In Kirgisistan ansässige Krypto-Börse stellt Handel nach Cyberangriff mit $15 Mio. USDT und Wallet-Verletzung ein

Die in Kirgisistan ansässige Krypto-Börse Grinex hat alle Handelsaktivitäten eingestellt, nachdem Hacker mehr als 15 Millionen US-Dollar in USDT aus ihren Wallets gestohlen hatten. Die Börse veröffentlichte eine öffentliche Erklärung, die den Angriff bestätigte, während die britische Blockchain-Analysefirma Elliptic die gestohlenen Mittel verfolgte und feststellte, dass die Angreifer diese verschoben hatten, um Entdeckung zu vermeiden.

Der Vorfall ereignet sich im Kontext einer breiteren Welle von Angriffen auf Krypto-Börsen weltweit in den Jahren 2025 und 2026, bei denen Schwachstellen in Hot-Wallets sowie Kompromittierungen von Signierabläufen weiterhin die am häufigsten ausgenutzten Einstiegspunkte darstellen.

Hacker haben Geld gestohlen und den Handel auf Grinex eingestellt

Hackers äußerten Bedenken hinsichtlich der Sicherheit von Nutzerfonds auf Krypto-Börsen, nachdem sie in das Wallet-System von Grinex eingebrochen und mehr als 1 Milliarde Rubel (etwa 13–15 Millionen US-Dollar in USDT) gestohlen hatten. Die Fonds wurden umgehend über mehrere Blockchain-Adressen transferiert.

Während die Ermittlungen zum Sicherheitsvorfall bei der kirgisischen Börse noch laufen, verstärkt dieser Vorfall die wachsenden Bedenken hinsichtlich der Sicherheitslage kleinerer und mittelgroßer Krypto-Handelsplattformen, die in Rechtsräumen mit begrenzter regulatorischer Aufsicht tätig sind.

Um weitere Schäden zu verhindern, hat die Börse alle Plattformaktivitäten eingefroren, einschließlich Auszahlungen, wodurch viele Nutzer keinen Zugriff mehr auf ihre Mittel haben. Grinex bezeichnete den Angriff als hochgradig koordiniert und teilte mit, dass es sich bei den Hackern um erfahrene Personen handele, die fortschrittliche Tools und Ressourcen eingesetzt hätten, um das System zu kompromittieren. Das Unternehmen behauptete sogar, ausländische Geheimdienste könnten involviert sein, und das Ziel sei gewesen, Russlands Finanzsystem und seine Unabhängigkeit zu schädigen.

Die Quelle der Angriffe bleibt jedoch unbekannt, da es keine eindeutigen Beweise für eine Beteiligung ausländischer Akteure gibt. 

Gleichzeitig teilte Grinex mit, dass es in der Vergangenheit bereits ähnliche Probleme erlebt hat, darunter Sanktionsdruck, Transaktionsbeschränkungen und wiederholte kleinere Angriffe, die zu harten Gegenmaßnahmen zwangen.

Die Börse leitete rechtliche Schritte ein, um eine Strafanzeige zu erstatten, und übermittelte alle verfügbaren Informationen an Strafverfolgungsbehörden, um die Datenverfolgung zu erleichtern.

Der Vorfall verdeutlicht, wie stark mit sanktionierten Systemen verbundene Börsen höheren Risiken ausgesetzt sind, einschließlich Cyberangriffen, verstärkter regulatorischer Aufsicht und erhöhtem Druck durch externe Akteure.

Ähnlich wie dies zeigt der Vorfall auch Schwachstellen bei zentralisierten Börsen auf, die große Mengen an Kundengeldern an einem einzigen Ort halten, und unterstreicht die Notwendigkeit stärkerer Sicherheitsmaßnahmen, da Angreifer von Tag zu Tag immer ausgefeilter werden.

Angreifer transferieren gestohlene Mittel zur Verschleierung

Die Grinex-Hacker haben die gestohlenen USDT umgehend mit Blockchain-Tools transferiert, um die Verfolgung durch Strafverfolgungsbehörden zu erschweren.

Laut Berichten von Elliptic leiteten die Angreifer die gestohlenen USDT schnell über mehrere Wallets und Netzwerke weiter, darunter Tron und Ethereum, was die Nachverfolgung noch schwieriger macht. Anschließend konvertierten die Hacker das gestohlene USDT in andere Vermögenswerte wie TRX und ETH, da Tether die Kontrolle über USDT hat und verknüpfte Mittel bei Straftaten leicht einfrieren kann.

Schließlich erreichten die Hacker eine Konsolidierung, bei der sie die Gelder auf ein einzelnes Hauptwallet mit 45,9 Millionen TRX (ca. 15 Millionen US-Dollar) überführten, um zu entscheiden, ob sie diese halten, erneut verschieben oder in Bargeld umwandeln sollen.

Der gesamte Vorfall zeigt typisches Cyberkriminalitätsverhalten, das dezentrale Tools nutzt, da keine zentrale Autorität existiert, wodurch Kriminelle Gelder bewegen können, ohne aufgehalten zu werden. 

Experten haben solche Muster bereits in Risiken von Stablecoins, einschließlich Chain-Hopping (Verschieben von Geldern über verschiedene Blockchains zur Vermeidung von Entdeckung) und Layering (Nutzung mehrerer Wallets, um Gelder auf verschiedene Adressen zu verteilen).

Grinex gilt weithin als Nachfolger von Garantex, einer großen Krypto-Börse, die nach Sanktionen der Vereinigten Staaten, der Europäischen Union und des Vereinigten Königreichs aufgrund von Verdächtigungen wegen Geldwäsche geschlossen wurde.

Dennoch verlagerten sich nach der Schließung von Garantex im Jahr 2025 dessen Nutzer und Liquidität auf andere Plattformen, wobei Grinex eine der Hauptziele war. Diese Migration machte Grinex zu einem unverzichtbaren Handelsknotenpunkt für Nutzer, die mit Rubel und Kryptowährungen handeln.

Es entwickelte sich zudem zum Zentrum für Stablecoin-Aktivitäten, wie etwa dem rubelgestützten Stablecoin A7A5, was die Lage jedoch komplizierte, da der Token auch durch Einlagen institutioneller Akteure abgesichert ist, die Sanktionen unterliegen. 

A7A5 läuft zudem auf Blockchains wie Ethereum und Tron, was ihm ermöglicht, Grenzen leicht zu überschreiten und sehr große Transaktionen zu unterstützen. 

Interessanterweise kontrolliert nur eine kleine Anzahl von Wallets einen großen Anteil dieser Transaktionen, wodurch die Aktivitäten auf wenige Schlüsselspieler konzentriert bleiben und das Risiko der Umgehung von Sanktionen steigt.

Laut Elliptic nutzen diese sanktionierten Akteure Stablecoins, um finanzielle Beschränkungen zu umgehen; der Hack bei Grinex zeigt daher, wie Plattformen, die in bestimmten Regionen operieren, zu nützlichen Werkzeugen und wichtigen Zielen werden.

Die gesamte Situation übt weiteren Druck auf Börsen aus, ihre Sicherheitsmaßnahmen zu verbessern und ungewöhnliches Verhalten zu erkennen, bevor es zu erheblichen Verlusten führt. Gleichzeitig passen sich Angreifer weiter an, indem sie zwischen Assets wechseln und Tools einsetzen, die schwerer zu kontrollieren sind.