Wie gestohlene Kryptowährung in Ihrer Wallet landet

Am 22. Juli holte jemand mit den passenden Validator-Schlüsseln 24,15 Millionen Dollar in USDC aus der Bridge von AFX Trade auf Arbitrum. Kaputt ging dabei nichts. Die Abhebung trug genug gültige Signaturen für das Quorum der Bridge, also gab das System die Mittel genau so frei, wie es dafür gebaut war. Innerhalb weniger Stunden lag das Geld als rund 12.467 ETH auf Ethereum, in einer Wallet, die jeder im Block-Explorer öffnen kann.

Am Tag darauf verlor die Verus-Ethereum-Bridge etwa 7,54 Millionen Dollar über denselben Import-Pfad, den ein Angreifer schon im Mai ausgenutzt hatte. Das lief schneller und schmutziger: 3.916 ETH direkt in Tornado Cash. Wanchain gab rund 10 Millionen Dollar an einen Kodierungsfehler in einem Validator-Skript ab. Allbridge Core stellte den Betrieb nach einem Flash-Loan-Angriff über 1,65 Millionen Dollar auf seinen Solana-Stablecoin-Pool vorübergehend ein. Am 24. und 25. Juli wurden dem Singapurer Zahlungsdienstleister Triple-A mehr als 9,7 Millionen Dollar aus den Hot Wallets gezogen, verteilt über sechs Chains, davon rund 5.227 ETH in einer einzigen Adresse gebündelt.

Eine Woche, mehr als 47 Millionen Dollar. Und das ist nur das Bestätigte.

CertiKs Hack3D-Bericht für das erste Halbjahr 2026 zählt 1,31 Milliarden Dollar Verlust über 344 Vorfälle. Allein kompromittierte Wallets machten davon über 444 Millionen Dollar aus, aus gerade einmal 33 Fällen.

Jetzt der Teil, der es nie in die Schlagzeilen schafft. All dieses Geld muss irgendwohin, und ein überraschend großer Anteil davon sucht sich ganz normale Leute.

Gestohlene Coins werden an Fremde verkauft

Wer auf 12.467 ETH sitzt, hat ein Problem. Der Bestand ist öffentlich, binnen Stunden von einem halben Dutzend Analysefirmen markiert, und wertlos, solange er nicht zu etwas Ausgebbarem wird. Mixer erledigen einen Teil davon. Der Rest wird zerlegt und über Kanäle hinausgeschoben, die echte Nutzer berühren: OTC-Desks mit lockerem Onboarding, P2P-Angebote, kleine Swap-Dienste, Freelancer, die in Krypto bezahlt werden, Käufer, die bereitwillig zu viel für Ware zahlen.

Bei dieser letzten Gruppe erwischt es die meisten. Sie verkaufen ein Auto, Hardware, eine Domain, ein Designprojekt. Der Käufer zahlt in USDT oder ETH. Das Geld kommt an, die Transaktion wird bestätigt, und Sie ahnen nicht, dass es vor neun Tagen aus einem Bridge-Exploit stammte.

Ihre Börse friert zuerst ein und fragt später

Sobald Sie diese Coins auf eine regulierte Plattform bewegen, werden sie gescannt. Jede große Börse betreibt heute Transaktionsüberwachung bei Einzahlungen, und nach Jahren voller Compliance-Strafen lautet die Standardreaktion auf einen Treffer: Guthaben sperren, Prüfung eröffnen. Sie haben nichts gestohlen. Danach fragt die automatische Prüfung aber gar nicht.

Emittenten können noch weiter gehen. Am 1. Juli setzte OFAC 134 Krypto-Identifikatoren mit Bezug zu ISIS-K auf die SDN-Liste, 131 TRON-Adressen und drei Monero-Adressen, und Tether fror das USDT-Guthaben in allen 131 ein. Zwei Wochen später, am 14. Juli, kamen vier weitere TRON-Wallets unter dem Eintrag der iranischen Zentralbank hinzu, und rund 131 Millionen Dollar in USDT waren eingefroren. Blacklisting passiert auf Ebene des Token-Contracts. Danach kann keine Börse, keine Wallet und keine Bridge das Geld noch bewegen.

Bewertet wird der Abstand zum Diebstahl

Screening-Werkzeuge liefern kein "gestohlen" oder "sauber". Sie liefern Exposure: wie viel von dem, was eine Adresse erreicht hat, auf eine markierte Quelle zurückgeht, und über wie viele Zwischenschritte.

Der direkte Eingang aus der Wallet eines Hackers ist der schlimmste Fall und am leichtesten zu erkennen. Drei Hops später, über eine DEX und ein paar Zwischenstationen, sinkt der Score, aber die Spur ist weiterhin da. Und sie bleibt, denn das Ledger vergisst nicht. Eine Adresse, die heute unauffällig aussieht, kann nächsten Monat rot werden, wenn Ermittler das Clustering des Diebstahls abgeschlossen haben und neue Zuordnungen in die Daten einspielen, gegen die alle prüfen.

Deshalb spielt der Zeitpunkt eine größere Rolle, als die meisten erwarten. Das riskanteste Fenster sind die ersten Tage nach einem großen Diebstahl, bevor die Wäsche-Adressen irgendein Label tragen, wenn ein Verkäufer mit gutem Preis eben nur wie ein guter Preis aussieht.

Prüfen, bevor das Geld fließt, nicht danach

Vier Gewohnheiten, die fast nichts kosten:

• Fragen Sie vorab nach der Absenderadresse. Wer Sie rechtmäßig bezahlt, kann Ihnen sagen, woher die Überweisung kommt. Wer sich weigert, hat Ihnen schon etwas gesagt.
• Prüfen Sie sie, bevor Sie zusagen. Ein Sanktions- und AML-Check für eine einzelne Adresse dauert Sekunden. Sie können hier jede Wallet-Adresse prüfen und ihre Exposure, Flags und Zuordnung sehen, bevor Sie Ware oder Arbeit herausgeben.
• Behandeln Sie einen Rabatt als Warnsignal. Ein OTC-Verkäufer, der 4 % unter Markt anbietet, ist nicht großzügig. Er bepreist das Risiko, das er Ihnen übergibt.
• Heben Sie die Unterlagen auf. Rechnung, Chatverlauf, Adresse, Zeitstempel. Wenn eine Bank oder Börse später nach der Mittelherkunft fragt, entscheidet dieser Ordner über zwei Tage Prüfung statt zwei Monate.

Wenn es schon angekommen ist

Leiten Sie es nicht weiter, teilen Sie es nicht auf, und jagen Sie es nicht durch einen Swap, damit es besser aussieht. Genau dieser Schritt macht aus einem unglücklichen Zahlungseingang etwas, das ein Staatsanwalt als Verschleierung beschreiben kann. Lassen Sie die Mittel, wo sie sind.

Schreiben Sie alles auf: den Hash der eingehenden Transaktion, wer Sie bezahlt hat, wofür und wann. Wenn Sie bereits auf eine Börse eingezahlt haben und in eine Sperre geraten sind, beantworten Sie die Prüfung mit diesen Unterlagen, statt darüber zu streiten. Die meisten Sperren auf wirklich unbedenkliche Einzahlungen werden gelöst, langsam. Geht es um einen nennenswerten Betrag, suchen Sie eine Anwältin oder einen Anwalt in Ihrer eigenen Jurisdiktion, die oder der so etwas schon bearbeitet hat.

Krypto-Zahlungen sind in einer Minute abgewickelt, und darüber vergisst man leicht, dass die Geschichte dahinter dauerhaft und öffentlich ist. Sie können nicht kontrollieren, von wem ein Fremder seine Coins bekommen hat. Sie können dreißig Sekunden investieren, um es herauszufinden, bevor Sie Ja sagen.