Märkte · Wochenthema

Der Mensch bricht, Bitcoin hält – Banken erben das Risiko

Binance, Bitget, Coldcard, Ledger, Liquid: 2026 wurden Börsen und private Wallets in Serie geleert. Die Kryptografie hielt, versagt haben Mitarbeiter, Firmware und Lieferketten, während Sparkassen und Volksbanken gerade in die Verwahrung einsteigen.

WORTH Signals · 31.10.2026 · 7 Min. Lesezeit · English

Der Mensch bricht, Bitcoin hält – Banken erben das Risiko

Kein großer Krypto-Diebstahl dieses Jahres brach die Verschlüsselung; die Täter kamen über einen Entwickler-Laptop, monatelange Kontaktpflege, einen Firmware-Fehler oder manipulierte Geräte. KI macht genau diese Arbeit billiger, das ist belegt für Täuschung und Fehlersuche, für die einzelnen Großdiebstähle aber bisher nicht nachgewiesen.

Die Woche

1. und 18. April: Drift (285 Mio. $) und KelpDAO (292 Mio. $) werden geleert. TRM Labs ordnet beide Nordkorea zu; bei Drift gingen laut TRM Monate der Kontaktpflege zu den Unterzeichnern voraus, inklusive persönlicher Treffen.
30. Juli: Bei Coldcard-Wallets beginnt eine Abräumwelle. Ein Firmware-Fehler von 2021 ließ Geräte auf einen schwachen Zufallsgenerator zurückfallen; laut TRM wurden rund 1.816 BTC (116 Mio. $) von über 5.200 Adressen abgezogen, ohne ein Gerät zu berühren.
31. Juli: Elf Staaten, erstmals auch Deutschland, warnen gemeinsam vor nordkoreanischen IT-Kräften, die sich mit KI-Hilfe in Firmen einschleusen.
7. September: Aus der Reserve des Liquid-Netzwerks fließen rund 4.000 BTC (320 Mio. $) ab. Die Täter nennen sich Whitehats, 3.400 BTC kommen zurück.
24. September: Bitget verliert 387,5 Mio. $ aus Hot Wallets; die Firmenchefin vermutet Nordkorea.
Mitte Oktober: Manipulierte Ledger-Geräte eines südostasiatischen Händlers führen zu geschätzten 86 bis 93 Mio. $ Schaden; am 26. Oktober meldet Keystone den Verlust seines Echtheitsschlüssels.
19. Oktober: Die ersten Sparkassen starten den Kryptohandel in der App.
29. Oktober: Binance verliert rund 6,3 Mrd. $ in etwa 20 Minuten, der bisher größte Krypto-Diebstahl.
30. Oktober: US-Bitcoin-ETFs verzeichnen 409,5 Mio. $ Abflüsse, nach vier Tagen mit Zuflüssen.

Was passiert ist

Die Liste des Jahres hat ein Muster. Bei Binance öffnete nach Angaben der Börse der kompromittierte Laptop eines DevOps-Mitarbeiters den Weg; die Täter brachten das eigene Signiersystem dazu, ihre Überweisungen zu unterschreiben. Private Schlüssel sind laut Binance nicht abgeflossen. Beim Bybit-Diebstahl 2025 lief es ähnlich über den Rechner eines Entwicklers beim Wallet-Dienstleister Safe. Bei Drift gingen Monate der Kontaktpflege voraus. Bei Coldcard lag der Fehler in einer Build-Einstellung, bei Ledger in nachträglich eingebauter Elektronik, bei Liquid in Prüfcode. Die Analysefirma Elliptic fasst es so: Angegriffen wurden Infrastruktur und Menschen rund um die Wallets, nicht die Kryptografie. Nordkorea ist dabei der dominierende Akteur. TRM schrieb Nordkorea bis Ende April 76 Prozent der Schadenssumme des Jahres zu und ordnet auch Binance der Gruppe TraderTraitor zu. Nach TRM-Zählung waren bis 24. September 1,73 Mrd. $ in 333 Fällen gestohlen; mit Bitget und Binance kommen nach WORTH-Rechnung mehr als 8 Mrd. $ zusammen.

Zur These, dass KI diese Welle treibt, ist die Beweislage gemischt. Belegt ist der Werkzeugkasten: Google berichtete im November 2025, dass die nordkoreanische Gruppe UNC1069 mit Gemini Phishing-Texte für Börsenmitarbeiter schrieb und Skripte suchte, um Wallet-Daten auszulesen. Laut südkoreanischen Berichten vom August betreibt die Gruppe Kimsuky eigene Sprachmodelle auf eigenen Servern, um der Kontrolle der Anbieter zu entgehen. Die Warnung der elf Staaten nennt KI als Mittel, um Identitäten zu verschleiern; Microsoft beschreibt KI-gefertigte Lebensläufe und Profile. Belegt ist auch der Preisverfall: Anthropic ließ KI-Agenten 2025 echte Smart Contracts angreifen, im Simulator. Ein Scan kostete im Schnitt 1,22 $, die erbeutbare Summe verdoppelte sich etwa alle 1,3 Monate. Nicht belegt ist, dass KI bei Binance, Bitget oder Coldcard eingesetzt wurde. Coldcard-Hersteller Coinkite erklärt, er müsse annehmen, dass jemand die alte Firmware mit KI geprüft habe, ein eigener KI-Check Wochen vor dem Diebstahl fand den Fehler nicht. Das ist eine Annahme, kein Nachweis. Einordnung: Die stärkere These lautet nicht, dass KI die Angriffe ausführt, sondern dass sie die teuersten Schritte billiger macht, nämlich Ziele auszuspähen, Vertrauen aufzubauen und Fehler im Code zu finden.

Fragen

Ist Selbstverwahrung jetzt unsicherer als ein Konto bei der Bank?

Beides hat andere Schwachstellen. Bei Coldcard und Ledger trafen Fehler in Firmware und Lieferkette die Besitzer direkt, ohne Entschädigung durch einen Fonds. Bei Börsen wie Binance und Bitget trafen die Diebstähle die Unternehmen, die Kunden nach eigenen Angaben schadlos halten. Bei Coldcard waren laut den Analysen Nutzer geschützt, die bei der Einrichtung eigenen Zufall per Würfel oder eine Passphrase ergänzt hatten. Fachleute raten zu Geräten direkt vom Hersteller, aktueller Firmware und bei größeren Beträgen zu Mehrfachsignaturen mit Geräten verschiedener Hersteller.

Wie sicher sind Kryptowerte bei Sparkasse oder Volksbank?

Verwahrt wird bei regulierten Häusern, bei den Sparkassen über die DekaBank, bei den Volksbanken über Boerse Stuttgart Digital. Die EU-Verordnung MiCA verlangt, dass Kundenbestände getrennt vom Vermögen des Verwahrers geführt werden. Gegen einen Einbruch schützt das nicht, es regelt die Zuordnung. Ein erfolgreicher Angriff auf einen deutschen Bank-Verwahrer ist nicht bekannt. Die Sparkassen selbst nennen Krypto hochspekulativ und weisen auf das Risiko eines Totalverlusts hin.

Welche Rolle spielt KI wirklich?

Belegt ist, dass nordkoreanische Gruppen KI für Phishing, Zielrecherche, gefälschte Identitäten und Schadcode nutzen, und dass KI-Agenten im Labor Schwachstellen in Smart Contracts für wenige Dollar pro Versuch finden. Nicht belegt ist, dass KI bei einem der großen Diebstähle 2026 eingesetzt wurde. TRM nennt das eine Vermutung, Coinkite eine Annahme.

Was bedeutet der Binance-Fall für Anleger in Bitcoin-ETFs?

ETF-Anleger halten Fondsanteile, die Bitcoin liegen bei Verwahrern der Fondsgesellschaften, nicht bei Binance. Der Markt reagierte trotzdem: Am 30. Oktober flossen aus US-Bitcoin-ETFs laut Farside 409,5 Mio. $ ab, vorläufig und ohne BlackRock, nach vier Tagen mit zusammen 440,8 Mio. $ Zuflüssen. Bitcoin fiel am Tag des Diebstahls laut CoinDesk um 4,8 Prozent.

Die nächsten Wochen

In den nächsten Tagen zählt, was Binance zur Ursache vorlegt. Die Börse spricht inzwischen von weiteren Einfallstoren über den Laptop hinaus, kündigt einen Reservenachweis bis 2. November an und will Auszahlungen schrittweise wieder öffnen. Nach eigenen Angaben sind rund 80 Prozent des Schadens gedeckt, insgesamt hat Binance mehr als 6,34 Mrd. $ zurückgestellt. Erfahrungsgemäß folgen auf solche Schlagzeilen Betrugswellen mit gefälschten Rückerstattungs- und Prüfangeboten.

Ein bis drei Jahre

Die alte und die neue Finanzwelt treffen sich gerade an der Verwahrung. Die Sparkassen bieten seit 19. Oktober Bitcoin und vier weitere Kryptowerte an; verwahrt wird laut Blocktrainer bei der DekaBank, Auszahlungen gehen vorerst nur an andere zugelassene Kryptodienstleister, nicht auf ein eigenes Gerät. Die DZ Bank hat für die Volksbanken eine MiCA-Zulassung, verwahrt wird dort bei Boerse Stuttgart Digital; die Deutsche Bank plant eigene Verwahrung mit Bitpanda und Taurus. Einordnung: Damit konzentrieren sich Millionen Kundenbestände bei wenigen Verwahrern, also genau bei der Art Ziel, die 2026 am meisten verloren hat. Die MiCA-Verordnung verlangt getrennte Kundenbestände; sie verhindert keinen Einbruch über einen Mitarbeiter-Laptop. Für Aufsicht und Vorstände rücken Personalprüfung, Gerätesicherheit und Zugriffsrechte damit in die Mitte der Krypto-Risikosteuerung.

Fünf bis zehn Jahre

Langfristig verschiebt sich die Frage von sicherer Technik zu sicheren Abläufen. Selbstverwahrung bleibt ohne Gegenpartei, aber sie verlagert das Risiko auf Firmware, Lieferkette und den Besitzer selbst. Verwahrung bei Banken senkt Bedienfehler, schafft aber konzentrierte Ziele. Wenn KI das Auskundschaften und Täuschen weiter verbilligt, lohnen sich auch kleinere Verwahrer und einzelne vermögende Privatleute als Ziel. Einordnung: Gewinner sind Anbieter, die Zugriffe auf viele Hände, Geräte und Hersteller verteilen, etwa über Mehrfachsignaturen mit unabhängigen Geräten. Verlierer sind Modelle, bei denen ein einziger kompromittierter Mensch oder Rechner reicht.

Was sich konkret ändert

Besitzer von Hardware-Wallets: Geräte nur direkt beim Hersteller kaufen, Firmware aktuell halten. Bei Coldcard schützte eigener Würfel-Zufall oder eine Passphrase.
Bankkunden mit Krypto: Bei den Sparkassen verwahrt die DekaBank. Auszahlungen gehen vorerst nur an andere zugelassene Dienstleister, nicht aufs eigene Gerät.
Unternehmen: Bewerbungsgespräche und Remote-Kräfte werden zum Sicherheitsthema. Elf Staaten, darunter Deutschland, warnen vor KI-getarnten Bewerbern.
Krypto-Verwahrer: Der Einbruch kam 2026 meist über Menschen und Geräte. Zugriffsrechte, Gerätekontrolle und verteilte Signaturen rücken nach vorn.

Worauf zu achten ist

Technischer Abschlussbericht und Reservenachweis von Binance
Aufsichtliche Reaktion von BaFin und EU auf Personal- und Gerätesicherheit bei Krypto-Verwahrern
Weitere Belege für KI-Einsatz bei konkreten Diebstählen, etwa in Analysen von TRM, Chainalysis oder Google