Im Oktober 2026 kam es zu einer Reihe von Vorfällen, die die Verwundbarkeit von Kryptowährungs-Ökosystemen erneut verdeutlichten. Einerseits nutzten Kriminelle einen kompromittierten Push-Dienst, um Nutzer von Ngrave zur Preisgabe ihrer Wiederherstellungsphrase zu verleiten. Andererseits setzten Betrüger künstliche intelligenz ein, um bei Telefonaten mit scheinbaren Haftbefehlen Druck aufzubauen. Schließlich wurde die Qubic-Blockchain durch eine Schwachstelle im Seed-Generator lahmgelegt, wodurch über 1,3 Millionen US-Dollar an QU-Token abgeflossen sind.
Die drei Fälle unterscheiden sich zwar in ihrer Technik, teilen jedoch das gleiche Kernproblem: Angreifer haben die Kommunikationskanäle zwischen Anbieter und Nutzer übernommen oder ausgenutzt. Die Folgen sind hoch, denn bei Kryptowährungen gibt es kaum Rückbuchungen und verlorene Coins sind in den meisten Fällen unwiederbringlich. Im Folgenden werden die einzelnen Angriffe genauer beleuchtet und die finanziellen Auswirkungen dargestellt.
Gefälschtes Sicherheits-Update bei Ngrave: Phishing über den Push-Dienst
Am 17. Oktober 2026 sandte der externe Dienstleister, der für die Push-Nachrichten der Ngrave-Begleit-App LIQUID zuständig ist, eine manipulierte Meldung an etwa 70 Nutzer. Die Nachricht gab vor, eine neue Gerätesynchronisation – ein Pixel 9 in Moskau – zu erkennen und forderte zur Eingabe der 24-Wort-Wiederherstellungsphrase auf. Ein Klick auf den darin enthaltenen Link führte zu einer nachgemachten Ngrave-Webseite, auf der die Phrase abgefragt wurde. Wer darauf einging, verlor das gesamte Guthaben.
Der interne Zeitplan des Unternehmens zeigt, dass bereits fünf Minuten nach Versand der Nachricht (21:31 UTC) das Sicherheitsteam alarmiert wurde, doch die erste Wallet war bereits um 21:36 UTC leer. Trotz Sperrung des ersten gestohlenen Zugangsschlüssels gelang es Angreifern, über einen zweiten Schlüssel weiterzudriften. Bis 22:45 UTC war der gesamte Push-Versand für LIQUID abgeschaltet. Insgesamt flossen zwischen 2,56 und 2,65 Millionen Dollar von vier unterschiedlichen Netzwerken – Bitcoin, XRP, Ethereum und Stellar – in die Hände der Täter.
KI-generierte Telefonanrufe und gefälschte Haftbefehle: neue Dimension des Social Engineering
Parallel zu den technischen Angriffen kam in den USA ein Betrugsmuster zum Vorschein, das künstliche Intelligenz nutzt, um Telefonate zu simulieren, die angeblich von Behörden stammen. Die Anrufer präsentieren gefälschte Haftbefehle, erzeugen durch die KI einen glaubwürdigen Tonfall und erhöhen damit den psychologischen Druck auf das Opfer. Nach dem Anruf erhalten die Betroffenen ein vermeintliches Dokument, das per E-Mail als offizielles Schreiben erscheint.
Der kombinierte Effekt aus autoritärer Erscheinung und zeitlicher Dringlichkeit führt häufig dazu, dass Finanz- oder IT-Mitarbeiter sofort handeln – z. B. eine Bitcoin- oder Ethereum-Überweisung ohne Rückfrage ausführen. Experten betonen, dass klassische E-Mail-Filter hier keine Abwehr bieten; stattdessen müssen Unternehmen klare Verifizierungsregeln etablieren. Dazu gehören zum Beispiel die Pflicht, jede Zahlungsanweisung über einen zweiten, unabhängigen Kommunikationskanal zu bestätigen und die Nutzung von Zwei-Faktor-Authentifizierung für sämtliche Finanz-Tools.
Qubic-Blockchain nach Seed-Lücke: Wiederaufnahme und Entschädigung
Am 18. Oktober 2026 wurde die Qubic-Blockchain von einem massiven Diebstahl betroffen, bei dem 1 404 Wallets um rund 1,3 Millionen US-Dollar in Form von QU-Token ausgeraubt wurden. Der Angreifer nutzte dabei eine Schwachstelle in älteren Versionen der Wallet-Software, die auf iOS- und macOS-Systemen einen nicht-sicheren Zufallszahlengenerator für die Erstellung der Wiederherstellungs-Seeds einsetzte. Durch die Vorhersagbarkeit dieser Seeds konnten die Täter die privaten Schlüssel rekonstruieren, ohne das eigentliche Passwort zu kennen.
Die Validatoren, auch „Computors“ genannt, stoppten die Transaktionen nach Tick 85.371.949 und setzten am 19. Oktober die Blockchain wieder in Betrieb. Bis zum 20. Oktober wurde ein Sanierungsplan verabschiedet, ein Portal für Schadensmeldungen eröffnet und Auszahlungen an verifizierte Opfer gestartet. Betroffene haben bis zum 1. Mai 2027 Zeit, ihre Ansprüche geltend zu machen. Qubic betont, dass das Kernprotokoll selbst nicht kompromittiert wurde – lediglich die Seed-Erzeugung war fehlerhaft, die in Version 4.26.4 behoben ist.
