Coinbase-Diebstähle: Was über den Akteur hinter den Geldbewegungen bekannt ist

Die bislang stärksten öffentlich zugänglichen Hinweise deuten auf einen unbekannten, finanziell motivierten Phishing- oder Social-Engineering-Akteur – möglicherweise auch auf eine Gruppe mehrerer Akteure – hin. Ein bestätigter Angriff auf einen Coinbase-Smart-Contract ist dagegen nicht belegt. Berichten zufolge wurden am 16. August rund 500.000 US-Dollar in Kryptowährungen in Ether umgewandelt und über Tornado Cash geleitet. Etwa drei Wochen zuvor soll ein ähnlicher Transfer von rund 2 Millionen US-Dollar stattgefunden haben. Mit dem Fall verbundene Wallets sollen weiterhin Kryptowährungen im Wert von mehreren zehn Millionen US-Dollar halten.

Die Zuordnung bleibt vorläufig. Bezeichnungen wie „Coinbase hacker“ in Blockchain-Analyseplattformen sind Ermittlerhypothesen und keine juristische Feststellung. Auch die häufig genannte Summe von mehr als 300 Millionen US-Dollar ist eine Schätzung von Ermittlern oder Medien zu den Gesamtschäden. Sie beweist nicht, dass alle Diebstähle von einer einzigen Person oder Gruppe begangen wurden.

Wie die Angriffe auf Coinbase-Nutzer offenbar abliefen

Das Muster war vor allem menschlich – nicht technisch. Den Berichten zufolge kontaktierten Betrüger ihre Opfer und gaben sich als Mitarbeiter des Coinbase-Kundendienstes aus. Anschließend setzten sie die Betroffenen unter Druck, Zugangsdaten preiszugeben, Transaktionen zu bestätigen, Vermögenswerte zu übertragen oder auf andere Weise die Kontrolle über ihre Konten abzugeben. Die Berichte unterscheiden diese Kampagne ausdrücklich von einem Smart-Contract-Exploit.

Der Unterschied ist entscheidend: Bei einem Contract-Exploit nutzt ein Angreifer normalerweise einen Fehler in der Logik einer On-Chain-Anwendung aus. Bei einem Support-Betrug manipuliert er dagegen den Kontoinhaber dazu, eine Übertragung selbst zu autorisieren oder technisch zu ermöglichen. Die Schwachstelle liegt dann im Vertrauen und in der Entscheidungsfindung des Nutzers – häufig verstärkt durch persönliche Informationen und künstlich erzeugte Dringlichkeit.

Was die größeren Schadensschätzungen aussagen – und was nicht

Im Februar 2025 berichteten die Blockchain-Ermittler ZachXBT und tanuki42 von Verlusten in Höhe von mehr als 65 Millionen US-Dollar bei Coinbase-Nutzern im Dezember 2024 und Januar 2025. Zugleich schätzten sie, dass die jährlichen Verluste durch ähnliche Social-Engineering-Betrügereien mehr als 300 Millionen US-Dollar betragen könnten. Ihre Auswertung umfasste Opferberichte und Aktivitäten auf der Blockchain, wies aber auch darauf hin, dass die verfügbaren Daten unvollständig waren.

Ein späterer Bericht schrieb koordinierten Social-Engineering-Betrügereien in nur einer Woche im Mai 2025 weitere Verluste von rund 45 Millionen US-Dollar bei Coinbase-Nutzern zu. Die Zahlen sprechen für anhaltende und organisierte Angriffsmuster. Sie beweisen jedoch nicht, dass alle gemeldeten Fälle von demselben Wallet-Betreiber kontrolliert wurden.

In einer Untersuchung wurde außerdem eine Sammeladresse identifiziert, die mit mehr als 25 Opfern in Verbindung stand. Solche Häufungen können Ermittlern dabei helfen, Transaktionen zu verknüpfen und ein Kampagnenmuster zu erkennen. Eine indirekte Zuordnung ist aber noch kein Beweis für die Identität einer realen Person.

Der Vorfall mit Kundendaten ist wichtiger Kontext – aber kein Beweis für eine Verbindung

Coinbase teilte im Mai 2025 mit, dass Kriminelle einige Support-Mitarbeiter im Ausland bestochen hatten, um Kundendaten zu erhalten. Die Daten sollten offenbar dazu dienen, sich überzeugender als Coinbase auszugeben und Nutzer zur Überweisung ihrer Kryptowährungen zu bringen. Coinbase schätzte die Kosten für Gegenmaßnahmen und freiwillige Entschädigungen auf 180 bis 400 Millionen US-Dollar.

Ein Angreifer, der den Namen, die Kontaktdaten oder bestimmte Account-Informationen eines Kunden kennt, kann bei einem Support-Anruf deutlich glaubwürdiger wirken. Die hier vorliegenden öffentlichen Belege zeigen jedoch nicht, dass die Verantwortlichen für den Datendiebstahl dieselben Personen waren wie die Betreiber der Wallets, die mit den umfassenderen Diebstählen in Verbindung gebracht werden. Beide Vorgänge sollten daher als zusammenhängender Risikokontext betrachtet werden – nicht als bewiesene gemeinsame Urheberschaft.

Die öffentliche Provokation war ein Verhaltenshinweis, kein Identitätsnachweis

Im Mai 2025 tauschte eine von Ermittlern mit Coinbase-Phishing-Kampagnen verbundene Wallet Berichten zufolge Bitcoin im Wert von rund 42,5 Millionen US-Dollar über THORChain in Ether. Außerdem schickte die Wallet ZachXBT eine On-Chain-Nachricht mit dem Wortlaut „L bozo“.

Die Nachricht zeigte, dass der Betreiber bereit war, einen Ermittler öffentlich zu provozieren. Sie verriet jedoch weder dessen Namen noch Aufenthaltsort und belegte auch keine Verbindung zu jedem anderen Diebstahl, der der Kampagne zugerechnet wird.

Warum Tornado Cash die Rückholung der Gelder erschwert

Ein Krypto-Mixer soll die direkte Verbindung zwischen einer Einzahlung und einer späteren Auszahlung verschleiern. Tornado Cash arbeitet mit gemeinsamen Pools und datenschutzorientierten Transaktionsmechanismen. Dadurch können Gelder, die von einer Adresse eingezahlt wurden, später an eine andere Adresse abgehoben werden. Die Blockchain verschwindet dadurch nicht; der einfache Weg von der Einzahlung zur Auszahlung lässt sich aber deutlich schwerer nachweisen.

Ermittler können weiterhin Zeitpunkte, Transaktionsgrößen, wiederkehrende Wallet-Muster, Bridges, dezentrale Börsen und Einzahlungsadressen zentraler Kryptobörsen untersuchen. Daraus lassen sich mögliche Zusammenhänge ableiten. Eine solche Korrelation reicht jedoch nicht immer aus, um die Person hinter einer Auszahlung zu identifizieren oder eine Börse beziehungsweise ein Gericht von einer Sperrung zu überzeugen. Je länger Vermögenswerte außerhalb eines nachvollziehbaren Verwahrers bleiben, desto schwieriger kann ihre Rückholung werden.

Was das Urteil zu Tornado Cash vom November 2024 verändert hat

Am 26. November 2024 entschied das US-Berufungsgericht des fünften Bezirks, dass das US-Finanzministerium beziehungsweise dessen Sanktionsbehörde OFAC seine gesetzlichen Befugnisse überschritten hatte, als es die unveränderlichen Smart Contracts von Tornado Cash mit Sanktionen belegte. Nach Auffassung des Gerichts waren diese Contracts nach dem einschlägigen Gesetz kein „Eigentum“, das blockiert werden konnte.

Das Urteil betraf die rechtliche Grundlage der Sanktionen. Es legalisierte weder Diebstahl noch Geldwäsche, beseitigte mögliche strafrechtliche Verantwortung und garantierte auch nicht, dass über einen Mixer geleitete Gelder zurückgeholt werden können. Ebenso wenig macht verdächtige Mixer-Aktivität automatisch einen Beweis für Schuld oder Unschuld. Die rechtliche Bewertung der Sanktionen und die Frage einer kriminellen Nutzung sind getrennte Themen.

Die wichtigste Lehre für Coinbase-Nutzer

Das anhaltend größte Risiko in diesem Fall ist kein rätselhafter Fehler in der Blockchain-Infrastruktur von Coinbase. Es ist eine überzeugend auftretende Person am anderen Ende eines Anrufs, einer Nachricht oder eines Links.

Nutzer sollten:

• Unaufgeforderte Anrufe, SMS und Direktnachrichten angeblicher Coinbase-Mitarbeiter grundsätzlich als potenziell betrügerisch behandeln.
• Niemals Passwort, Seed Phrase, Einmalcode oder Private Key weitergeben.
• Einem angeblichen Support-Mitarbeiter niemals Fernzugriff auf ein Gerät gewähren.
• Keine Support-Links aus unerwarteten Nachrichten anklicken.
• Für Hilfe die offizielle Coinbase-App öffnen oder die Website-Adresse selbstständig eingeben.
• Nach einem Diebstahl Nachrichten, Telefonnummern, Wallet-Adressen und Transaktions-Hashes sichern und den Vorfall sofort melden.

Die Bewegung vom 16. August zeigt, dass mit der gemeldeten Kampagne verbundene Gelder weiterhin aktiv sind. Die übergeordnete Erkenntnis ist jedoch grundsätzlicher: Social Engineering kann selbst starke technische Schutzmaßnahmen umgehen, wenn es einem Angreifer gelingt, einen legitimen Nutzer zur Freigabe der Überweisung zu bewegen.