SlowMist-Analysten schlagen Alarm über Sicherheitslücken in einer Börse mit täglichem Handelsvolumen von 3,7 Mrd. US-Dollar

Die Blockchain-Sicherheitsfirma SlowMist hat zwei Kryptowährungsbörsen benannt, bei denen sie schwerwiegende Sicherheitslücken identifiziert hat, die die Sicherheit der Gelder auf ihren jeweiligen Plattformen beeinträchtigen. 

SlowMist-Gründer, der den Pseudonym Evilcos verwendet, äußerte Frustration über den Mangel an Reaktion. 

„Unbekannte Börsen sind wirklich unzuverlässig“, schrieb er auf X. „Unser Sicherheitsteam hat schwerwiegende Sicherheitslücken in zwei Börsen entdeckt (die direkt die Geldsicherheit beeinträchtigen), aber wir konnten niemanden erreichen, und sogar öffentliche Erwähnungen blieben ohne Reaktion.“

Die betreffenden Börsen verzeichnen erhebliche tägliche Handelsvolumina, wobei eine ein 24-Stunden-Handelsvolumen von 3,7 Milliarden US-Dollar hat, während die andere rund 240 Millionen US-Dollar verwaltet, so Evilcos.

Offenlegungsversuche abgewiesen

SlowMist gab Sicherheitsmitteilungen an die auf den Seychellen registrierte Azbit und die türkische Börse ICRYPEX Global am 16. und 17. Dezember heraus. Das Unternehmen behauptete auch, versucht zu haben, beide Plattformen über Direktnachrichten und öffentliche Beiträge zu kontaktieren, was der üblichen Praxis der verantwortungsvollen Offenlegung entspricht, erhielt jedoch keine Bestätigung.

ICRYPEX, das 2018 gegründet wurde und Lizenz als Virtual-Asset-Service-Provider in zwei EU-Ländern hält, berichtet, Millionen von Nutzern in mehr als 30 Ländern zu bedienen.

Azbit wurde Ende 2019 gestartet und ist auf den Seychellen tätig; jedoch erklärte der Aufseher auf den Seychellen dieses Jahr, dass „das Unternehmen weder die Genehmigung hat noch jemals eine Genehmigung hatte, gemäß dem Virtual Asset Service Providers Act von 2024 zu operieren, und einfach eine internationale Gesellschaft („IBC“) ist, die gemäß dem IBC Act gegründet wurde.“

Das Versagen, Kontakt aufzunehmen, veranlasste SlowMist zu dem ungewöhnlichen Schritt, die Entdeckung der Sicherheitslücken öffentlich zu machen, bevor sie gelöst wurden, was etwas besorgniserregend ist, obwohl man annehmen könnte, dass die jeweiligen Börsen bereits daran arbeiten. 

Eine öffentliche Adresse oder eine Bestätigung der Erkenntnisse von SlowMist würde jedoch dazu beitragen, ihre Kunden zu beruhigen.

Branchenweite Sicherheitsbedenken

Der Vorfall ereignet sich vor dem Hintergrund anhaltender Sicherheitsherausforderungen in der Kryptowährungsbranche. SlowMists jährlicher Sicherheitsbericht 2024 dokumentierte 410 Sicherheitsvorfälle, die zu Verlusten von über 2,013 Milliarden US-Dollar führten.

Cybersicherheitsfirma CertiK teilte mit, dass Kryptowährungsbörsen im November 2025 über 29 Millionen US-Dollar verloren haben, was den zweiten Platz in der Liste der Verluste nach Art der Verluste nach dezentralisierten Finanzen (DeFi).

Beste Praktiken empfehlen, dass Kryptowährungs-Entwickler Kontaktstellen für die Meldung von Sicherheitsproblemen einrichten, einschließlich langfristiger öffentlicher Schlüssel für sichere Kommunikation.

Werden die Börsen Kontakt aufnehmen?

SlowMists Erfahrung, Kontakt aufzunehmen und keine Antwort zu erhalten, ist zwar nicht einzigartig, zeigt aber, dass sogar etablierte Börsen mit beträchtlichen Nutzerbasen möglicherweise nicht über ausreichende Kanäle zur Entgegennahme kritischer Sicherheitsinformationen verfügen.

Dies wirft auch Fragen zur Bereitschaft von Krypto-Börsen auf, Offenlegungen von Sicherheitslücken schnell zu adressieren.

SlowMist hat mit großen Börsen zusammengearbeitet, darunter Binance, OKX, HTX und Crypto.com, was der Glaubwürdigkeit seiner Sicherheitsbewertungen und dem Schließen der von ihm gefundenen Lücken zugutekommt.

Letzten Monat berichtete Cryptopolitan berichtete dass die Firma SlowMist eine Untersuchung anführte, die Sicherheitslücken in NOFX AI aufdeckte, ein Open-Source-Kryptowährungs-Futures-Handelssystem, das auf der Large-Language-Model-Architektur von DeepSeek und Qwen aufgebaut ist, und auch Empfehlungen dazu teilte, wie das Problem gelöst werden könnte. 

Branchenrichtlinien für verantwortungsvolle Offenlegung empfehlen normalerweise, dass die betroffenen Parteien innerhalb von zwei Werktagen nach dem ersten Kontakt antworten. Wenn nach mehreren Versuchen keine Antwort eingeht, setzen Sicherheitsforscher oft eine öffentliche Offenlegung der Angelegenheit fest, um Transparenz zu gewährleisten, insbesondere wenn Gelder beteiligt sind.

Weder ICRYPEX noch Azbit hatten bis zu dieser Veröffentlichung auf die Sicherheitsmitteilungen reagiert oder öffentliche Erklärungen zu den Sicherheitslücken abgegeben.