Hacker von Coinbase Commerce wacht auf, leitet 5,4 Mio. $ in Tornado Cash
Hacker von Coinbase Commerce wacht auf, leitet 5,4 Mio. $ in Tornado Cash
- Coinbase-Commerce-Hack-Wallet nach fast zwei Jahren wieder aktiviert.
- Angreifer wuschen 5,4 Millionen ETH über Tornado Cash, nachdem sie 5,8 Millionen DAI getauscht hatten.
- Der Hack geht auf April 2024 zurück, als etwa 16 Millionen USDC aus einem Coinbase-Commerce-Vertrag abgezogen wurden.
Die mit dem Coinbase Commerce Hack (2024) verbundene Wallet lebte nach fast zwei Jahren Inaktivität wieder auf. On-Chain-Daten zeigen, dass der Angreifer im Januar 2026 mit der Bewegung von Geldern begann. Bei den neuen Bewegungen hat er bisher 5,4 Millionen Dollar an Ethereum in Tornado Cash eingezahlt.
Vor den Einzahlungen bewegte die mit dem Diebstahl verbundene Adresse etwa 5,8 Millionen Dollar in DAI auf eine neue Wallet. Dieses DAI wurde in Ether getauscht. Das ETH wurde dann in mehrere Einzahlungen aufgeteilt, und die Tornado-Cash-Aktivität folgte einem klaren Batching-Muster. Der Angreifer sendete zwanzig Einzahlungen von 100 ETH, gefolgt von kleineren Beträgen. Dazu gehörten 10 ETH, 1 ETH und fraktionale Überweisungen. Eine separate, mit dem Angreifer verbundene Wallet hält jedoch weiterhin etwa 4,6 Millionen Dollar in DAI.
Dies geschieht, während der globale Kryptomarkt mit starkem Verkaufsdruck umgeht. Ethereum ist in den letzten 7 Tagen um fast 10 % gefallen. ETH handelte im April 2024, als der Exploit auftrat, im Bereich von 3.100–3.700 $. Derzeit handelt Ether zu einem Durchschnittspreis von 2.890 $.
Coinbase Commerce Exploit
Der Vorfall geht auf das im April 2024 markierte Datum zurück. Der On-Chain-Ermittler ZachXBT meldete damals verdächtige Ausflüsse aus einem Coinbase Commerce Vertrag. Am 21. April 2024 verzeichnete der Vertrag mehr als 1.700 USDC-Ausflüsse über ein 16-Stunden-Fenster auf Polygon. Der Gesamtwert belief sich auf 15,97 Millionen Dollar.
Das Muster deutete darauf hin, dass ein Händler, der Coinbase Commerce nutzte, ausgenutzt worden war. Die Gelder wurden in wiederholten Überweisungen abgeflossen. Das gestohlene USDC wurde später von Polygon zu Ethereum gebrückt. Es wurde in Ether getauscht und auf drei Wallets aufgeteilt.
Der Angreifer hat seine Aktivitäten nach fast zwei Jahren Ruhephase wieder aufgenommen und zahlt jetzt gestohlene Gelder in Tornado Cash ein.
Bisher wurden insgesamt $5.4M eingezahlt.
Vorher übertrug die Diebesadresse 5,8 Mio. $ DAI auf eine neue Wallet, die anschließend in… https://t.co/6hZWByeuRQ pic.twitter.com/67vx2CLk6U getauscht wurde.
— Specter (@SpecterAnalyst) Januar 26, 2026
Kurz nach dem Diebstahl begann ein Bedrohungsakteur unter dem Pseudonym „Excite“, in privaten Chats über die Gelder zu diskutieren. ZachXBT verknüpfte diese Behauptungen mit Adressen, die mit den Ausflüssen verbunden waren. Er erwähnte, dass ein Telegramm-Nutzer mit dem Handle „tezedasads12“ im Mai 2024 eine 1-DAI-Transaktion sendete. Die Überweisung diente dazu, die Kontrolle über eine Wallet zu beweisen, die etwa 6 Millionen Dollar aus dem Diebstahl enthielt.
Der gleiche Akteur behauptete, der Inhaber des Instagram-Benutzernamens „Excite“ zu sein. Er versuchte auch, einen passenden Telegramm-Benutzernamen zu kaufen, scheiterte jedoch. Das Instagram-Konto war zunächst privat, wurde später jedoch öffentlich. Das Konto zeigte Luxusuhren und andere hochpreisige Artikel.
ZachXBT erklärte Open-Source-Intelligenz deutete darauf hin, dass die Person möglicherweise in Dänemark ansässig war. Dieses Detail wurde nicht unabhängig bestätigt. Nach der ersten Geldwäschephase hörten die meisten Gelder auf, sich zu bewegen. Wallets, die mit dem Exploit verbunden waren, gingen inaktiv. In der Zwischenzeit wurde ein kleinerer Teil der Gelder später über dezentrale Börsen und Staking-Plattformen geleitet. Diese Transaktionen wurden verwendet, um Vermögenswerte in neue Wallets zu bewegen.
Eine Einzahlungsadresse zeigte eine hohe Exposition gegenüber bekannter Drainer-Infrastruktur. Ermittler markierten dies als Risikosignal. Die Januar-2026 Tornado Cash Einzahlungen markieren die erste große Aktivität im Zusammenhang mit dem Exploit in fast zwei Jahren.
Coinbase-Hack 2025
Der Fall fügt sich in eine Reihe von Sicherheitsvorfällen ein, die mit Coinbase verbunden sind. Im Mai 2025 gab Coinbase einen separaten Cyberangriff bekannt. Das Unternehmen sagte, der Vorfall könnte bis zu 400 Millionen Dollar kosten. In diesem Fall erlangten Angreifer durch die Bezahlung von Auftragnehmern und Mitarbeitern begrenzten Kundendaten. Die Daten wurden verwendet, um sich als Coinbase auszugeben und Nutzer zu täuschen.
Coinbase gab an, dass weniger als 1 Prozent der Kunden betroffen waren. Die Angreifer forderten 20 Millionen US-Dollar, Coinbase weigerte sich jedoch zu zahlen. Private Keys wurden nicht kompromittiert. Das Unternehmen erklärte jedoch, es werde die betroffenen Nutzer erstatten.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Ashish Kumar
Ashish Kumar ist ein Krypto- und Finanzjournalist mit acht Jahren Erfahrung in der Nachrichtenredaktion. Er berichtet über Entwicklungen in den Kryptomärkten, Regulierungen, DeFi und Ökosysteme von Börsen. Er arbeitete für Coingape, Todayq und Newsroompost. Ashish besitzt einen PGDP in englischer Journalistik vom IIMC. Zudem interviewte er Branchenexperten wie Arthur Hayes, Yat Siu, Austin Federa und weitere.
