Crypto․com hat den Hack von 2023 nicht vertuscht, CEO widerlegt ZachXBT-Vorwürfe

Ein Teenager und seine Komplizen übernahmen 2023 die Kontrolle über das Mitarbeiterkonto der Kryptobörse Crypto․com, was der Blockchain-Ermittler ZachXBT der Firma vorwirft, vertuscht zu haben. 

In Antwort auf den Beitrag der Börse am Samstag schrieb ZachXBT dass einige ihrer Operateure einen in den USA ansässigen Bürger finden, der bereit ist, als Gesicht des potenziellen Kandidaten aufzutreten. Der Operateur installiert dann Malware auf dem Gerät dieser Person, wodurch ihm ein ständiger Zugriff auf eine US-IP-Adresse und den Rest des Internets gewährt wird. In diesem Fall nimmt der Operateur an Vorstellungsgesprächen teil und arbeitet im Erfolgsfall von zu Hause aus. die Plattform sei mehrmals kompromittiert worden, habe aber angeblich „einen Sicherheitsvorfall vertuscht, der die persönlichen Daten der Nutzer beeinträchtigte.“

Crypto.com-CEO: Wir haben keinen öffentlichen Sicherheitsvorfall vertuscht

Geschäftsführer Kris Marszalek reagierte am Montag auf ZachXBTs Vorwürfe und nannte sie „völlig unbegründet“. In einem Beitrag auf X schrieb er, das Unternehmen habe einen Sicherheitsvorfall nicht verschwiegen und bei den Aufsichtsbehörden einen „Hinweis auf einen Datensicherheitsvorfall“ eingereicht.

Ich möchte einige Falschinformationen, die von uninformierten Quellen verbreitet werden, direkt und klar ansprechen…
Jeder Vorwurf, wir hätten einen Sicherheitsvorfall nicht gemeldet oder offengelegt, ist völlig unbegründet – wie wir in einer NMLS-Meldung über einen Datensicherheitsvorfall und in weiteren…

— Kris (@kris) September 22, 2025

Laut Marszalek handelte es sich bei dem Vorfall von 2023 um eine Phishing-Kampagne, die einen Mitarbeiter zielte, aber innerhalb von Stunden eingedämmt wurde. 

„Keine Kundengelder wurden zugänglich gemacht oder waren jemals gefährdet, und es waren nur extrem wenige unserer Nutzer teilweise von ihren PII-Daten betroffen. Unsere Systeme sind bewährt und werden kontinuierlich verbessert – wir sind stolz auf unsere sicherheitsorientierte Kultur und die meisten Sicherheitszertifizierungen jedes Unternehmens in unserer Branche“, betonte Marszalek.

Doch nach seiner Antwort bat ZachXBT den CEO, eine URL bereitzustellen, unter der die Vorfälle öffentlich gemacht wurden, ähnlich wie es Coinbase und Gemini Anfang dieses Jahres für ihre Sicherheitslücken taten.

„Da mich der Crypto.com-CEO Kris blockiert hat, kann ich nicht auf seinen Beitrag antworten und antworte hier… Die Leckage von Benutzerkontoständen, Namen, E-Mails & Telefonnummern aus anderen Vorfällen ist etwas mehr als nur ‚teilweise PII‘“, antwortete der Ermittler. 

Im Juli beschuldigte ZachXBT das Unternehmen des Insiderhandels, da 2021 70 Milliarden CRO-Token vernichtet und 2023 durch eine Governance-Abstimmung, bei der mit der Börse verbundene Validatoren die Mehrheit stellten, dieselbe Menge erneut ausgegeben wurde.

„Denkt daran, sie haben auch einfach so mehr Token gedruckt. Alle möglichen roten Flaggen“, kommentierte ein Nutzer die Vorwürfe. Crypto․com hat auf diese Behauptungen nicht reagiert und baut weiterhin Partnerschaften auf, darunter eine Allianz mit Trump Media um ein digitales Vermögensverwaltungs-Portfolio für CRO zu schaffen.

Der jugendliche Hacker hinter dem Crypto.com-Sicherheitsvorfall

Laut den Ermittlungen von Bloomberg gehörten die Täter der Scattered-Spider-Gruppean, darunter ein 18-jähriger aus Florida namens Noah Urban. 

Urban gab zu, an einem der zerstörerischsten Cyberkriminalitätsnetzwerke der Welt teilgenommen zu haben, das 2023 einen Angriff auf MGM Resorts International organisierte, der Schäden in Höhe von 100 Millionen Dollar verursachte, sowie einen Angriff auf den britischen Einzelhändler Marks & Spencer für rund 400 Millionen Dollar.

Mit der Hilfe eines anderen Hackers, der nur als Jack bekannt ist, nutzte der Teenager angeblich Social-Engineering-Techniken, um sich als Mitarbeiter auszugeben und „redete sich“ Zugang zu einem Crypto.com-Mitgliederkonto sowie zu United Parcel Service-Systemen zu, um persönliche Daten zu sammeln. 

UPS bestätigte später, dass es die Sicherheitslücke geschlossen hatte, weigerte sich jedoch, Details zur Angelegenheit preiszugeben. Für Crypto․com sagte ein Unternehmenssprecher, der Vorfall habe nur „eine sehr kleine Anzahl von Personen“ betroffen und keine Kundengelder seien kompromittiert worden.

Noah Urban wurde zu einer Haftstrafe

Noah Urbans Weg in die Cyberkriminalität begann im Alter von 15 Jahren in Minecraft-Spielgemeinschaften, wo er SIM-Swapping-Techniken erlernte, die wenig technisches Fachwissen erforderten. 

Laut Bloomberg hatte Urban eine für sein Alter ungewöhnlich tiefe Stimme; er gab sich früher als Telekommunikationsmitarbeiter aus und trickste Mitarbeiter aus, um Telefonnummern zu erhalten.

„Hey, mein Name ist Kevin, und ich rufe vom internen Sicherheitsmanagement von T-Mobile an“, lautete einer der Skripte, die der damalige Teenager für seine Social-Engineering-Taktiken verwendete. 

Als gab das Team in dem investigativen Bericht, verdiente er $50 für jeden erfolgreichen Anruf und sammelte sogar bis zu $3.000 in einer einzigen Woche, während seine Gaming-Freunde seinem Discord-Kanal lauschten.