Der BigONE-Hack: Was daraus geworden ist – und was du für deine Sicherheit lernen solltest

Was ist beim BigONE-Hack genau passiert?

Angreifer kompromittierten nicht die Wallets selbst, sondern das Produktionsnetzwerk von BigONE. Sie veränderten die Logik der Server für Konto- und Risikokontrolle so, dass Auszahlungen automatisch genehmigt statt geprüft wurden – die Private Keys blieben dabei unangetastet.

Laut der Sicherheitsfirma SlowMist manipulierten die Hacker die Server-Logik im Produktionsnetzwerk, um unautorisierte Abhebungen durchzuführen BleepingComputer, Juli 2025. Die Sicherheitsfirma Cyvers ergänzte, dass der Angriff vermutlich mit eingeschleusten Schad-Binaries über eine kompromittierte CI/CD- bzw. Server-Management-Pipeline begann – also über die Software-Lieferkette der Börse Brave New Coin, Juli 2025. Genau das macht den Fall lehrreich: Statt den Tresor aufzubrechen, brachten die Angreifer das System dazu, die Tür selbst zu öffnen. Wer die Grundlagen verstehen will, findet sie in unseren Erklärungen zu Was ist eine Hot Wallet? und zum Vergleich Cold Wallet vs. Hot Wallet.

In den frühen Morgenstunden des 16. Juli registrierte BigONE nach eigener Darstellung ungewöhnliche Bewegungen eines Teils der Plattform-Bestände und bestätigte nach interner Prüfung einen Angriff Dritter auf die Hot Wallet. Brisant ist die zeitliche Lücke: Zwischen dem Beginn der Manipulation und der Entdeckung vergingen Stunden, in denen die veränderte Logik bereits Auszahlungen durchwinkte. Sicherheitsteams wie CertiK Alert meldeten schon vor der offiziellen Bestätigung große Token-Abflüsse aus den betroffenen Adressen. Genau diese Verzögerung ist das eigentliche Einfallstor: Ein Angriff, der die Betriebslogik verändert, sieht für klassische Alarmsysteme zunächst wie normaler Geschäftsbetrieb aus – bis die Summen auffallen und es für eine Schadensbegrenzung längst zu spät ist.

Wie viel wurde gestohlen – und in welche Coins?

Insgesamt verschwanden rund 27 Millionen US-Dollar über fünf Blockchains. Der On-Chain-Tracker Lookonchain dokumentierte, dass die Angreifer die Beute unmittelbar in große, liquide Assets umtauschten.

Diese Aufschlüsselung stammt von Lookonchain und wurde u. a. von BTC-ECHO und BeInCrypto übernommen BTC-ECHO, Juli 2025. Eine der von Lookonchain dokumentierten Sammeladressen der Angreifer auf Bitcoin lautet:

bc1qwxm53zya6cuflxhcxy84t4c4wrmgrwqzd07jxm

Du kannst solche Adressen jederzeit selbst on-chain nachverfolgen, etwa über einen Block-Explorer wie mempool.space. Wie man Blockchain-Daten generell liest, erklären wir in „Was bedeutet on-chain?“.

Unmittelbar nach dem Diebstahl begannen die Angreifer, die Mittel zu waschen: Laut Lookonchain wurden die Beträge über Tron, Solana, Ethereum und Bitcoin verteilt und über Brücken sowie dezentrale Börsen fragmentiert, um die Spur zu verschleiern. CertiK bezifferte den ETH-Anteil kurz nach dem Vorfall auf rund 4 Millionen US-Dollar in einer einzelnen Wallet, ergänzt um schwer liquidierbare Kleinst-Token wie SHIBA INU und CelerToken. Diese Multi-Chain-Streuung ist typisch für moderne Geldwäsche: Je mehr Netzwerke, Token-Swaps und Mixer im Spiel sind, desto aufwendiger wird die forensische Zuordnung und desto geringer die Chance auf Rückführung. Genau deshalb ist die schnelle Markierung der Adressen durch Börsen und Analysefirmen so entscheidend – sie ist oft das einzige Zeitfenster, bevor die Gelder in Fiat abfließen.

Wie hat BigONE reagiert – und wurden die Nutzer entschädigt?

BigONE sagte zu, alle Nutzerverluste vollständig zu tragen. Die Entschädigung erfolgte aus internen Reserven (BTC, ETH, USDT, SOL und dem hauseigenen XIN/Mixin-Token), für Nischen-Token wurde zusätzlich extern Liquidität beschafft.

Handel und Einzahlungen liefen schon wenige Stunden nach dem Vorfall wieder, Auszahlungen erst nach zusätzlichen Sicherheits-Upgrades Brave New Coin, Juli 2025. Zur Aufklärung arbeitete BigONE mit der Blockchain-Sicherheitsfirma SlowMist zusammen und schrieb ein Bounty-Programm von bis zu 8 Millionen US-Dollar für Hinweise und Mittel-Rückführung aus Cointelegraph, Aug 2025. Dass die Börse die Verluste selbst trägt, ist die Mindesterwartung an einen seriösen Verwahrer – die genauen Reserven und Herkünfte hatte BigONE in seinem Statement aufgeschlüsselt Coincierge, Juli 2025.

BigONE wurde 2017 in China gegründet und zählt zu den größeren internationalen Handelsplätzen; das wöchentliche Handelsvolumen lag zeitweise im dreistelligen Milliardenbereich. Nach dem Vorfall stoppte die Börse zunächst Handel und Einzahlungen, stellte beides aber innerhalb weniger Stunden wieder her, während Auszahlungen bis zum Abschluss der Sicherheits-Upgrades pausiert blieben. Zugleich versprach BigONE volle Transparenz und regelmäßige Updates zum Ermittlungsfortschritt. Aus Anlegersicht ist das die entscheidende Nagelprobe für jeden Verwahrer: Nicht ob ein Zwischenfall passiert – das lässt sich nie ganz ausschließen –, sondern wie schnell, transparent und vollständig er aufgefangen wird. Eine vollständige Eigen-Entschädigung wie hier ist begrüßenswert, darf aber nicht mit einer garantierten Einlagensicherung verwechselt werden, wie man sie von Banken kennt.

Warum ist ein Supply-Chain-Angriff so gefährlich?

Weil deine Sicherheit nur so stark ist wie dein schwächstes Glied in der Lieferkette. Ein Supply-Chain-Angriff umgeht klassische Schutzmaßnahmen, indem er nicht die Schlüssel, sondern die Betriebslogik kompromittiert – und dadurch oft erst Stunden später auffällt.

Sicherheitsanalysten betonen, dass verhaltensbasierte Echtzeit-Überwachung die auffälligen Mittelbewegungen binnen Minuten statt Stunden hätte erkennen können – der Unterschied zwischen einem Verlust von unter 1 Mio. und 27 Mio. US-Dollar Guardrail, Aug 2025. Anders als bei klassischen Hot-Wallet-Diebstählen, bei denen Schlüssel entwendet werden, blieb hier die Kryptografie intakt – angegriffen wurde der Prozess drumherum Halborn, Juli 2025. Das ist Teil eines größeren Trends: 2025 entfielen laut Analysen rund drei Viertel der Hack-Verluste auf Off-Chain-Angriffe, Social Engineering und kompromittierte Zugangsdaten – nicht auf fehlerhaften Smart-Contract-Code CoinLaw, Apr 2026.

Der Fall fügt sich in einen klaren Trend: Während Smart-Contract-Lücken durch bessere Audits seltener werden, geraten zentralisierte Dienste und ihre internen Prozesse stärker ins Visier. Analysen zeigen, dass Angriffe auf Schlüssel-Infrastruktur und Signaturprozesse einen überproportionalen Anteil der Schäden ausmachen, weil dort die größten Summen gebündelt liegen. Selbst Plattformen mit professionellen Sicherheitsteams bleiben anfällig, wenn Drittanbieter-Integrationen, Build-Pipelines oder Signierprozesse kompromittiert werden. Für dich heißt das: Die Frage ist nicht nur, ob eine Börse gute Technik einsetzt, sondern wie diszipliniert sie ihre Lieferkette, Zugänge und Betriebsabläufe absichert – Dinge, die du als Außenstehender kaum prüfen kannst und die deshalb für gesundes Misstrauen sprechen.

Wie ordnet sich der BigONE-Hack in die Hack-Welle 2025/2026 ein?

Der BigONE-Hack war 2025 nur einer von vielen – und im Vergleich sogar klein. 2025 wurde mit rund 3,4 Milliarden US-Dollar gestohlener Kryptowerte zum schwersten Jahr aller Zeiten, angeführt vom 1,5-Milliarden-Dollar-Hack bei Bybit.

Nordkoreanische Akteure (von der US-Bundespolizei FBI der Lazarus-/TraderTraitor-Gruppe zugeordnet) sollen 2025 allein rund 2,02 Milliarden US-Dollar erbeutet haben Crowdfund Insider, Apr 2026. 2026 entspannte sich die Lage zunächst – die Verluste im ersten Quartal fielen um rund 88 % gegenüber dem Vorjahr auf etwa 168,6 Mio. US-Dollar CoinLaw, Apr 2026 –, ehe der April 2026 mit dem 292-Mio.-Dollar-Hack des DeFi-Protokolls KelpDAO zu einem der schwersten Monate überhaupt wurde. Mehr dazu in unseren Krypto-News vom 20. April 2026 sowie zur Nordkorea-Hacker-Spur Anfang April 2026.

Zum Vergleich die Dimension des Bybit-Hacks vom Februar 2025: Dort wurden rund 1,5 Milliarden US-Dollar bzw. etwa 401.000 ETH entwendet, von der US-Bundespolizei FBI der nordkoreanischen Lazarus-/TraderTraitor-Gruppe zugeordnet. Selbst mit massiven Tracking-Bemühungen gilt ein erheblicher Teil der Bybit-Beute als „dunkel“ und kaum rückholbar; eine privatsphäre-fokussierte Börse, die der Mitwirkung an der Wäsche beschuldigt wurde, stellte daraufhin sogar den Betrieb ein. Die Rückführungsquoten sind branchenweit ernüchternd: Zeitweise wurde nur rund ein zurückgeholter Dollar je 65 verlorenen verzeichnet. Das unterstreicht die wichtigste Konsequenz dieses und ähnlicher Fälle: Prävention schlägt Recovery um Längen, denn ist das Geld erst über mehrere Chains gewaschen, bleibt es fast immer verloren.

Die ZachXBT-Kontroverse: Verdient BigONE überhaupt Mitgefühl?

Nicht alle Beobachter bedauerten BigONE. Der bekannte On-Chain-Ermittler ZachXBT verwies darauf, dass die Börse in der Vergangenheit erhebliches Handelsvolumen aus „Pig-Butchering“-Romance- und Anlagebetrug verarbeitet haben soll.

Sinngemäß meinte er, man müsse mit dem Team kein Mitleid haben – der Hack sei womöglich eine Art „natürlicher Reinigung“ BeInCrypto, Juli 2025. Diese Kritik ist ein wichtiger Kontext, aber kein Freibrief: Sie entlastet weder die Angreifer noch die betroffenen Endnutzer, deren Guthaben am Ende erstattet werden mussten. Sie zeigt jedoch, wie sehr die Reputation einer Börse Teil ihres Risikoprofils ist – ein Punkt, der in unsere generellen Hinweise zu Krypto-Betrug passt.

Diese Debatte berührt einen blinden Fleck vieler Anleger: Man wählt eine Börse nach Gebühren, Coin-Auswahl und Bedienkomfort – selten nach der Sauberkeit ihres Geschäfts und der Qualität ihrer internen Kontrollen. Der BigONE-Fall legt nahe, dass beides zusammenhängen kann. Eine Plattform, die nachlässig mit verdächtigen Volumina umgeht, schenkt der Härtung ihrer eigenen Systeme womöglich ebenfalls weniger Aufmerksamkeit. Eine kurze Reputationsrecherche – Track Record, frühere Vorfälle, regulatorischer Status, Umgang mit Strafverfolgung – ist deshalb kein Luxus, sondern Teil der Risikoanalyse vor jeder Einzahlung. Im Zweifel gilt: lieber eine etwas teurere, klar regulierte Börse als eine günstige mit fragwürdigem Ruf.

Was bedeutet der Hack für dich als Anleger?

Die wichtigste Lehre lautet: „Not your keys, not your coins.“ Wer Coins langfristig hält, sollte sie nicht dauerhaft auf einer Börse liegen lassen, sondern in eigene Verwahrung (Self-Custody) überführen – idealerweise in eine Cold Wallet.

Eine Börse ist eine Custodial Wallet: Du vertraust dein Vermögen einem Dritten an. Behalte dort nur, was du aktiv zum Handeln brauchst, und sichere den Rest selbst – mit einer geschützten Seed Phrase und passender Hardware. Welche Optionen es gibt, zeigen unser Krypto-Wallet-Vergleich 2026, die Übersicht der Krypto-Wallets und die Schritt-für-Schritt-Anleitung zur Self-Custody-Wallet. Den umfassenden Schutzplan bündelt unser Leitfaden Krypto-Sicherheit 2026.

Konkret heißt sichere Verwahrung: App-basierte Zwei-Faktor-Authentifizierung statt SMS, ein Anti-Phishing-Code im Börsenkonto, eine Auszahlungs-Whitelist für deine eigenen Adressen und – bei größeren Beträgen – eine Hardware-Wallet, deren Seed Phrase ausschließlich offline existiert. Teste neue Abläufe immer zuerst mit einem Kleinstbetrag, bevor du große Summen bewegst, und prüfe vor jeder Einzahlung, ob die Plattform reguliert ist und nachvollziehbare Proof-of-Reserves veröffentlicht. Wichtig zur Einordnung: Keine dieser Maßnahmen hätte den BigONE-Angriff auf Börsenseite verhindert – die Lücke lag im Backend der Börse, nicht bei den Nutzern. Aber genau diese Gewohnheiten bestimmen, wie viel von deinem Vermögen im Ernstfall überhaupt auf einer verwundbaren Plattform liegt und damit im Risiko steht.

Rechner & Sicherheits-Check

Drei interaktive Helfer zur Einordnung deines eigenen Risikos. Alle Werte sind Annahmen und keine Empfehlung.

Teste dein Wissen zum BigONE-Hack

Häufige Fragen zum BigONE-Hack – FAQ

Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Angaben zu Summen, Adressen und Abläufen beruhen auf öffentlicher Berichterstattung und On-Chain-Analysen Dritter (u. a. SlowMist, Lookonchain) und können unvollständig sein oder sich ändern. Eine Nennung von Börsen oder Wallets ist keine Empfehlung. Stand: 13. Juni 2026.