MobiKwiks App-Update ließ UPI-Zahlungen mit falscher PIN durchgehen – 40 Crore Rupien in 48 Stunden weg

Am 11. und 12. September 2025 zahlte MobiKwiks UPI-Schiene zu Bedingungen aus, die das Bankensystem nie zugelassen hätte. Ein Anfang des Monats ausgerolltes Software-Update hatte stillschweigend zwei grundlegende Prüfungen in den wallet-gebundenen Zahlungen ausgehebelt: Nutzer konnten Beträge weit über ihrem Wallet-Guthaben senden, und Transaktionen wurden selbst dann freigegeben, wenn die eingegebene PIN falsch war. In begrenzten Gebieten Haryanas kollaborierten registrierte Händler und Nutzer, um unautorisierte Abrechnungen in großem Umfang geltend zu machen – die FIR, die MobiKwik später erstattete, bezifferte den Betrag auf 40 Crore Rupien.

Das Unternehmen erfuhr es zwei Tage zu spät. Eine interne Prüfung markierte verdächtige Transaktionen vom 11.–12. September, und ein Mitarbeiter meldete die Sicherheitsverletzung am 13. September. MobiKwik erstattete in Gurugram eine FIR nach den Betrugs- und Veruntreuungstatbeständen des Bharatiya Nyaya Sanhita; die Polizei nahm sechs Männer fest – fünf aus Nuh, einer aus Palwal –, identifizierte rund 2.500 Begünstigte und fror 8 Crore Rupien auf Bankkonten ein. MobiKwik erlangte etwa 14 Crore Rupien zurück, sodass laut seiner Börsenmitteilung eine geschätzte Nettoauswirkung von 26 Crore Rupien verblieb.

Der Fehler traf den Wachstumsmotor des Unternehmens. MobiKwik hatte Anlegern Pocket UPI verkauft – UPI-Zahlungen, die über das MobiKwik-Wallet statt über ein Bankkonto laufen –, mit einem Bruttowarenwert, der im Q1 FY26 gegenüber dem Vorjahr um 53 % stieg, getrieben durch steigendes UPI-Volumen. Volumen ist die Kennzahl; Limits sind ihre Gegenkennzahl. Der Betrug schlug sich in den Büchern des Septemberquartals als Nettoverlust von 28,6 Crore Rupien nieder, rund achtmal so hoch wie der Verlust von 3,6 Crore Rupien ein Jahr zuvor, und die Aktie gab nach der Offenlegung nach.

40 Crore Rupien in 48 Stunden abgezweigt; 14 Crore Rupien zurückgewonnen, Nettoauswirkung 26 Crore Rupien; sechs festgenommen, 8 Crore Rupien eingefroren, 2.500 Begünstigte ermittelt

Das Release ging ohne die beiden im Zahlungsverkehr wichtigsten Tests live: ein Versuch mit falscher PIN und eine Sendung über dem Guthaben. Beide liefen auf den Produktionssystemen durch.

Die Erkennung erfolgte nachträglich. Zwei Tage anomalen Abrechnungsverkehrs aus einigen Distrikten blieben in Echtzeit unmarkiert; eine interne Prüfung, nicht ein Alarm, beendete ihn.

Die Wachstumsgeschichte erhöhte den Einsatz: Der Volumendruck von Pocket UPI ließ Limits wie Reibung erscheinen, und genau die Limits versagten.

Die Polizei vermutete Insiderhilfe bei der Offenlegung des Fehlers – privilegiertes Wissen über das Update wurde nie abgeschottet oder überwacht.

Im Zahlungsverkehr sind die negativen Pfade das Produkt: Ein Release, das niemals falsche PINs und Sendungen über dem Guthaben testet, verwandelt den Wachstumsmotor in einen Abfluss. Rollback ist eine Kontrolle, keine Notfallmaßnahme.

MobiKwik meldete 40 Crore Rupien, erlangte 14 Crore Rupien zurück und teilte den Börsen mit, die geschätzte Nettoauswirkung betrage 26 Crore Rupien, während Beitreibung und rechtliche Bemühungen andauern. Sechs Beschuldigte kamen in Untersuchungshaft; die Polizei von Nuh forderte die Bevölkerung öffentlich auf, sich zu melden und unerklärte Überweisungen vom 11.–12. September zurückzugeben. Der Verlust trug dazu bei, dass das Q2 FY26 zu einem Nettoverlust von 28,6 Crore Rupien wurde. Es war zudem die dritte Betrugsoffenlegung in der jüngeren Geschichte von MobiKwik – nach einem Betrug von 19 Crore Rupien im Jahr 2017 und einem Betrug eines ehemaligen Mitarbeiters von 1,26 Crore Rupien zwischen August 2023 und September 2024 –, ein Muster, das Anleger nun zusammen lesen.