Einem bedeutenden Ethereum- Wal ist ein katastrophaler Verlust entstanden, nachdem ein Kompromittierungsfall seines privaten Schlüssels eine Multisignatur-Wallet praktisch unbrauchbar gemacht hatte. Dadurch konnte ein Angreifer Krypto-Vermögenswerte im Wert von rund 27.3 Millionen Dollar abziehen und die Erlöse über Tornado Cash waschen.
Der Vorfall, auf den zuerst das Blockchain-Sicherheitsunternehmen PeckShield aufmerksam gemacht hatte, hat in der DeFi-Community erneut für Aufsehen gesorgt und die Besorgnis über die Einrichtung von Wallets, das Schlüsselmanagement und die versteckten Risiken aktiver On-Chain-Positionen neu entfacht.
„Einem Großinvestor wurden aufgrund der Kompromittierung seines privaten Schlüssels rund 27.3 Millionen Dollar aus seinem Multisig-Konto entzogen“, schrieb PeckShield in einer Warnung auf X.
„Der Betrüger hat 12.6 Millionen Dollar (4,100 ETH) über Tornado Cash gewaschen und verfügt weiterhin über liquide Mittel in Höhe von ca. 2 Millionen Dollar.“
Wichtige Erkenntnisse
- Eine falsch konfigurierte 1-von-1-Multisignatur verwandelte ein Sicherheitstool in einen Single Point of Failure, sobald der private Schlüssel kompromittiert war.
- Die Kontrolle über eine Wallet, die mit aktiven DeFi-Positionen verknüpft ist, kann Verluste weit über den anfänglichen Kapitalabfluss hinaus verstärken.
- Die strukturierte Verwendung von Tornado Cash zeigt, dass viele Kryptodiebstähle mit hohem Wert geplante Operationen und keine impulsiven Angriffe sind.
- Die meisten größeren Verluste im Kryptobereich resultieren aus Fehlern im Schlüsselmanagement und bei der Genehmigung, nicht aus Mängeln in den Blockchain-Protokollen.
Wie ein Multisignatursystem zu einem Single Point of Failure wurde
Multisignatur-Wallets gelten allgemein als sicherere Alternative zu Wallets mit nur einem Schlüssel, insbesondere für große Kontoinhaber. Sie sind so konzipiert, dass mehrere Genehmigungen erforderlich sind, bevor Gelder transferiert werden können. In diesem Fall versagte dieser Schutz jedoch vollständig.
Die On-Chain-Ermittler stellten später fest, dass die Wallet als 1-von-1-Multisignatur-Wallet konfiguriert war. Diese Konfiguration bedeutete, dass nur eine Signatur zur Autorisierung von Transaktionen erforderlich war, wodurch die Redundanz, die Multisignaturen ihren Sicherheitsvorteil verleiht, entfiel. Sobald der private Schlüssel kompromittiert war, erlangte der Angreifer die volle Kontrolle.
Laut dem On-Chain-Ermittler Specter wurde die Multisignatur-Wallet am 11. April 2025 um 07:48:11 UTC erstellt. Nur 35 Minuten später, um 08:23:23, erfolgte ein massiver Kapitalabfluss von der Hauptsignaturadresse.
Die Geschwindigkeit des Datenverlusts lässt vermuten, dass der Schlüssel während der Einrichtung der Wallet offengelegt wurde, möglicherweise durch ein unsicheres Tool, einen manipulierten Download oder die Hilfe Dritter, die sich als bösartig herausstellte.
Systematisches Entleeren und Wäschen an der Kette
Die Blockchain- Daten zeigen, dass der Angreifer nicht in einer einzigen Transaktion ausgestiegen ist. Stattdessen wurden die Gelder in einem strukturierten Muster bewegt, was eher auf gezielte Geldwäsche als auf Panikverkäufe hindeutet.
Rund 4,100 ETH, damals im Wert von etwa 12.6 Millionen US-Dollar, wurden über Tornado Cash in Tranchen von jeweils 100 ETH versendet. Insgesamt führte der Angreifer 41 separate Transaktionen durch – eine gängige Methode, um die Rückverfolgbarkeit zu verschleiern und die Aufmerksamkeit automatisierter Überwachungssysteme zu vermeiden.
Etherscan-verknüpfte Traces zeigen, dass die Adresse, die teilweise als 0x1fCf…367d23Ac identifiziert wurde, wiederholt mit Tornado Cash interagierte und dabei die Kontrolle über weitere Vermögenswerte behielt.
Neben ETH enthält die Wallet weiterhin Token wie Wrapped Ether, OKB, Trust Wallet Token, Bitfinex LEO, Fetch und Nexo. PeckShield schätzt, dass sich noch liquide Vermögenswerte im Wert von rund 2 Millionen US-Dollar unter der Kontrolle des Angreifers befinden.
Die Aave-Position, die den Einsatz erhöhte
Was diesen Angriff gefährlicher macht als einen herkömmlichen Wallet-Diebstahl, ist der Zugriff, den der Angreifer nach dem Diebstahl erlangte. PeckShield bestätigte, dass die kompromittierte Multisignatur weiterhin eine große aktive Position im Aave-Konto kontrolliert.
„Der Angreifer kontrolliert auch die Multisignatur des Opfers, wodurch eine Hebelwirkung aufrechterhalten wird“, bemerkte PeckShield.
Die Wallet enthält Berichten zufolge ETH im Wert von etwa 25 Millionen US-Dollar, die als Sicherheit hinterlegt wurden, gegenüber geliehenen DAI im Wert von etwa 12.3 Millionen US-Dollar. Die Kontrolle über diese Position macht aus einem einfachen Diebstahl ein anhaltendes Risiko.
Mit der Signaturberechtigung für die Multisignatur kann der Angreifer Sicherheiten abheben, Kreditparameter anpassen oder die Position gezielt in Richtung Liquidation treiben. Jede plötzliche Bewegung könnte weitreichende Folgen haben, nicht nur für das Opfer, sondern auch für die beteiligten DeFi-Protokolle, insbesondere wenn Liquidationen unter angespannten Marktbedingungen erfolgen.
Dies verdeutlicht ein zentrales Problem für fortgeschrittene DeFi-Nutzer: Wallets sind längst nicht mehr nur Speichermedien. Sie sind Kontrollzentren für komplexe Finanzpositionen. Geht der Zugriff verloren, kann der Schaden weit über die bereits gestohlenen Vermögenswerte hinausgehen.
Anzeichen für einen umfassenderen Kompromiss
On-Chain-Analysten beobachteten zudem, wie der Angreifer mit Verträgen im Zusammenhang mit Eigentum und Kontrolle interagierte, was darauf hindeutet, dass der Angriff weit über eine einzelne unautorisierte Überweisung hinausging. Dies bestärkt die Befürchtung, dass der private Schlüssel vollständig offengelegt und nicht nur vorübergehend missbraucht wurde.
Sicherheitsfirmen weisen darauf hin, dass Benutzer selbst dann, wenn sie Signaturschlüssel auf verschiedene Geräte oder Standorte verteilen, weiterhin anfällig für Phishing-Angriffe, Malware, SIM-Swapping, kompromittierte Backups und betrügerische Transaktionsgenehmigungen sind. In Multisignatur-Umgebungen kann bereits eine einzige Schwachstelle das gesamte System gefährden.
Ein Wal, der bereits unter Druck steht
Weitere Informationen von Onchainlens zeigen, dass der Wal bereits vor dem Angriff in Schwierigkeiten geraten war. Im Mai erlitt dieselbe Wallet Berichten zufolge Verluste, nachdem sie mehr als 2,500 ETH von OKX abgehoben und an Kiln Finance transferiert hatte.
Bis Juli hatte der Großinvestor insgesamt 9,918 ETH im Wert von damals rund 22.5 Millionen US-Dollar eingesetzt, erhielt aber nur 105.5 ETH an Staking-Belohnungen. Schon vor dem Hack wurde der Gesamtverlust der Adresse auf etwa 4.26 Millionen US-Dollar geschätzt.
Durch den Datenverstoß wurde jede Chance auf Erholung zunichtegemacht, wodurch sich eine ohnehin schon schwierige Lage in einen der größten Einzelverluste des Jahres verwandelte.
Kein Einzelfall
Dieser Vorfall reiht sich in ein breiteres Muster von Kryptodiebstählen mit hohem Wert ein, die weniger auf Protokollfehlern als vielmehr auf Fehlern der Nutzer beruhen. In einem anderen Fall Anfang des Jahres verlor ein unbekannter Investor mehr als 3 Millionen US-Dollar, nachdem er unwissentlich einen betrügerischen Smart Contract genehmigt hatte. Auch diese Gelder wurden in ETH umgewandelt und über Tornado Cash transferiert.
Diese Angriffe unterstreichen eine bittere Wahrheit in der Kryptosicherheit: Die meisten Verluste entstehen nicht durch defekte Blockchains, sondern durch kompromittierte Schlüssel, mangelhafte Wallet-Konfigurationen und betrügerische Genehmigungen.
Lehren aus einem 27-Millionen-Dollar-Fehler
Die wichtigste Erkenntnis aus diesem Sicherheitsvorfall ist nicht, dass Multisignatur-Wallets unsicher sind, sondern dass ihre Sicherheit von ihrer Konfiguration und der korrekten Schlüsselverwaltung abhängt. Eine 2-von-3- oder 3-von-5-Multisignatur reduziert das Risiko eines Totalverlusts durch einen einzigen kompromittierten Schlüssel erheblich. Eine 1-von-1-Multisignatur hingegen nicht.
Für Großinvestoren und erfahrene DeFi-Nutzer ist dieser Vorfall eine Mahnung, die Einrichtung von Wallets mit der gleichen Sorgfalt zu behandeln wie die institutionelle Verwahrung. Dazu gehört die Verwendung vertrauenswürdiger Tools, die Überprüfung der Softwarequellen, die Isolierung von Signaturgeräten und das genaue Verständnis der jeweiligen Berechtigungen.
Wie die Ergebnisse von PeckShield deutlich machen, wird Geschwindigkeit zum entscheidenden Faktor für die Wiederherstellung, sobald ein Angreifer Transaktionen signieren kann. Und wenn dieser Zugriff auch aktive DeFi-Positionen umfasst, können die Folgen weit über den ursprünglichen Diebstahl hinausgehen.
Der Verlust von 27.3 Millionen Dollar ist nun faktisch in Tornado Cash eingeschlossen und lässt sich kaum wieder gutmachen. Was bleibt, ist ein kostspieliges Beispiel dafür, wie ein einziger kompromittierter Schlüssel selbst den Anschein hoher Sicherheit zunichtemachen kann.
