Was lehrt der BigONE-Hack 2026? Börsen-Hacks, Haftung nach MiCA und wie viel Krypto du auf der Börse lassen solltest

Bevor wir einsteigen, ein Hinweis zur Einordnung: Die aktuellen Zahlen zum Hack-Geschehen im dritten Quartal 2026 und warum ein Audit-Siegel allein wenig aussagt, haben wir in einem eigenen Beitrag aufbereitet – 1,18 Milliarden Dollar in drei Monaten gestohlen: Krypto-Hacks im dritten Quartal 2026. Diese Seite hier bleibt bewusst beim Einzelfall BigONE und fragt: Was lernst du als Privatanleger daraus, wenn du Geld auf einer Börse liegen hast?

Was ist beim BigONE-Hack am 16. Juli 2025 passiert?

Beim BigONE-Hack am 16. Juli 2025 haben Angreifer rund 27 Millionen US-Dollar aus den Hot Wallets der Krypto-Börse BigONE abgezogen, indem sie die interne Konto- und Risikokontroll-Logik so manipulierten, dass Auszahlungen automatisch genehmigt wurden.

BigONE stellte in den frühen Morgenstunden ungewöhnliche Bewegungen in einem Teil seiner Bestände fest und sprach kurz darauf von einem „Angriff Dritter auf unsere Hot Wallet“ BleepingComputer, 17.07.2025. Die Sicherheitsfirma SlowMist, die BigONE zur Spurensuche beauftragt hatte, ordnete den Vorfall als Supply-Chain-Angriff ein. Zuerst hatte die Börse übrigens von „Wartungsarbeiten“ gesprochen – ein Detail, das man sich merken sollte, weil es bei fast jedem Börsen-Hack ähnlich läuft: Die ersten Stunden sind von vagen Statements geprägt.

Was den Fall besonders macht, ist nicht die Summe. 27 Millionen Dollar klingen nach viel, sind im Hack-Geschehen der letzten zwei Jahre aber eher Mittelmaß. Spannend ist die Methode. Niemand hat einen Tresor aufgebrochen. Die Angreifer haben stattdessen dafür gesorgt, dass der Tresor sich selbst öffnet. Wenn du verstehen willst, warum Börsen überhaupt einen Teil der Kundengelder in einer ständig online erreichbaren Wallet halten, lohnt sich ein Blick auf unsere Erklärung Was ist eine Hot Wallet? – kurz gesagt: Ohne Hot Wallet gäbe es keine schnellen Auszahlungen.

Wie viel wurde beim BigONE-Hack gestohlen – und in welchen Coins?

Beim BigONE-Hack wurden laut den Analysten von Lookonchain rund 120 BTC, 23,3 Millionen TRX, 1.272 ETH und 2.625 SOL im Gesamtwert von etwa 25,6 Millionen US-Dollar abgezogen; zusammen mit kleineren Token wie SHIB summierte sich der Schaden auf rund 27 Millionen US-Dollar.

Die Mengen stammen aus den Angreifer-Wallets, wie sie BTC-ECHO am Tattag dokumentiert hat BTC-ECHO, 16.07.2025. Unsere Rechnung zeigt, dass mehr als die Hälfte des Werts in Bitcoin landete. Das ist kein Zufall: Bitcoin ist die liquideste Fluchtwährung, und wer Beute über Wochen in Fiat umwandeln will, braucht tiefe Märkte. In Euro umgerechnet entsprach der Gesamtschaden mit dem EZB-Referenzkurs vom 23. Oktober 2026 (1,1193 US-Dollar je Euro) rund 24,1 Millionen Euro EZB-Referenzkurs, 23.10.2026.

Ein Gedankenspiel, um die Größenordnung greifbar zu machen: Hätten die Täter die 120 BTC bis heute gehalten, wären sie beim Kurs von rund 81.540 US-Dollar pro Bitcoin am 23. Oktober 2026 knapp 9,8 Millionen US-Dollar wert CoinMarketCap, 23.10.2026. Dass sie damals bei einem höheren Kurs abgezogen wurden, spielt für die Täter kaum eine Rolle – für die Börse dagegen schon, denn sie musste die Lücke zum damaligen Wert schließen.

Wie konnten Hacker Geld abziehen, ohne einen Private Key zu stehlen?

Die BigONE-Angreifer brauchten keinen Private Key, weil sie die Server-Logik veränderten, die Auszahlungen prüft: Die manipulierte Risikokontrolle winkte ungültige Auszahlungsanträge automatisch durch, und das legitime Signiersystem der Börse unterschrieb sie anschließend selbst.

Die Sicherheitsfirma Halborn beschreibt den Ablauf so: Die Angreifer verschafften sich Zugang zur Backend-Infrastruktur, änderten die Konto- und Risikologik, sodass Auszahlungsanfragen „automatisch genehmigt“ statt validiert wurden, und reichten dann eine ungültige Auszahlung ein, die das System freigab Halborn, 2025. Weil BigONE auf fünf Blockchains aktiv war – Bitcoin, Ethereum, BNB Chain, Solana und Tron –, ließ sich derselbe Trick auf allen fünf Ketten wiederholen.

Stell dir eine Bank vor, deren Tresortür nur aufgeht, wenn der Filialleiter eine Freigabe unterschreibt. Der Filialleiter ist zuverlässig, der Schlüssel liegt sicher in seiner Tasche. Nun tauscht jemand heimlich den Stempel aus, mit dem die Sachbearbeiterin Anträge als „geprüft“ markiert. Der Filialleiter sieht nur noch geprüfte Anträge und unterschreibt alle. Genau so funktionierte der BigONE-Hack. Der Private Key war nie das Problem – das Problem war die Instanz, die entscheidet, wann er benutzt wird.

Unsere Einschätzung: Diese Unterscheidung ist für dich als Anleger wichtiger, als sie klingt. Viele Börsen werben mit Begriffen wie „Multi-Signatur“, „HSM“ oder „95 % Cold Storage“. Das sind gute Maßnahmen gegen Schlüsseldiebstahl. Gegen einen Angriff auf die Freigabe-Prozesse helfen sie nur begrenzt, denn eine korrekt signierte Transaktion ist für die Blockchain immer gültig – egal, ob die Entscheidung dahinter manipuliert war.

Was ist ein Supply-Chain-Angriff bei einer Krypto-Börse?

Ein Supply-Chain-Angriff bei einer Krypto-Börse ist ein Angriff, der nicht die Börse direkt knackt, sondern ein schwächeres Glied in ihrer Software- oder Dienstleisterkette – etwa eine Build-Pipeline, eine Bibliothek oder ein Sicherheitsprodukt eines Drittanbieters – und darüber Zugang zu den internen Systemen erlangt.

Der Begriff kommt aus der Logistik: Wenn ein Zulieferer manipulierte Teile liefert, hilft die beste Qualitätskontrolle am Werkstor nichts, solange die Teile echt aussehen. In der IT bedeutet das, dass Angreifer Code oder Werkzeuge kompromittieren, denen die Börse vertraut. Im Fall BigONE vermuteten Analysten eine kompromittierte Deployment- oder Server-Management-Kette; die Börse selbst hat den genauen Einstiegspunkt nie öffentlich gemacht.

Supply-Chain-Angriffe treffen nicht nur Börsen. Wie verwundbar auch Hardware-Lieferketten sind, zeigt der Fall manipulierter Ledger-Geräte über einen Zwischenhändler, den wir im Oktober 2026 aufgearbeitet haben: Ledger-Geräte über Händler CryptoBilis manipuliert. Das Prinzip ist dasselbe. Du vertraust einem Glied der Kette, das du selbst gar nicht prüfen kannst.

Aus der Praxis: Als Kunde einer Börse siehst du von dieser Lieferkette nichts. Du kannst nicht nachprüfen, welche Server-Management-Software dein Anbieter einsetzt oder wie oft seine Build-Pipeline auditiert wird. Genau deshalb ist ein Supply-Chain-Risiko für Endkunden im Kern ein Verwahrrisiko – und die einzige Stellschraube, die du wirklich in der Hand hast, ist die Frage, wie viel du dem Verwahrer überhaupt anvertraust.

Hat BigONE die Kunden entschädigt – und woher kam das Geld?

Ja: BigONE kündigte unmittelbar nach dem Hack vom 16. Juli 2025 an, sämtliche Verluste aus eigenen Reserven zu tragen, und betonte, dass weder Private Keys noch Nutzerdaten betroffen waren.

Laut BleepingComputer erklärte BigONE, alle Verluste selbst zu übernehmen und Kunden aus verfügbaren Reserven zu entschädigen BleepingComputer, 17.07.2025. Cointelegraph berichtet zusätzlich von einer Belohnung von bis zu 8 Millionen US-Dollar für Hinweise, die zur Identifizierung der Täter oder zur Rückverfolgung der Gelder führen Cointelegraph, Juli 2025. Einzahlungen und Handel liefen nach kurzer Zeit wieder, Auszahlungen erst nach zusätzlichen Sicherheits-Upgrades.

So weit die gute Nachricht. Die weniger gute: Eine freiwillige Entschädigung ist eine unternehmerische Entscheidung, kein Rechtsanspruch. BigONE konnte 27 Millionen Dollar offenbar stemmen. Ob eine Börse das kann, hängt davon ab, wie groß ihre freien Reserven im Verhältnis zum Schaden sind. Bei Mt. Gox 2014 oder FTX 2022 waren die Löcher größer als die Kasse, und die Kunden warteten jahrelang. Unsere Rechnung für den aktuellen Fall Bitget zeigt weiter unten, wie knapp so etwas auch bei großen Anbietern werden kann.

Was ist aus dem BigONE-Hack bis Oktober 2026 geworden?

Bis zum 23. Oktober 2026 ist uns keine öffentliche Täter-Zuordnung und keine nennenswerte Rückführung der BigONE-Beute bekannt; der Fall gilt als abgeschlossen, weil die Börse den Schaden aus eigenen Mitteln ausgeglichen hat.

Das ist typisch. Sobald Gelder über mehrere Blockchains, Brücken und dezentrale Börsen verteilt sind, sinkt die Chance auf Rückholung rapide. Der On-Chain-Ermittler ZachXBT hatte damals zudem angemerkt, dass BigONE in der Vergangenheit erhebliche Summen aus „Pig-Butchering“-Betrug abgewickelt haben soll, und zeigte wenig Mitgefühl mit der Börse Cointelegraph, Juli 2025. Diese Kritik entlastet die Angreifer nicht. Sie erinnert aber daran, dass Reputation und Compliance-Kultur einer Plattform zum Risikoprofil gehören. Wie solche Betrugsmaschen funktionieren, beschreiben wir in unserem Überblick zu Krypto-Betrug und typischen Maschen.

Warum ähnelt der Bitget-Hack vom September 2026 dem BigONE-Fall so stark?

Der Bitget-Hack vom 24. September 2026 folgte demselben Grundmuster wie BigONE: Die Angreifer erbeuteten rund 388 Millionen US-Dollar nicht durch gestohlene Schlüssel, sondern indem sie über eine Zero-Day-Lücke in Sicherheitsprodukten eines Drittanbieters bis zum Wallet-Server vordrangen und die eigene Autorisierung der Börse missbrauchten.

Bitgets Systeme meldeten am 24. September 2026 um 18:31 UTC unautorisierte Transfers aus einer begrenzten Zahl von Hot Wallets. Laut Börse hatte der Angreifer ein kritisches Backend-System der Wallet-Infrastruktur kompromittiert, Transaktionsdaten gefälscht und den börseneigenen Freigabeprozess genutzt The Hacker News, 25.09.2026. Der spätere Untersuchungsbericht ist noch deutlicher: Mandiant fand heraus, dass die Angreifer über Sicherheits-Appliances eines Drittanbieters eine Web-Shell platzierten, sich seitlich bis zum produktiven Wallet-Job-Server bewegten und mit hochrangigen internen Zugangsdaten betrügerische Auszahlungsbefehle absetzten, die bestehende Risikokontrollen umgingen. Die frühesten Spuren reichen laut SlowMist bis zum 31. August 2026 zurück The Hacker News, 01.10.2026.

Lies das zweimal: Die Angreifer waren rund dreieinhalb Wochen im Netz, bevor das Geld floss. Das ist exakt das BigONE-Lehrstück, nur eine Nummer größer. Wieder blieb die Kryptografie intakt, wieder wurde die Entscheidungsebene übernommen. Die Details zum Ablauf und zum Stand nach der Wiederaufnahme der Auszahlungen findest du in unserer Meldung Bitget-Hack: 351,6 Millionen Dollar aus Hot Wallets abgeflossen und im fortlaufend aktualisierten Bitget-Testbericht nach dem Hack.

Laut Chainalysis verließen die 387 Millionen Dollar die Börse innerhalb von drei Stunden in 23 Transfers und landeten zunächst auf Ethereum (49,7 %), dem XRP Ledger (40,8 %), Zcash (7,6 %) und Tron (1,8 %); danach wurde über Brücken, Instant-Swaps und Mixer bis in Bitcoin-Adressen umgeschichtet Chainalysis, 01.10.2026.

Wer hat beim Bitget-Hack den Schaden bezahlt?

Bitget erklärt, dass der finanzielle Schaden des Hacks vom 24. September 2026 vollständig vom hauseigenen Protection Fund gedeckt ist, Kundenguthaben unverändert blieben und Auszahlungen zwischen dem 28. September und 2. Oktober 2026 schrittweise wieder freigegeben wurden.

Nach Angaben der Börse beträgt der verifizierte Schaden rund 388 Millionen US-Dollar über zwölf Hot- und Warm-Wallet-Adressen. Bitget sagte am 28. September zu, den Protection Fund binnen einer Woche wieder auf mindestens 300 Millionen US-Dollar aufzufüllen; zuletzt wurden 3.705 BTC im Fonds ausgewiesen Bitget, 27.09.2026, aktualisiert 20.10.2026.

Unsere Rechnung: 3.705 BTC sind beim Kurs vom 23. Oktober 2026 rund 302 Millionen US-Dollar wert, also etwa 270 Millionen Euro. Der Schaden von 388 Millionen Dollar war damit rund 1,28-mal so groß wie der Fonds nach seiner Wiederauffüllung. Daraus folgt nicht, dass Bitget in Schwierigkeiten ist – die Börse hat den Verlust offenbar aus weiteren Mitteln getragen. Es zeigt aber, dass selbst ein dreistelliger Millionen-Schutzfonds bei einem einzigen großen Vorfall an seine Grenze kommt. Wer sich bei der Börsenwahl auf „Wir haben einen Protection Fund“ verlässt, sollte immer fragen: Wie groß ist der Fonds im Verhältnis zu dem, was in den Hot Wallets liegt?

Wie viel Geld wurde 2025 und 2026 bei Krypto-Hacks gestohlen?

Laut Chainalysis wurden 2025 mehr als 3,4 Milliarden US-Dollar in Kryptowerten gestohlen, davon allein 1,5 Milliarden beim Bybit-Hack; für 2026 zählt CertiK bis Ende September bereits rund 2,58 Milliarden US-Dollar Hack-Verluste (1,32 Milliarden im ersten Halbjahr, 1,26 Milliarden im dritten Quartal).

Die Chainalysis-Zahl für 2025 umfasst den Zeitraum Januar bis Anfang Dezember Chainalysis, 18.12.2025. Für 2026 meldet CertiK im Halbjahresbericht 1,316 Milliarden US-Dollar Verluste aus 344 Vorfällen; die größten waren der Kelp-DAO-Vorfall mit 291 Millionen und der Drift-Protocol-Hack mit 285 Millionen, beide im April CertiK, 06.07.2026. Im dritten Quartal kamen 1,26 Milliarden US-Dollar aus 247 Vorfällen hinzu; der Bitget-Hack allein machte rund 31 % davon aus Cointelegraph/CertiK, 01.10.2026.

Eine wichtige Einschränkung, bevor du Jahre vergleichst: Chainalysis und CertiK zählen unterschiedlich. Chainalysis misst gestohlene Gelder insgesamt, CertiK Sicherheitsvorfälle im Web3-Bereich. Wer einfach 2,58 Milliarden durch 3,4 Milliarden teilt und „2026 liegt bei 76 % des Rekordjahres“ schreibt, vergleicht Äpfel mit Birnen. Die belastbare Aussage ist eine andere: 2026 ist ohne einen Bybit-ähnlichen Mega-Hack schon jetzt auf einem Niveau, das vor drei Jahren als Ausnahmejahr gegolten hätte. CertiK selbst rechnet vor, dass das erste Halbjahr 2026 ohne den Bybit-Effekt rund 28 % über dem Vorjahreszeitraum lag.

Die Vorfälle bei Kelp DAO und Drift waren DeFi-Hacks, also Angriffe auf Protokolle ohne zentralen Betreiber. Mehr dazu in unseren Krypto-News zum Kelp-DAO-Hack über 292 Millionen Dollar. Für dich als Börsenkunde ist die Unterscheidung wichtig: Bei einem DeFi-Hack gibt es oft niemanden, der haftet. Bei einer zentralen Börse gibt es immerhin ein Unternehmen – ob es zahlen kann und muss, ist die nächste Frage.

Wer steckt hinter den großen Börsen-Hacks?

Die größten Börsen-Hacks der Jahre 2025 und 2026 werden überwiegend nordkoreanischen Staatshackern zugeschrieben: Das FBI ordnete den 1,5-Milliarden-Dollar-Hack bei Bybit der Gruppe „TraderTraitor“ zu, und laut Chainalysis erbeuteten nordkoreanische Akteure 2025 mindestens 2,02 Milliarden US-Dollar.

Das FBI veröffentlichte am 26. Februar 2025 eine öffentliche Warnung, in der es den Diebstahl von rund 1,5 Milliarden US-Dollar bei Bybit Nordkorea zuschrieb und 51 Ethereum-Adressen der Täter auflistete FBI/IC3, 26.02.2025. Chainalysis zufolge entfielen 2025 rekordverdächtige 76 % aller Kompromittierungen von Krypto-Dienstleistern auf nordkoreanische Akteure. Auch beim Bitget-Hack verweisen die Börse sowie die Analysefirmen Elliptic und TRM Labs auf Überschneidungen mit früheren nordkoreanischen Wallets; eine formale Zuordnung stand bei Redaktionsschluss noch aus. Beim Drift-Hack im April 2026 sprach Chainalysis ebenfalls von vorläufigen Indizien in diese Richtung Chainalysis, 09.04.2026; unsere damalige Meldung dazu: Elliptic zeigt Nordkorea als Drift-Hacker. Ende Oktober 2026 folgte der bislang größte Fall: Auch beim Binance-Hack über 6,3 Milliarden Dollar gelten mutmaßlich nordkoreanische Hacker als Täter.

Warum ist das für dich relevant? Weil es das Bild vom „Hacker im Kapuzenpulli“ zurechtrückt. Gegen staatlich finanzierte Teams, die monatelang Vertrauen zu Mitarbeitern aufbauen und Zero-Day-Lücken einkaufen, ist praktisch keine Börse vollständig gewappnet. Ob ein Anbieter gehackt wird, ist daher weniger eine Frage des Ob als des Wie-oft und Wie-schlimm. Deine Verteidigung beginnt also nicht bei der Frage „Welche Börse ist unhackbar?“, sondern bei „Was passiert mit meinem Geld, wenn es passiert?“.

Bekomme ich mein Geld zurück, wenn meine Krypto-Börse gehackt wird?

Bei den großen Börsen-Hacks BigONE (Juli 2025), Upbit (November 2025) und Bitget (September 2026) haben die Betreiber die Kundenverluste vollständig aus eigenen Mitteln ersetzt; einen allgemeinen Rechtsanspruch auf Entschädigung gibt es aber nur gegenüber einer in der EU nach MiCA zugelassenen Börse, und auch dort nur, wenn ihr der Vorfall zuzurechnen ist.

Die gute Bilanz der letzten Jahre hat einen einfachen Grund: Große Börsen verdienen mit Handelsgebühren so viel, dass sie einen Schaden im zweistelligen oder sogar dreistelligen Millionenbereich auffangen können, ohne zu kippen. Für eine Börse ist es rational zu zahlen, denn ein Vertrauensverlust kostet sie mehr als der Hack. Upbit, die größte Börse Südkoreas, versprach nach dem Diebstahl von rund 36 Millionen US-Dollar aus einer Solana-Hot-Wallet am 27. November 2025 sofort, den „gesamten Betrag mit eigenen Mitteln“ zu ersetzen Decrypt, 27.11.2025. Wie streng Südkorea seine Börsen ohnehin beaufsichtigt, beschreiben wir in Südkoreas Regeln für Krypto-Börsen.

Trotzdem: „Bisher wurde immer gezahlt“ ist kein Versprechen für morgen. Je kleiner die Börse und je größer der Schaden im Verhältnis zu ihren Rücklagen, desto eher steht am Ende eine Teilerstattung, ein Token als Schuldschein oder ein Insolvenzverfahren. Bei Börsen außerhalb der EU hast du dann kaum Hebel: Du klagst im Zweifel vor einem Gericht auf den Seychellen oder den Britischen Jungferninseln.

Haftet eine Krypto-Börse nach MiCA für gehackte Coins?

Ja: Nach Artikel 75 Absatz 8 der EU-Verordnung MiCA haften zugelassene Krypto-Verwahrer gegenüber ihren Kunden für den Verlust von Kryptowerten, wenn dieser auf einen ihnen zuzurechnenden Vorfall zurückgeht – begrenzt auf den Marktwert der verlorenen Coins zum Zeitpunkt des Verlusts.

Der Wortlaut ist eindeutig: Anbieter „shall be liable to their clients for the loss of any crypto-assets or of the means of access to the crypto-assets as a result of an incident that is attributable to them“. Die Haftung ist auf den Marktwert des verlorenen Kryptowerts zum Zeitpunkt des Verlusts gedeckelt. Nicht zuzurechnen sind Ereignisse, bei denen der Anbieter nachweist, dass sie unabhängig von seinem Dienst eingetreten sind – etwa ein Problem in der Blockchain selbst, die er nicht kontrolliert MiCA Art. 75, ESMA Single Rulebook.

Was heißt das konkret? Ein Hack wie bei BigONE oder Bitget – kompromittierte Backend-Server, manipulierte Freigaben, gestohlene Zugangsdaten von Mitarbeitern – ist klar ein Vorfall, der dem Anbieter zuzurechnen ist. Eine MiCA-lizenzierte Börse müsste dir in so einem Fall den Wert deiner Coins ersetzen, und zwar zum Kurs im Moment des Diebstahls. Steigt Bitcoin danach um 30 %, bekommst du nur den alten Wert. Fällt er, profitierst du gewissermaßen vom Deckel nach unten nicht. Die Grundlagen der Verordnung haben wir in unserem Ratgeber zur MiCA-Verordnung zusammengefasst.

Unsere Einschätzung zu den Grenzen: Ein Haftungsanspruch ist nur so viel wert wie das Vermögen dessen, der haftet. Wenn ein Hack eine Börse in die Insolvenz treibt, stehst du mit deinem Schadensersatzanspruch in einer Reihe mit anderen Gläubigern. Deshalb ist die zweite MiCA-Regel mindestens genauso wichtig.

Sind meine Coins bei einer Börsen-Insolvenz nach einem Hack geschützt?

Nach Artikel 75 Absatz 7 MiCA müssen zugelassene Verwahrer die Kryptowerte ihrer Kunden rechtlich und operativ von ihrem eigenen Vermögen trennen, damit Gläubiger der Börse – insbesondere im Insolvenzfall – keinen Zugriff darauf haben.

Diese Trennung schützt dich davor, dass deine Coins in der Insolvenzmasse verschwinden. Sie schützt dich aber nicht davor, dass die Coins schlicht weg sind, weil Hacker sie gestohlen haben. Getrennt verwahrte, aber gestohlene Bitcoin bleiben gestohlen. In diesem Fall greift wieder nur der Haftungsanspruch aus Absatz 8. Was genau bei einer Börsenpleite passiert und welche Rolle das deutsche Kryptomärkteaufsichtsgesetz spielt, erklären wir ausführlich in Was passiert mit meinen Coins, wenn die Krypto-Börse pleite geht?.

Greift die Einlagensicherung bei Krypto-Guthaben auf Börsen?

Nein: Die gesetzliche Einlagensicherung von 100.000 Euro je Kunde und Bank sowie die Anlegerentschädigung von 90 % bis maximal 20.000 Euro decken Kryptowerte laut BaFin „in der Regel nicht“ ab – Ausnahmen gelten nur, wenn der Kryptowert als Wertpapier gilt oder du Fondsanteile hältst.

Die BaFin stellt das in ihren Verbraucherinformationen ausdrücklich klar BaFin, Einlagensicherung & Anlegerentschädigung. Auch die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA warnten am 6. Oktober 2025 gemeinsam, dass der Schutz bei Kryptowerten je nach Produkt und Dienst „begrenzt“ sein kann, und rieten, nur bei in der EU zugelassenen Anbietern zu kaufen und Coins in angemessen gesicherten Wallets zu halten ESMA/EBA/EIOPA, 06.10.2025.

Ein Alltagsbeispiel: Du hast 5.000 Euro Bargeld-Guthaben und 5.000 Euro in Bitcoin auf derselben Plattform. Ist die Plattform eine Bank, ist dein Euro-Guthaben gesetzlich gesichert, dein Bitcoin-Bestand nicht. Ist die Plattform nur ein Krypto-Dienstleister, ist häufig nicht einmal das Euro-Guthaben über eine Einlagensicherung abgedeckt, sondern bestenfalls auf Treuhandkonten getrennt. Lies im Zweifel die Geschäftsbedingungen – der entscheidende Absatz heißt meist „Verwahrung“ oder „Safeguarding“.

Was ist der Unterschied zwischen einem Hack und einer Insolvenz der Börse?

Bei einem Börsen-Hack stehlen Dritte einen Teil der verwahrten Coins, während die Börse meist weiterarbeitet und den Schaden ersetzen kann; bei einer Insolvenz ist die Börse selbst zahlungsunfähig, und Kunden sind auf Vermögenstrennung und Insolvenzverfahren angewiesen.

Beide Risiken hängen zusammen, sind aber nicht dasselbe. BigONE, Upbit und Bitget zeigen das Normalbild: Hack, Auszahlungsstopp für Stunden bis Tage, Entschädigung, weiter geht es. Mt. Gox und FTX zeigen den Ausnahmefall, in dem ein Loch – durch Diebstahl oder Veruntreuung – so groß wird, dass die Firma zusammenbricht. Für dich bedeutet das: Ein Hack ist meist ein Liquiditätsproblem auf Zeit, eine Insolvenz kann ein Vermögensproblem auf Jahre werden.

Eine dritte Variante wird gern vergessen. Seit dem Ende der MiCA-Übergangsfristen müssen Anbieter ohne EU-Zulassung ihr Geschäft in den betroffenen Ländern geordnet abwickeln; die ESMA erwartet dafür Pläne, die Kunden „ohne unangemessenen wirtschaftlichen Schaden“ etwa zu einem anderen zugelassenen Anbieter überführen ESMA-Statement, 04.12.2025. Auch das ist ein Verwahrrisiko: Du kommst an dein Geld, aber eventuell nicht dann, wann und wie du willst.

Wie viel von meinem Krypto-Vermögen sollte auf der Börse liegen?

Nach Einschätzung von KryptoZukunft.com sollte auf einer Börse nur der Teil deines Krypto-Vermögens liegen, den du in den nächsten Wochen aktiv handeln willst – für langfristige Anleger sind das meist 10 bis 20 %, der Rest gehört in eine eigene Wallet, deren Seed Phrase nur du kennst.

Die Faustregel „Not your keys, not your coins“ ist alt, aber der BigONE-Fall gibt ihr eine präzisere Bedeutung. Es geht nicht darum, dass Börsen grundsätzlich unsicher wären. Es geht darum, dass du auf einer Börse ein Risiko trägst, das du weder beobachten noch beeinflussen kannst. In einer eigenen Wallet trägst du ein anderes Risiko – Verlust der Seed Phrase, Phishing, Bedienfehler –, aber das kannst du selbst steuern. Den Unterschied zwischen beiden Verwahrformen erklären wir in Custodial oder Non-Custodial Wallet, die Abwägung online gegen offline in Cold Wallet vs. Hot Wallet.

Mit dem folgenden Rechner kannst du dein eigenes Börsen-Exposure grob einschätzen. Die Hack-Wahrscheinlichkeit ist bewusst eine Annahme, die du selbst setzt – eine seriöse, für alle Börsen gültige Quote gibt es nicht. Spiel ruhig mit den Werten und schau, wie stark sich der Börsen-Anteil auf das Ergebnis auswirkt.

Unsere Rechnung mit den Standardwerten: Bei 10.000 Euro Krypto-Vermögen und 80 % auf der Börse liegen 8.000 Euro im Verwahrer-Risiko. Mit den angenommenen 2 % Hack-Wahrscheinlichkeit und 50 % Ausfall im Ernstfall ergibt sich ein erwarteter Verlust von 80 Euro pro Jahr – das klingt harmlos. Die eigentliche Botschaft steckt im Worst Case: 4.000 Euro wären weg. Senkst du den Börsen-Anteil auf 20 %, schrumpft der Worst Case auf 1.000 Euro und der Erwartungswert auf 20 Euro. Für die meisten Langfrist-Anleger ist das der billigste Risikoabbau, den es gibt.

Woran erkenne ich, ob eine Börse einen Hack gut übersteht?

Eine Börse übersteht einen Hack in der Regel gut, wenn sie in der EU nach MiCA zugelassen ist, ihre Reserven regelmäßig nachweist, einen Schutzfonds in einer zum Hot-Wallet-Bestand passenden Größe vorhält und bei früheren Vorfällen schnell, transparent und vollständig entschädigt hat.

Prüfe als Erstes die Zulassung. Seit Mitte 2026 ist die Frage, ob ein Anbieter in der EU zugelassen ist, kein Detail mehr, sondern die Grundlage aller Schutzrechte aus MiCA. Unser großer Vergleich Beste Kryptobörse in Deutschland 2026 zeigt, welche Anbieter für deutsche Kunden tatsächlich lizenziert sind. Als Zweites zählt der Track Record. Eine Börse, die nach einem Vorfall sofort Zahlen nennt, einen Zeitplan für die Auszahlungen veröffentlicht und unabhängige Forensiker wie Mandiant oder SlowMist einschaltet, verhält sich anders als eine, die tagelang „Wartung“ meldet. Wie es aussieht, wenn eine Börse ohne MiCA-Lizenz und mit Hack-Vorgeschichte um Neukunden wirbt, zeigt unser Check zu Poloniex.

Als Drittes lohnt der Blick auf die Struktur: Zentrale Börsen bündeln Kundengelder in wenigen Wallets, dezentrale Börsen tun das nicht, haben dafür aber Smart-Contract-Risiken. Die Vor- und Nachteile beider Modelle haben wir in zentralisierte vs. dezentralisierte Börsen gegenübergestellt. Und als Viertes: Achte darauf, was die Börse bei der Identitätsprüfung verlangt. Eine saubere KYC-Verifizierung nervt, ist aber ein Indiz dafür, dass ein Anbieter Compliance ernst nimmt – genau der Punkt, an dem ZachXBT BigONE kritisiert hatte.

Schützen Proof-of-Reserves und Audits vor einem Börsen-Hack?

Proof-of-Reserves und Sicherheits-Audits schützen nicht vor einem Börsen-Hack, sondern zeigen nur, ob eine Börse zu einem Stichtag genug Kundengelder hält beziehungsweise ob ein Prüfer bekannte Schwachstellen gefunden hat; Angriffe auf Freigabeprozesse wie bei BigONE und Bitget erfassen beide nicht.

Ein Proof-of-Reserves ist eine Momentaufnahme: Die Börse belegt, dass auf bestimmten Adressen mindestens so viele Coins liegen, wie Kunden ihr schulden. Das sagt viel über Zahlungsfähigkeit und wenig über Sicherheit. Auch Börsen, die regelmäßig Reserve-Nachweise veröffentlichen, sind nicht vor Angriffen auf ihre internen Abläufe gefeit – ein Nachweis vom Monatsersten verhindert keinen Abfluss am 24. des Monats. Bei Audits ist es ähnlich. Ein Smart-Contract-Audit prüft Code, nicht die Server-Konfiguration eines Drittanbieters. Warum geprüfte Systeme trotzdem fallen, erklären wir in Was ist ein Krypto-Audit?.

Wo Proof-of-Reserves trotzdem hilft: nach dem Hack. Eine Börse, die nach einem Vorfall zeitnah neue Reserve-Nachweise veröffentlicht, zeigt, dass sie das Loch gestopft hat. Bleibt dieser Nachweis aus, ist das ein Warnsignal, das du ernst nehmen solltest. Ein ergänzender Blick lohnt auch auf die Frage, welcher Teil deines Guthabens überhaupt auf der Blockchain liegt und welcher nur als Buchung in der Datenbank der Börse – dazu unser Artikel Was ist Off-Chain?.

Was solltest du tun, wenn deine Börse einen Hack meldet?

Wenn deine Börse einen Hack meldet, solltest du zuerst ausschließlich offizielle Kanäle der Börse prüfen, keine Links aus E-Mails oder Messengern anklicken, deine Kontostände per Screenshot dokumentieren und nach Wiederaufnahme der Auszahlungen langfristige Bestände in eine eigene Wallet übertragen.

Klingt banal, ist es aber nicht. Unmittelbar nach großen Hacks steigt die Zahl gefälschter „Entschädigungs“-Mails und angeblicher Support-Mitarbeiter auf Telegram sprunghaft an. Die Betrüger wissen, dass du nervös bist. Eine Börse wird dich nie auffordern, deine Seed Phrase oder dein Passwort einzugeben, um eine Erstattung zu bekommen. Weitere Schutzregeln findest du in unserem Leitfaden Krypto-Sicherheit 2026.

Dann gilt: Geduld statt Panik. Bei Bitget dauerte es vom Auszahlungsstopp am 24. September bis zur vollständigen Freigabe aller Token am 2. Oktober 2026 rund acht Tage, gestaffelt nach Coins – Bitcoin zuerst, dann Ether, dann USDT, dann der Rest. In dieser Phase hilft dir hektisches Handeln nichts, denn Auszahlungen sind ohnehin gesperrt. Wer dagegen in den ersten Stunden über Social-Media-Gerüchte in Panik verkauft, realisiert womöglich Verluste, die mit dem Hack gar nichts zu tun haben.

Wenn die Auszahlungen wieder laufen, ist der richtige Moment, deine Verwahrstrategie zu überdenken. Mach zuerst eine Testüberweisung mit einem kleinen Betrag in deine eigene Wallet, prüfe die Adresse Zeichen für Zeichen und schick erst dann den Rest. Welche Wallet zu dir passt, zeigt unser Krypto-Wallet-Vergleich 2026. Und bewahre die Seed Phrase offline auf – nie als Foto im Handy, nie in der Cloud.

Kann ich einen Verlust durch einen Börsen-Hack von der Steuer absetzen?

Ob ein Verlust durch einen Börsen-Hack in Deutschland steuerlich absetzbar ist, ist bislang nicht abschließend geklärt; da bei den großen Hacks 2025 und 2026 die Börsen den Schaden vollständig ersetzt haben, stellte sich die Frage für die meisten Betroffenen bisher gar nicht.

Private Gewinne und Verluste mit Kryptowährungen entstehen nach deutschem Steuerrecht in der Regel bei einer Veräußerung, also bei Verkauf oder Tausch. Ein Diebstahl ist keine Veräußerung im klassischen Sinn, weshalb die steuerliche Berücksichtigung umstritten ist. Wird der Schaden durch die Börse ersetzt, entsteht dir in der Regel ohnehin kein wirtschaftlicher Verlust. Unsere Einschätzung: Wenn du tatsächlich auf einem Verlust sitzen bleibst, dokumentiere alles – Kontoauszüge, Börsen-Statements, Transaktions-IDs – und sprich mit einer Steuerberaterin. Den aktuellen Rahmen zu Haltefrist und Meldepflichten findest du in Krypto-Steuern 2026.

Ist BigONE heute für deutsche Anleger eine Option?

Für deutsche Anleger ist BigONE nach Einschätzung von KryptoZukunft.com im Oktober 2026 keine empfehlenswerte Option, weil uns keine EU-Zulassung der Börse nach MiCA bekannt ist und damit die Haftungs- und Trennungsregeln aus Artikel 75 MiCA nicht greifen.

Das ist kein Urteil über die technische Sicherheit von BigONE nach den Upgrades im Sommer 2025. Es ist eine nüchterne Abwägung: Wenn es lizenzierte Alternativen gibt, bei denen dir im Ernstfall ein Rechtsanspruch zusteht, gibt es wenig Grund, ein zusätzliches Rechts- und Reputationsrisiko einzugehen. Prüfe vor jeder Registrierung selbst, ob ein Anbieter im Register der ESMA bzw. bei der BaFin geführt wird – Zulassungen ändern sich, und diese Seite ist eine Momentaufnahme vom 23. Oktober 2026.

Ein letzter Gedanke, der über BigONE hinausgeht: Wer verstehen will, was eine Börse mit seinem Geld macht, sollte einmal nachvollziehen, wie Transaktionen auf der Blockchain sichtbar werden. Viele Hack-Analysen – auch die zu BigONE – beruhen auf öffentlich einsehbaren Daten. Wie du sie liest, zeigt unsere Erklärung Was bedeutet On-Chain?.

Häufige Fragen zum BigONE-Hack und zu Börsen-Hacks

Weiterlesen auf KryptoZukunft.com

Zitiervorschlag: Rieger, Felix (2026): Was lehrt der BigONE-Hack 2026? Börsen-Hacks, Haftung nach MiCA und wie viel Krypto du auf der Börse lassen solltest. KryptoZukunft.com, aktualisiert am 23. Oktober 2026. https://kryptozukunft.com/2025/07/18/der-bigone-hack/

Disclaimer: Dieser Artikel dient ausschließlich der Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Kryptowerte sind hochriskant; ein Totalverlust ist möglich. Angaben zu Hacks, Beträgen und Entschädigungen beruhen auf den genannten Quellen zum jeweiligen Stichtag und können sich ändern. Alle Euro-Werte sind mit dem EZB-Referenzkurs vom 23. Oktober 2026 umgerechnet. Eigene Berechnungen sind als solche gekennzeichnet.