Triple-A-Hot-Wallet-Hack: 11,8 Mio. Dollar in 31 Stunden über 7 Blockchains abgeflossen

Am 24. Juli 2026 wurde Triple-A, ein in Singapur ansässiges Krypto-Zahlungsgateway, Opfer eines schwerwiegenden Angriffs auf seine Hot Wallets. Was zunächst wie ein Diebstahl von geschätzten 9,3 Millionen US-Dollar aussah, weitete sich innerhalb der nächsten 31 Stunden dramatisch aus: Die Verluste stiegen auf insgesamt 11,8 Millionen Dollar, da der Angreifer weiterhin neu eingehende Einzahlungen auf den kompromittierten Wallets abzog. Der Vorfall erstreckte sich über sieben Blockchains und verdeutlicht einen wachsenden Trend bei Sicherheitsverletzungen im Krypto-Bereich: Angreifer zielen zunehmend auf die operative Infrastruktur und weniger auf Schwachstellen in Smart Contracts.

Der Angriff und die Eskalation der Verluste

Der On-Chain-Ermittler Specter entdeckte die Kompromittierung der Hot Wallets von Triple-A am Freitag, den 24. Juli 2026, um 17:18 Uhr ET und bezifferte den anfänglichen Schaden auf 9,3 Millionen Dollar über mehrere Blockchains hinweg . In den folgenden 31 Stunden wuchs die Verlustsumme auf rund 11,8 Millionen Dollar, da weiterhin neue Einzahlungen auf den infizierten Wallets eingingen und vom Angreifer sofort abgezogen wurden . Dieses "Bluten" – bei dem ein Hot-Wallet-Key kompromittiert ist, das Wallet aber weiter aktiv bleibt und alle neuen Gelder automatisch abfließen – unterscheidet diesen Vorfall von einem einmaligen Exploit.

Betroffene Netzwerke

Der Angreifer erbeutete Vermögenswerte über sieben Blockchain-Netzwerke: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network (TON) und Bitcoin . Die Multi-Chain-Natur des Angriffs erforderte einen effizienten Tausch und die Nutzung von Brücken (Bridges) – ein Hinweis auf eine hochprofessionelle Operation.

Konsolidierung der gestohlenen Vermögenswerte

Ein charakteristisches Merkmal des Angriffs war die Methode des Täters, die Gelder zu bündeln. Der Angreifer tauschte gestohlene Stablecoins auf dezentralen Börsen (DEXs) und leitete alle Erlöse per Bridge auf eine einzige Ethereum-Adresse, die letztlich rund 5.227 ETH hielt, damals ein Gegenwert von etwa 9,73 Millionen Dollar . Dieses Konsolidierungsmuster ist typisch für Hot-Wallet-Exploits, bei denen der Angreifer nicht-native Vermögenswerte in ETH umwandelt, um sie leichter verschieben oder waschen zu können .

Reaktion von Triple-A und Vermögenstrennung

Triple-A bestätigte den Einbruch in die Treasury-Wallets und erklärte, dass Kundengelder nicht betroffen seien – bei den kompromittierten Wallets handelte es sich um operative Treasury-Wallets des Unternehmens, nicht um Kundendepots . Das Unternehmen gab an, die finanziellen Auswirkungen direkt zu tragen und den Vorfall aktiv zu untersuchen . Dies unterstreicht eine entscheidende Sicherheitsmaßnahme: Das Modell der Vermögenstrennung (Asset Segregation) von Triple-A hielt Kundengelder in speziell geschützten Konten, getrennt von den operativen Treasury-Wallets, die angegriffen wurden .

Regulierungsstatus von Triple-A

Triple-A ist ein in Singapur ansässiges Fiat-zu-Krypto-Zahlungsgateway, gegründet 2020. Das Unternehmen verfügt über eines der breitesten Lizenzportfolios im Krypto-Zahlungssektor:

• Eine Major Payment Institution (MPI)-Lizenz der Monetary Authority of Singapore (MAS)
• Eine MiCA-Crypto-Asset-Service-Provider (CASP)-Lizenz der französischen AMF, die Dienstleistungen in allen 30 EU/EWR-Staaten erlaubt
• Eine Grundsatzgenehmigung (In-Principle Approval) der Virtual Assets Regulatory Authority (VARA) in Dubai für Broker-Dealer-Dienste

Das Unternehmen hatte zudem Partnerschaften mit Mastercard geschlossen, um die grenzüberschreitende Zahlungsinfrastruktur zu stärken .

Der breitere Kontext: Krypto-Hacks 2026

Der Triple-A-Hack geschah nicht im luftleeren Raum. Mehrere Sicherheitsfirmen meldeten für das erste Halbjahr 2026 Rekord- oder nahezu Rekordwerte bei Hacker-Aktivitäten:

Quelle	Gesamtverluste H1 2026	Anzahl Vorfälle	Hauptangriffsvektoren
TRM Labs	972 Mio. $	207 Hacks	Operative Kompromittierungen, Schlüsselverwaltung
Immunefi	~972 Mio. $	207 Vorfälle	Rekordhoch bei der Anzahl
CertiK	~1,32 Mrd. $	344 Vorfälle	Multi-Chain-Exploits
PeckShield	~750 Mio. $+	~200+	Bridge-Schwachstellen, Smart-Contract-Fehler, kompromittierte Private Keys

PeckShield hob hervor, dass die häufigsten Angriffsvektoren im ersten Halbjahr 2026 Bridge-Schwachstellen, Smart-Contract-Fehler und kompromittierte Private Keys waren . TRM Labs stellte fest, dass operative Kompromittierungen – einschließlich der Schlüsselverwaltung und Signierinfrastruktur – inzwischen einen größeren Anteil der Verluste ausmachen als reine Smart-Contract-Exploits . Gruppen, die mit Nordkorea in Verbindung gebracht werden, wurden für rund 643 Millionen Dollar (~66 %) der Gesamtverluste im ersten Halbjahr verantwortlich gemacht .

Immunefi berichtete, dass die Gesamtverluste im ersten Halbjahr 2026 zwar unter einer Milliarde Dollar lagen – weniger als die Hälfte der 2,3 Milliarden Dollar, die im ersten Halbjahr 2025 gestohlen wurden –, die Anzahl der Vorfälle mit 207 jedoch die höchste jemals verzeichnete war . The Block merkte an, dass der größte Schaden zunehmend auf Infrastrukturausfälle, Kompromittierungen privater Schlüssel, Konfigurationsfehler bei Cross-Chain-Brücken und Schwachstellen im privilegierten Zugriff zurückzuführen ist .

Wichtige Anmerkungen

• Die Angaben zur endgültigen Verlustsumme variieren: Specter's On-Chain-Tracking belief sich auf 11,8 Mio. $, während einige Medien von 12 Mio. $ berichteten .
• Das Bitcoin-Netzwerk wurde in einigen Berichten als betroffen aufgeführt, in anderen nicht. Dies deutet darauf hin, dass die Beteiligung von Bitcoin indirekt oder nur ein kleiner Teil des Gesamtschadens war .
• Die Zusicherung von Triple-A bezüglich der Kundengelder bezieht sich speziell auf die getrennten Kundendepots, die nicht von den angegriffenen Treasury-Wallets betroffen waren .

Was dies bedeutet

Der Hot-Wallet-Hack bei Triple-A ist ein Paradebeispiel für die sich verändernde Bedrohungslandschaft im Krypto-Sektor. Der Angreifer nutzte keinen Bug in einem Smart Contract aus; er erlangte die Kontrolle über den privaten Schlüssel eines Hot Wallets – eine operative Schwachstelle, die 2026 für den Großteil der gestohlenen Werte verantwortlich ist. Für regulierte Zahlungsgateways mit mehreren Lizenzen zeigt der Vorfall sowohl die Bedeutung der Vermögenstrennung (die Kundengelder schützte) als auch die anhaltende Verwundbarkeit der Hot-Wallet-Infrastruktur. Die Lektion für die zweite Jahreshälfte 2026 ist klar: Die Sicherung privater Schlüssel und der operativen Infrastruktur ist heute wichtiger als das Auditieren von Smart-Contract-Code.