der gefährdeten Gelder und richtete Entschädigungen ein. | theblock.co |
| 2023-02 | OneKey | Schwachstelle | — | Unciphered veröffentlichte ein Video, in dem über eine Firmware-Schwachstelle in etwa einer Sekunde Geheimnisse aus einem OneKey Mini ausgelesen wurden. OneKey erklärte, die Schwachstelle behoben zu haben. | unciphered.com |
| 2022-12 | BitKeep (heute Bitget Wallet) | gefälschte App | ~$8M | Trojanisierte BitKeep-APKs für Android, die über Phishing-Seiten verbreitet wurden, stahlen private Schlüssel; die Version bei Google Play war nicht betroffen. | halborn.com |
| 2022-10-18 | BitKeep Swap (heute Bitget Wallet) | Hack | ~$1M | Die Swap-Funktion von BitKeep wurde auf BNB Chain und Polygon ausgenutzt. BitKeep setzte Swap aus und versprach über ein Antragsportal eine Entschädigung von 100 %. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | Hack | — | Weniger als einen Monat nach dem Start leerte ein Exploit im Router-Vertrag von Rabby Swap Token, für die Nutzer Freigaben erteilt hatten. Rabby forderte Swap-Nutzer auf, alle Freigaben zu widerrufen. | theblock.co |
| 2022-09-20 | Profanity-Vanity-Adressen (Wintermute) | Schwachstelle | ~$160M | Der Market Maker Wintermute verlor 160 Mio. $, was weithin darauf zurückgeführt wird, dass seine Admin-Hot-Wallet eine mit Profanity erzeugte Vanity-Adresse war, deren Schlüssel per Brute Force ermittelt werden konnte. 1inch hatte die Profanity-Schwachstelle eine Woche zuvor offengelegt. | theblock.co |
| 2022-08-02 | Slope Wallet | Schwachstelle | ~$4M–$5M | Die mobile App von Slope schickte Seed-Phrasen an einen Sentry-Logging-Server, wo sie unverschlüsselt gespeichert wurden (Otter Sec). Slope forderte Nutzer auf, ihre Guthaben zu übertragen; Phantom erklärte, seine Systeme seien nicht kompromittiert und betroffene Phantom-Nutzer hätten Slope-Seeds importiert. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (und Brave) | Schwachstelle | — | Halborns Offenlegung „Demonic“ zeigte, dass Browser-Dateien zur „Sitzungswiederherstellung“ Seed-Phrasen unverschlüsselt auf der Festplatte speichern konnten. MetaMask und Phantom lieferten Fixes aus. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | Phishing | ~$650,000 | Bei einem Telefonbetrug wurde die Apple-ID eines Nutzers übernommen und das iCloud-Backup seines MetaMask-Tresors genutzt, um die Wallet zu leeren. MetaMask warnte Nutzer und veröffentlichte eine Anleitung, wie man das iCloud-Backup für die App deaktiviert. | decrypt.co |
| 2022-04-03 | Trezor | Phishing | — | Ein durch einen Insider begünstigter Einbruch bei Mailchimp führte dazu, dass Trezor-Kunden Phishing-E-Mails erhielten, die für eine gefälschte „Trezor Suite“-App zum Diebstahl von Seed-Phrasen warben. Trezor ließ die Domain abschalten und setzte Newsletter aus. | siliconrepublic.com |
| 2021-06-16 | Ledger | Phishing | — | Mit Daten aus dem Leck von 2020 verschickten Kriminelle manipulierte, gefälschte Ledger Nano X als angebliche „Ersatzgeräte“, die Opfer aufforderten, Software auszuführen und ihre Wiederherstellungsphrase einzugeben. Ledger bekräftigte, niemals nach der Phrase zu fragen. | bleepingcomputer.com |
| 2021-01-22 | Trezor (nachgeahmt) | gefälschte App | >$1M | Eine gefälschte „Trezor“-App in Apples App Store sammelte vom 22. Jan. bis 3. Feb. 2021 Seed-Phrasen ab; eine ähnliche Fälschung tauchte bei Google Play auf. | malwarebytes.com |
| 2020-12-20 | Ledger | Datenleck | — | Die im Juni 2020 gestohlene E-Commerce-Datenbank von Ledger wurde auf RaidForums öffentlich gemacht und befeuerte jahrelange Phishing-, Erpressungs- und Fake-Geräte-Kampagnen. Ledger hatte den missbrauchten API-Schlüssel deaktiviert und im Juli 2020 die französische CNIL informiert. | decrypt.co |
| 2020-03-24 | Allgemein (unbegrenzte Token-Freigaben) | Schwachstelle | — | ZenGo zeigte, dass die meisten dApp-Wallets unbegrenzte ERC-20-Freigaben erteilten, die eine bösartige dApp später ausnutzen konnte, um Guthaben abzuziehen. Trust Wallet kündigte ein Upgrade an; MetaMask und Brave boten bereits erweiterte Einstellungen für Freigaben. | cointelegraph.com |
| 2020-01-31 | Trezor | Schwachstelle | — | Kraken Security Labs extrahierten mittels Voltage Glitching in weniger als 15 Minuten physischen Zugriffs verschlüsselte Seeds aus Trezor-Geräten; die Schwachstelle im Mikrocontroller lässt sich nicht patchen. Trezor erklärte, eine BIP39-Passphrase vereitle den Angriff. | theblock.co |
| 2019-04 | Electrum | Sonstiges | — | Ein über Smoke Loader/RIG verbreitetes Botnetz legte ehrliche Electrum-Server per DDoS lahm, um ältere Clients auf bösartige Phishing-Server umzuleiten. Electrum nutzte eine DoS-Schwachstelle in Clients vor Version 3.3, um Upgrades zu erzwingen, und veröffentlichte Hinweise für Serverbetreiber. | malwarebytes.com |
| 2019-02-22 | Coinomi | Schwachstelle | — | Ein Nutzer zeigte, dass die Desktop-Wallet von Coinomi den Text aus dem Wiederherstellungsfeld, einschließlich Seed-Phrasen, an die Rechtschreibprüfungs-API von Google sendete. Coinomi machte ein falsch konfiguriertes Plug-in verantwortlich und behob den Fehler am 22. Feb. 2019. | theblock.co |
| 2018-12-27 | Trezor, Ledger | Schwachstelle | — | Das Team von wallet.fail zeigte auf dem 35C3 Angriffe auf den Trezor One (Schlüsselextraktion ohne Passphrase) sowie auf Ledger Nano S/Blue. Trezor versprach einen Firmware-Fix und kritisierte das Fehlen einer koordinierten Offenlegung. | crowdfundinsider.com |
| 2018-12-21 | Electrum | Phishing | >$4M | Bösartige Electrum-Server missbrauchten die Fähigkeit des Clients, Fehlermeldungen als Rich Text anzuzeigen, um gefälschte „Update“-Hinweise mit Links zu trojanisierten Wallets einzublenden, die Seeds stahlen oder Zahlungen umleiteten. Electrum behob das Problem in 3.3.3/3.3.4 und erzwang später Upgrades. | malwarebytes.com |
So schützt du dich
Lade Wallets nur von der offiziellen Website oder dem offiziellen Store-Eintrag herunter und gib die Adresse selbst ein; gib eine Seed-Phrase niemals auf einer Website ein und teile sie nie mit dem „Support“; lies jede Transaktion und jede Freigabe, bevor du signierst; prüfe jedes Zeichen einer eingefügten Adresse, nicht nur die ersten und letzten paar, denn Address Poisoning kopiert genau diese; und bewahre größere Beträge auf einer Hardware-Wallet auf. Siehe Sicherheit der Seed-Phrase und Betrug mit Krypto-Wallets.
Methodik und Zitierung
Die Einträge stammen aus Post-Mortems der Anbieter, von Sicherheitsforschern und aus seriöser Berichterstattung; jede Zeile nennt ihre Quelle. Verlustangaben entsprechen den damaligen Meldungen. Journalisten und Forscher dürfen diese Seite zitieren; bitte verlinke sie. Die Daten stehen auf unserer Presseseite kostenlos zum Download bereit. Korrekturen sind willkommen.