Werden russische Börsen wie Grinex von Hackern oder Spionen ins Visier genommen?

Zumindest eine weitere mit Russland verbundene Krypto-Börse wurde beim Milliard-Rubel-Hack der sanktionierten, in Kirgisistan registrierten Grinex getroffen, wie Blockchain-Analysen zeigten.

Berichte über die zusammenfallenden Vorfälle weckten den Verdacht, dass die Cyberangriffe koordiniert und von Geheimdiensten statt von Hackergruppen durchgeführt wurden.

Kirgisische Krypto-Börse TokenSpot leidet ebenfalls unter Sicherheitslücke

Russland hat angeblich eine Reihe von Kryptowährungsplattformen genutzt, die in verbündeten Staaten wie Kirgisistan ansässig sind, um die finanziellen Sanktionen im Zusammenhang mit dem Krieg in der Ukraine zu umgehen.

Die bekannteste unter ihnen, die Börse Grinex, wurde diese Woche gehackt, wobei Kryptowährungen im Wert von weit über einer Milliarde Rubel, genau genommen fast 15 Millionen Dollar, verloren gingen. Und sie war nicht allein.

Blockchain-Forensikunternehmen verfolgten die gestohlene Kryptowährung schnell, hauptsächlich USDT auf Tron, die schließlich über die dezentrale Plattform SunSwap in Tron-Token (TRX) umgewandelt und in einer einzigen Adresse deponiert wurden – fast 46 Millionen davon.

Laut einem TRM Labs Bericht, war auch ein weiterer kirgisischer Krypto-Handelsdienst, TokenSpot, der in Verbindung mit Grinex gebracht wird, betroffen.

Seine Analysten stellten fest, dass ein kleinerer Betrag an digitalem Geld, im Wert von weniger als 5.000 US-Dollar, an dieselbe Konsolidierungs-Wallet gesendet wurde, die auch bei dem großen Hack verwendet wurde.

Am Mittwoch, dem Tag, an dem Grinex den Handel aussetzte, wandte sich TokenSpot an Telegram, um Nutzer über eine laufende Wartungsphase zu informieren, mit der Wiederaufnahme des Betriebs am folgenden Tag, sagte TRM am Donnerstag.

Während Grinex 54 mit dem Angriff verbundene Adressen identifizierte, fand TRM Labs weitere 16, von denen einige ebenfalls zur Übertragung von Mitteln von TokenSpot genutzt wurden.

Letzteres ist in Kirgisistan registriert, bedient jedoch hauptsächlich russische Kunden und unterstützt Rubel-Transaktionen, berichtete das Wirtschaftsnachrichtenportal RBC am Freitag.

In einem Telegram Beitrag bemerkte das russische Unternehmen SHARD, ein Anbieter von Anti-Geldwäsche- und Know-Your-Customer-Diensten:

„Laut On-Chain-Analyse ist es wahrscheinlich, dass nicht nur die Börse Grinex, sondern auch ein anderer Dienst, der sich ebenfalls in Moscow City befindet, Opfer derselben Angreifer wurde.“

Das in Kirgisistan ansässige Grinex, Nachfolger der russischen Börse Garantex, die im vergangenen Jahr im Rahmen einer von den USA angeführten Aktion geschlossen wurde, hat ein Büro im selben Geschäftszentrum in der russischen Hauptstadt.

Nach der Registrierung des Hacks und der Aussetzung aller Operationen kontaktierte Grinex die Strafverfolgungsbehörden und teilte die gesammelten Daten für weitere Ermittlungen mit.

Die Krypto-Handelsplattform behauptete, sie sei „einer groß angelegten Cyberattacke ausgesetzt gewesen, mit Anzeichen für die Beteiligung ausländischer Geheimdienste“, und hob hervor:

„Die digitale Spur und die Art des Angriffs deuten auf ein beispielloses Maß an Ressourcen und Technologie hin, das nur Entitäten feindlicher Staaten zur Verfügung steht.“

„Laut vorläufigen Daten wurde der Angriff koordiniert, um die finanzielle Souveränität Russlands direkt zu schädigen“, sagte die Börse ebenfalls.

Wurde Grinex von regulären Hackern oder westlichen Spionen getroffen?

Grinex’ Behauptung wurde bisher nicht durch offizielle Statements gestützt, löste jedoch Diskussionen im russischen Krypto-Universum aus, wobei Ansichten beide Szenarien unterstützen.

SHARD kommentierte, dass die Maßnahmen der Börse von dem Wunsch motiviert scheinen, Mittel vor einer Blockierung durch den Emittenten zu schützen.

Als sein Vorgänger Garantex Anfang 2025 offline genommen wurde, frierte Tether 27 Millionen US-Dollar an USDT auf seiner Plattform ein.

„Dies deutet auf eine wirtschaftliche statt politische Natur des Ziels hin, und es ist möglich, dass der Hack nicht mit ausländischen Geheimdiensten verbunden ist“, erläuterte das Unternehmen.

AML-Spezialisten von CoinKit kamen zu dem Schluss, dass der Angriff, da die Angreifer die Wallets der Börse in etwa fünf Minuten leerten, im Voraus geplant und automatisch ausgeführt wurde.

Die Analysten sagten, dass das Schema in den meisten großen Börsenhacks der letzten Jahre beobachtet wurde und keinen Zugriff auf staatliche Ressourcen erfordert.

„Die Art der Transaktionen passt nicht zur Signatur elitärer Hackergruppen, die für Regierungen arbeiten“, stimmte die Compliance-Plattform BitOK zu.

Allerdings wies es auch darauf hin, dass Grinex von den USA, der EU und dem Vereinigten Königreich sanktioniert ist, was es zu einem „legitimen Ziel“ für westliche Geheimdienste macht, und wies darauf hin:

„Es gibt historische Präzedenzfälle. Im Jahr 2025 verlor die iranische Börse Nobitex 90 Millionen US-Dollar infolge eines Angriffs einer mit Israel verbundenen Gruppe.

Die mit Russland verbundene Kryptowährungsbörse hat über 93 Milliarden Dollar an Transaktionen mit dem an den Rubel gekoppelten Stablecoin A7A5 abgewickelt.

Mit den digitalen Währungen verbundene Entitäten, vor allem die in Kirgisistan registrierte Firma Old Vector, die sie derzeit emittiert, sind ebenfalls vom Westen sanktioniert.