Mercado-Bitcoin-Hack: Chainalysis und Tether frieren Millionen ein

Angreifer leeren Wallets auf 17 Blockchains

In den frühen Morgenstunden des 2. November begann der Angreifer laut Chainalysis, Bestände auf 17 Blockchains in mehreren Wellen abzuziehen. Die größten Beträge entfielen demnach auf Bitcoin und Ether, aber auch kleinere Netzwerke wie Base, Tron und Polygon seien betroffen gewesen.

Um 7:56 Uhr EST (13:56 Uhr MEZ) bestätigte Mercado Bitcoin auf X einen Sicherheitsvorfall in einem seiner Systeme und setzte Ein- und Auszahlungen vorsorglich aus. Den Kunden sei kein Schaden entstanden, Daten seien nicht abgeflossen. Später veröffentlichte die Börse die Zieladressen der abgezogenen Gelder, damit andere sie verfolgen können. Wie die Angreifer in die Systeme gelangten und wer hinter dem Angriff steckt, haben weder die Börse noch Chainalysis mitgeteilt.

Die ersten Stunden entscheiden

Um 2:30 Uhr EST (8:30 Uhr MEZ) rief ein Direktor von Mercado Bitcoin den Ansprechpartner von Chainalysis in Brasilien an und übermittelte eine Liste der unerlaubten Transaktionen, schildert Chainalysis in einem Blogbeitrag. Analysten auf drei Kontinenten hätten daraufhin die Geldflüsse nachgezeichnet. Binnen 30 Minuten habe das Unternehmen den Strafverfolgungsbehörden Adressen genannt, deren Guthaben sich einfrieren ließen, kurz darauf auch den Herausgebern von Stablecoins. Bis zum Morgen seien so gestohlene Stablecoins im Wert von 4 Millionen Dollar (rund 3,6 Millionen Euro) gesperrt gewesen.

Der Zeitdruck hat einen technischen Grund. Stablecoins wie USDT oder USDC kann ihr Herausgeber zentral sperren, Bitcoin und Ether dagegen nicht. Haben Angreifer die Beute erst in diese Kryptowährungen getauscht, ist sie deutlich schwerer aufzuhalten. Chainalysis stand deshalb nach eigenen Angaben in direktem Kontakt mit Paxos, der Kryptobank Anchorage Digital, Ripple, Circle und Tether.

Den größten Teil sperrte Tether. Die Analysten hätten gestohlene USDT bis zu Adressen verfolgt, an denen sie sich einfrieren ließen, worauf der Herausgeber mehr als 9 Millionen Dollar (rund 8 Millionen Euro) gesperrt habe. Tether-Chef Paolo Ardoino hatte um 10:06 Uhr EST (16:06 Uhr MEZ) zunächst mehr als 4,5 Millionen eingefrorene USDT gemeldet.

Mercado Bitcoin: Kunden sollen nichts verlieren

Am Abend legte Mercado Bitcoin eigene Zahlen vor. Kunden würden durch den Vorfall keine Vermögenswerte verlieren, versicherte die Börse in einem Update auf X um 18:17 Uhr EST (0:17 Uhr MEZ am 3. November). Betroffen seien Werte von rund 38 Millionen Dollar (rund 33,9 Millionen Euro), gesperrt bereits 11 Millionen Dollar (rund 9,8 Millionen Euro). Geholfen hätten dabei Tether, Circle, Paxos, Chainalysis und BRL1, ein an den brasilianischen Real gekoppelter Stablecoin, den ein Konsortium um Mercado Bitcoin, Bitso und Foxbit herausgibt.

Weitere sperrbare Beträge seien bereits identifiziert. Wann Ein- und Auszahlungen wieder möglich sind, ließ die Börse offen: Der Betrieb laufe erst wieder an, wenn die Sicherheit vollständig gewährleistet sei. Warum ihr Betrag unter dem von Chainalysis liegt, erklärte sie nicht.

Mit Tether ist Mercado Bitcoin auch geschäftlich verbunden. Im Juli beteiligte sich der Stablecoin-Herausgeber mit 20 Millionen Dollar (rund 17,9 Millionen Euro) an der Börse. Chainalysis will die übrigen Gelder weiter verfolgen und markiert die Adressen der Angreifer in seinen Produkten, damit andere Marktteilnehmer die Beute erkennen, sobald sie bewegt wird.

Ermittler in Deutschland und der Schweiz zielen auf Geldwäschedienste

Ist die Beute erst in Bitcoin oder Ether getauscht, rücken die Dienste in den Blick, über die Täter ihre Spuren verwischen. Hier sind Ermittler aus Deutschland bereits mehrfach vorgegangen. Am 30. April 2025 beschlagnahmten die Frankfurter Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) und das Bundeskriminalamt (BKA) die Server des Swap-Dienstes Exch und stellten Kryptowerte im Wert von rund 34 Millionen Euro sicher. Laut BKA warb der Dienst gezielt damit, keine Maßnahmen gegen Geldwäsche umzusetzen. Über ihn soll auch ein Teil der 1,5 Milliarden Dollar (rund 1,3 Milliarden Euro) getauscht worden sein, die Angreifer im Februar 2025 bei der Börse Bybit erbeutet hatten. Ob die Beute aus Brasilien ähnliche Wege nimmt, ist offen.

Im November 2025 schaltete die ZIT gemeinsam mit der Staatsanwaltschaft des Kantons Zürich auch den Bitcoin-Mixer Cryptomixer ab. Die zugehörigen Server standen in der Schweiz, sichergestellt wurden Kryptowerte im Wert von rund 25 Millionen Euro, wie das BKA mitteilte.

Auch die Branche selbst organisiert sich in der Schweiz. Am 28. Oktober stellte Tether die Stiftung Fase gegen Betrug mit Kryptowerten vor. Zu ihren Gründungsmitgliedern gehören neben Tether auch Chainalysis und Anchorage Digital, also drei der Firmen, die im Fall Mercado Bitcoin zusammenarbeiteten.