Der Schlüssel zum CoinDCX-Vorfall liegt in der offensichtlichen Diskrepanz zwischen „die Wallet wurde deaktiviert“ und „die zugehörigen Verfahren zur Bearbeitung von Geldern laufen noch.“
Laut einer am 25. Oktober von CoinDCX veröffentlichten Erklärung gehörte die betroffene Wallet zu einer alten Betriebsinfrastruktur, die nach dem Sicherheitsvorfall im Juli 2025 aufgegeben wurde. Da einige Nutzer noch Vermögenswerte an veraltete Adressen überwiesen, entschied sich die Plattform, die zugehörigen Einzahlungen weiterhin zu verbuchen und die Gelder anschließend über einen automatischen Sweeping-Dienst auf die Haupt-Wallet zu übertragen. Für einen bestimmten Zeitraum funktionierte der automatische Sweeping-Dienst jedoch nicht ordnungsgemäß, wodurch Gelder an den alten Adressen gestrandet blieben und letztlich ein Verlust von etwa 15,99 Millionen USDT entstand.
Aus Sicht der Nutzererfahrung ist diese Regelung nicht völlig unvernünftig. Kryptowährungsüberweisungen sind irreversibel. Wenn Nutzer Gelder an alte Adressen überweisen und die Börse deren Bearbeitung einfach aufgibt, könnten Nutzer in die missliche Lage geraten, ihre Vermögenswerte nicht zurückerhalten zu können. Alte Adressen weiterhin zu identifizieren und irrtümlich überwiesene Einzahlungen zu bearbeiten, ist tatsächlich ein Versuch, einen Ausgleich zwischen Nutzerservice und Infrastrukturmigration zu schaffen.
Doch genau hier liegt das Problem: Wenn eine Börse beschließt, Gelder an alten Adressen weiterhin zu bearbeiten, bedeutet das, dass sie nicht einfach die Anzeige der Adressen einstellen und die zugehörigen Sicherheitsverantwortlichkeiten als beendet betrachten kann. Solange alte Adressen noch Vermögenswerte empfangen können, muss die Plattform klären, wer für die Überwachung verantwortlich ist, wie Gelder übertragen werden, wie Anomalien Alarme auslösen und welche Maßnahmen ergriffen werden sollen, wenn das Sweeping-System ausfällt.
Mit anderen Worten: Die Tatsache, dass eine alte Wallet nicht mehr Teil der normalen Geschäftsprozesse ist, bedeutet nicht, dass sie den Bereich des Risikomanagements verlassen hat. Wenn die Plattform zugehörige Einzahlungen weiterhin verbucht, aber nicht sicherstellen kann, dass Gelder wie erwartet übertragen werden, dann befinden sich die alten Adressen tatsächlich noch innerhalb der operativen Verantwortungskette der Börse.
Das ist auch der Grund, warum dieser Vorfall die Aufmerksamkeit der Branche verdient. Was die Angreifer ausnutzten, war nicht nur eine Wallet-Adresse mit Sicherheitslücken, sondern auch die möglichen Managementlücken zwischen der Außerbetriebnahme von Wallets, der Bearbeitung von Nutzereinzahlungen und dem automatischen Sweeping.
Von 44 Millionen auf 16 Millionen – warum ist das Risiko erneut aufgetreten?
CoinDCX erlebte im Juli 2025 einen Sicherheitsvorfall von etwa 44 Millionen US-Dollar. Der diesmalige Verlust von etwa 15,99 Millionen USDT ist nicht genau dieselbe Situation wie beim vorherigen Vorfall, aber es gibt einen Zusammenhang, der Fragen aufwirft: Wurden nach dem vorherigen Sicherheitsvorfall die Risiken der alten Infrastruktur ausreichend isoliert und wurden die zugehörigen Verfahren zur Bearbeitung von Vermögenswerten systematisch korrigiert?
CoinDCX erklärte, die betroffene alte Wallet sei nach dem Vorfall von 2025 aufgegeben worden, doch diese Untersuchung ergab, dass der automatische Sweeping-Dienst für einen gewissen Zeitraum ausgefallen war, wodurch sich Gelder ansammelten. Die Plattform erklärte, dass der diesmalige Verlust vom Unternehmen getragen werde, dass die aktuellen Handels- und Wallet-Systeme nicht betroffen seien und dass auch die Guthaben der Nutzer nicht betroffen seien.
Das bedeutet, dass die beiden Vorfälle nicht einfach als derselbe Angriffstyp identifiziert werden können, und es kann in Ermangelung eines vollständigen forensischen Berichts auch nicht direkt behauptet werden, dass die gesamte Sicherheitsarchitektur der Plattform systematisch versagt habe. Doch das wiederholte Auftreten erheblicher Risiken im Zusammenhang mit alten Wallets reicht aus, um Außenstehende zu der Frage zu veranlassen: Hat die frühere Sicherheitskorrektur nur einige Adressen und Systeme ersetzt, oder hat sie bereits die vollständigen Prozesse von Schlüsselverwaltung, Überwachung historischer Adressen, Behandlung anomaler Einzahlungen und Fund-Sweeping abgedeckt?
Im täglichen Betrieb zentralisierter Börsen ist das Wallet-System normalerweise keine Gruppe unabhängiger Adressen, sondern eine komplexe Architektur aus Einzahlungsadressen, Sweeping-Diensten, Hot Wallets, Cold Wallets, Liquiditätsanbietern und internen Buchhaltungssystemen. Probleme in einem beliebigen Glied können den Geldfluss beeinträchtigen. Wenn sich die Sicherheitskorrektur nur auf den Austausch von Schlüsseln oder die Migration aktiver Wallets konzentriert, ohne gleichzeitig historische Berechtigungen zu bereinigen, zugehörige Dienste zu deaktivieren und alte Adressen kontinuierlich zu überwachen, können Risiken in unterschiedlicher Form erneut auftreten.
Bemerkenswerter ist, dass automatisierte Systeme an sich nicht gleichbedeutend mit Sicherheit sind. Automatisches Sweeping kann manuelle Vorgänge reduzieren und die Effizienz der Geldbearbeitung erhöhen, aber sobald Dienstunterbrechungen, Aufgabenrückstände oder anomale Zustände unentdeckt bleiben, können Werkzeuge, die ursprünglich zur Senkung der Betriebskosten gedacht waren, auch zu Kanälen für die Anhäufung von Risiken werden.
Daher testet dieser Vorfall in Wahrheit nicht, ob die Börse Cold Wallets besitzt, sondern ob sie beweisen kann, dass der gesamte Lebenszyklus der Gelder in einem Zustand ist, der überwachbar, nachverfolgbar und rechtzeitig eingreifbar ist.
Warum wiegen On-Chain-Daten schwerer als eine sofortige mündliche Antwort?
Ein weiterer wichtiger Hinweis in dem Vorfall ist die zeitliche Lücke zwischen CoinDCX' erster Reaktion auf die anomalen Transfers und der späteren förmlichen Erklärung.
Am 22. Oktober reagierte CEO Sumit Gupta auf eine Warnung über einen anomalen Transfer, die von einem On-Chain-Ermittler erhoben wurde, und erklärte, die betroffene Adresse gehöre zu einem alten Wallet, das vom Sicherheitsvorfall 2025 betroffen gewesen sei, und die Warnung könne ein „False Positive“ sein. Später äußerte der On-Chain-Ermittler ZachXBT Zweifel und wies darauf hin, dass mindestens eine der betroffenen Adressen nach dem Vorfall vom Juli 2025 noch von einem Liquiditätsanbieter genutzt worden sei und im April und Mai 2026 Gelder an das aktuelle Hot Wallet von CoinDCX transferiert habe. CoinDCX räumte schließlich am 25. Oktober ein, dass es Probleme mit der alten Infrastruktur gegeben habe, und legte die Höhe des Verlusts offen.
Dieser Prozess spiegelt eine immer offensichtlichere Veränderung in der Kryptoindustrie wider: Das öffentliche On-Chain-Ledger verändert die Informationsbeziehung zwischen Börsen und Markt.
Der Geldfluss bei traditionellen Finanzinstitutionen stützt sich üblicherweise auf interne Ledger, Prüfungsberichte und regulatorische Offenlegungen, wodurch es für externe Beobachter schwierig ist, nach einem Vorfall sofort die konkreten Transaktionswege zu erfassen. In einer Public-Chain-Umgebung hingegen können Transferzeit, Betrag, Transaktionshash und Geldflüsse zwischen Adressen von externen Forschern kontinuierlich nachverfolgt werden. Obwohl die tatsächlichen Kontrolleure hinter den Adressen nicht direkt identifizierbar sein mögen, reichen öffentliche Daten aus, um einige Erklärungen von Institutionen zu überprüfen.
Das bedeutet nicht, dass jede Beurteilung von On-Chain-Ermittlern zwangsläufig korrekt ist. On-Chain-Aufzeichnungen können belegen, wann und wie viel eines Vermögenswerts transferiert wurde, aber sie beweisen nicht unbedingt aus sich heraus, wer die Adresse kontrollierte, wie die Gelder innerhalb der Börse verbucht wurden oder wie die konkrete Schwachstelle entstanden ist. Daher erfordert die Bestimmung der Natur des Vorfalls weiterhin die Kombination von Plattformaussagen, technischen Untersuchungen und internen Buchhaltungsunterlagen.
Doch für Börsen sind On-Chain-Informationen längst nicht mehr nur ein Werkzeug zur nachträglichen Rechenschaftslegung; sie können auch zu einer wichtigen Grundlage werden, anhand derer der Markt Risiken beurteilt. Wenn öffentliche Daten erheblich von der ersten Erklärung einer Institution abweichen, muss die Institution klarere Belege und einen Zeitablauf vorlegen, anstatt sich nur auf eine kurze mündliche Antwort zu verlassen.
Aus der Perspektive der Krisenkommunikation ist es ein anderer Ansatz, bei der ersten Gelegenheit einzuräumen, dass eine Untersuchung noch nicht abgeschlossen ist, als ein anomalies Signal direkt als False Positive zu charakterisieren. Ersterer wahrt Raum für spätere Überprüfung, während letzterer das Vertrauen des Marktes verbrauchen kann, bevor die Fakten geklärt sind. CoinDCX räumte später auch ein, dass die Untersuchung der alten Infrastruktur einige Zeit in Anspruch genommen habe und die Plattform proaktiver hätte sein können, die Situation nach außen zu erklären.
Für Börsen erfordert Transparenz nicht, in der Anfangsphase einer Untersuchung alle technischen Details zu veröffentlichen, aber sie erfordert eine klare Unterscheidung zwischen bestätigten Fakten, noch zu überprüfenden Schlussfolgerungen und Maßnahmen, die die Plattform ergreift.
Wohin gingen die 15,99 Millionen USDT? Geld nachzuverfolgen ist nicht dasselbe wie Vermögenswerte wiederzuerlangen
Laut einer Untersuchung des Blockchain-Datenanalyseunternehmens Bitquery transferierten Angreifer etwa 15,99 Millionen USDT von rund 40 TRON-Adressen, die mit CoinDCX verbunden sind, wovon etwa 15,82 Millionen USDT von einer einzigen Adresse stammten und die überwiegende Mehrheit des Gesamtverlusts ausmachten. Die Untersuchung zeigte zudem, dass die Gelder nach dem Transfer aufgeteilt und über mehrere Adressen bewegt wurden, wobei etwa 9,63 Millionen Dollar an Einzahlungsadressen gelangten, die mit OKX, Binance und Gate verbunden sind.
Dieser Geldweg ist in zweierlei Hinsicht von Bedeutung.
Erstens bedeutet die Aufteilung von Geldern nicht, dass die On-Chain-Verfolgung wirkungslos geworden ist. Selbst wenn Vermögenswerte über mehrere Zwischenadressen übertragen werden, bleiben die Transaktionsaufzeichnungen auf der Blockchain erhalten, und Ermittler können einen Teil des Geldflusses anhand von Zeit, Betrag und Adresskorrelationen rekonstruieren. Wenn Vermögenswerte in zentralisierte Handelsplattformen mit Kundenidentifikationsmechanismen gelangen, können die zugehörigen Einzahlungsadressen auch Hinweise für nachfolgende Ermittlungen liefern.
Zweitens ist die On-Chain-Verfolgung jedoch nicht gleichbedeutend damit, dass die Gelder wiedererlangt wurden. Vermögenswerte, die an die Einzahlungsadresse einer Handelsplattform gelangen, zeigen lediglich, dass die Gelder an die betreffende Adresse geflossen sind; dies beweist weder direkt, dass die Handelsplattform den endgültigen Kontrolleur identifiziert hat, noch dass alle Vermögenswerte eingefroren oder zurückgegeben wurden. Das endgültige Ergebnis hängt weiterhin von der Zusammenarbeit der Plattform, der Kontenidentifizierung, den Strafverfolgungsverfahren und nachfolgenden Ermittlungen ab.
Bei zentral ausgegebenen Stablecoins wie USDT kann der Emittent im Einklang mit seinen eigenen Richtlinien und den geltenden rechtlichen Anforderungen bestimmte Adressen einfrieren. Ob ein Einfrieren möglich ist, wann es erfolgt und ob der eingefrorene Betrag alle Verluste abdeckt, erfordert jedoch die Unterstützung durch konkrete Beweise. Es kann nicht angenommen werden, dass der Wiederherstellungsprozess abgeschlossen ist, nur weil einige Gelder an Börsen gelangt sind.
Dies zeigt auch, dass die Auswirkungen von Sicherheitsvorfällen bei Börsen oft über die Plattform hinausreichen, auf der das Problem ursprünglich aufgetreten ist. Wenn Gelder in andere Börsen fließen, Zwischenwallets durchlaufen oder in Cross-Chain-Kanäle gelangen, kann sich der Vorfall zu einem gemeinschaftlichen Problem entwickeln, an dem mehrere Institutionen beteiligt sind. Die Wiedererlangung von Vermögenswerten hängt nicht nur von den eigenen Ermittlungsfähigkeiten der geschädigten Plattform ab, sondern auch von der Informationsweitergabe und der Reaktionsgeschwindigkeit innerhalb der Branche.
Für Nutzer kann die On-Chain-Transparenz die Beobachtbarkeit eines Vorfalls verbessern, aber sie kann das Risiko eines Vermögensverlusts nicht beseitigen. Öffentliche Aufzeichnungen helfen bei der Verfolgung von Geldern, können aber die Risikokontrolle im Vorfeld nicht ersetzen.
Welche Art von Überprüfung ist für das Versprechen, dass die Nutzergelder nicht betroffen sind, noch erforderlich?
CoinDCX betonte, dass der diesmalige Verlust vom Unternehmen getragen wird, dass die Kontostände der Nutzer, die aktuellen Wallets und die Handelssysteme nicht betroffen sind und dass die Einzahlungs-, Auszahlungs- und Handelsdienste der Plattform ebenfalls normal bleiben.
Diese Aussage ist wichtig, aber der Markt muss noch drei verschiedene Ebenen unterscheiden: ob der in den Nutzerkonten angezeigte Saldo vollständig ist, ob die Plattform über tatsächliche Vermögenswerte verfügt, die ausreichen, um die betreffenden Verbindlichkeiten zu decken, und warum die Gelder in der betroffenen alten Adresse lange Zeit blockiert blieben.
Unter dem Betriebsmodell zentralisierter Börsen spiegeln die Kontostände der Nutzer in der Regel die internen Buchhaltungsaufzeichnungen der Plattform wider und bedeuten nicht, dass jeder Nutzervermögenswert eins zu eins einer unabhängigen On-Chain-Adresse entspricht. Daher ist es selbst dann, wenn die Nutzersalden unverändert bleiben, noch erforderlich, die Beziehung zwischen den tatsächlichen Vermögenswerten der Plattform und den Verbindlichkeiten gegenüber den Nutzern durch interne Buchhaltungsabstimmung, Vermögensnachweise und unabhängige Prüfungen zu bestätigen.
CoinDCX erklärte, dass es die Verluste tragen wird, was bedeutet, dass die Plattform ihre eigenen Ressourcen einsetzen muss, um diese Finanzierungslücke zu absorbieren. Ob diese Verpflichtung jedoch eine dauerhafte Marktanerkennung gewinnen kann, hängt weiterhin davon ab, ob die nachfolgenden Offenlegungen ausreichend sind, einschließlich der Frage, wie die Verluste verbucht werden, in welcher Phase der Sammeldienst versagt hat, warum die alte Adresse weiterhin Gelder empfangen hat und ob die betreffenden Kontrollmaßnahmen repariert wurden.
Besonders fragwürdig ist, warum die Plattform weiterhin Einzahlungen auf die alte Adresse gutschreiben konnte, aber die Anomalie, dass die Gelder nicht eingesammelt wurden, nicht rechtzeitig entdeckt hat. Wenn eine Einzahlung bereits in ein Nutzerkonto gelangt ist, die entsprechenden Vermögenswerte aber lange Zeit an einer riskanten Adresse verbleiben, dann wird die Frage, ob es einen ausreichend zeitnahen Abstimmungsmechanismus zwischen interner Buchhaltung und On-Chain-Vermögenswerten gibt, zu einer Frage, die beantwortet werden muss.
Dies ist keine direkte Ablehnung der Verpflichtung von CoinDCX zur Sicherheit der Nutzergelder, sondern vielmehr eine Betonung darauf, dass nach einem Verlust in Höhe von zig Millionen Dollar die bloße Aussage, dass „die Nutzervermögenswerte nicht betroffen sind“, nicht ausreicht, um die Risikoerklärung abzuschließen. Ein überzeugenderer Ansatz besteht darin, überprüfbare Buchhaltungserklärungen, die Ergebnisse der Systembereinigung und Kontrollmaßnahmen vorzulegen, die belegen können, dass sich ähnliche Anomalien nicht weiter anhäufen werden.
Der Sicherheitswettbewerb der Börsen verlagert sich vom Wallet-Schutz zur Governance des gesamten Prozesses
Der vom CoinDCX-Vorfall widergespiegelte Branchentrend besteht darin, dass sich die Bewertungskriterien für die Sicherheit von Börsen von der punktuellen Schlüsselabsicherung zu einer umfassenderen operativen Governance verschieben.
Wenn der Markt in der Vergangenheit über Börsensicherheit diskutierte, richtete sich der Blick oft zunächst darauf, ob private Schlüssel offline gespeichert wurden, ob für Hot Wallets Limits festgelegt wurden, ob Multisignatur eingesetzt wurde und ob Cold-Wallet-Vermögenswerte vom Handelssystem isoliert waren. Diese Maßnahmen bleiben wichtig, aber sie adressieren hauptsächlich einen Teil der Probleme bei der Vermögensverwahrung und können Bereiche wie die Verwaltung alter Adressen, die abnormale Mittelbündelung, die Abhängigkeit von Drittanbieterdiensten, interne Berechtigungen und die Kommunikation bei Vorfällen nicht automatisch abdecken.
Ein ausgereifteres Sicherheitssystem sollte den gesamten Prozess der Wallets von der Erstellung, Aktivierung und Migration bis zur Deaktivierung in die Verwaltung einbeziehen. Für Adressen, die aufgegeben wurden, aber möglicherweise noch Vermögenswerte empfangen können, muss die Plattform die Zuständigkeiten für die Überwachung klären, Schwellenwerte für anormale Salden festlegen und bei Ausfall des automatisierten Sammeldienstes Warnmeldungen und manuelle Eingriffe auslösen. Wenn eine alte Adresse keine Bedingungen mehr für eine sichere Handhabung bietet, muss die Plattform außerdem klare Risikogrenzen zwischen Benutzerbenachrichtigungen, Einzahlungsidentifizierung und Vermögensverwertung festlegen.
Gleichzeitig sollten automatisierte Systeme über Fähigkeiten zur Fehlererkennung, zur Überwachung von Aufgabenrückständen und zur Prüfung anormaler Mittelströme verfügen. Ob ein System ordnungsgemäß läuft, sollte nicht allein daran beurteilt werden, ob der Dienst online ist; es ist auch zu bestätigen, ob zentrale Geschäftsaufgaben tatsächlich abgeschlossen werden. Für Börsen muss der Prozess der Übertragung von Mitteln von den Einzahlungsadressen der Nutzer auf die Ziel-Wallets über Statusaufzeichnungen verfügen, die unabhängig überprüft werden können.
Schließlich muss die Sicherheitsgovernance auch mit der externen Offenlegung einen geschlossenen Kreislauf bilden. Wenn anormale Transaktionen auftreten, muss die Plattform bestehende Vermögenswerte umgehend schützen und den Nutzern auch so bald wie möglich den Umfang des Vorfalls, bestätigte Verluste, betroffene Systeme und den Stand der Untersuchung erläutern. Rechtzeitige Kommunikation kann technische Abhilfemaßnahmen nicht ersetzen, aber sie kann die Vertrauenskosten verringern, die durch die weitere Verbreitung von Unsicherheit entstehen.
Der Verlust von CoinDCX betrug diesmal etwa 15,99 Millionen USDT. Der Betrag ist sicherlich bemerkenswert, aber die langfristigen Auswirkungen des Vorfalls könnten stärker davon abhängen, wie die Plattform die durch die alte Infrastruktur hinterlassenen Risiken erklärt und behebt. Für die gesamte Krypto-Handelsbranche ist dies ebenfalls eine Erinnerung: Sicherheit endet nicht mit dem Abschluss der Wallet-Migration; vielmehr muss sichergestellt werden, dass jede Adresse, jeder Dienst und jeder interne Prozess, der noch mit Nutzervermögen in Berührung kommen kann, innerhalb eines klaren Verantwortungs- und Kontrollbereichs liegt.
Da Börsen ihre Nutzerbasis weiter ausbauen, Asset-Typen hinzufügen und die Automatisierung erhöhen, zeigt sich echte Sicherheitsfähigkeit nicht nur darin, wo Gelder verwahrt werden, sondern auch darin, ob Anomalien nach ihrem Auftreten umgehend entdeckt, blockiert, verifiziert und dem Markt auf nachprüfbare Weise erklärt werden können. Ob CoinDCX das Vertrauen wiederherstellen kann, wird letztlich davon abhängen, ob nachfolgende Untersuchungen und Korrekturen diese Fragen beantworten können, und nicht bloß davon, wer einen einzelnen Verlust trägt.
