Upbits Hot-Wallet-Hack von 2019 kostete 48,5 Mio. USD in ETH – die Börse trug den gesamten Verlust

Am 27. November 2019 wurden 342.000 ETH – zum damaligen Preis etwa 48,5 Millionen USD – in einer Reihe ungewöhnlicher Transaktionen von Upbits Ethereum-Hot-Wallet an eine unbekannte Adresse verschoben. Südkoreas größte Börse setzte noch am selben Nachmittag alle Ein- und Auszahlungen aus und verschob alles, was im Hot Storage verblieb, auf Offline-Hardware-Wallets.

Dunamu, die Muttergesellschaft von Upbit, verpflichtete sich öffentlich, die gestohlenen Gelder vollständig aus eigenen Vermögenswerten von Upbit zu decken. Das Versprechen hielt: Die Kunden verloren nichts außer einer etwa zweiwöchigen Sperre, und die zwei Jahre alte Börse absorbierte einen der damals größten Börsen-Hacks im Krypto-Bereich.

Der Diebstahl blieb fünf Jahre lang ungelöst. Im November 2024 kam die südkoreanische Nationale Polizeibehörde zu dem Schluss, dass die Einheiten Lazarus und Andariel aus Nordkorea den Angriff ausgeführt hatten – der erste offiziell bestätigte nordkoreanische Hack einer inländischen Krypto-Börse –, und verfolgte mehr als die Hälfte der Beute, die auf drei Börsen in Bitcoin getauscht und über 51 Handelsplätze in 13 Ländern verteilt worden war.

48,5 Mio. USD in ETH gestohlen – damals 58 Milliarden ₩, bis 2024 etwa 1,47 Billionen ₩; zwei Wochen eingefrorene Ein- und Auszahlungen; nur 4,8 BTC jemals wiedererlangt

Kundeneinzahlungen lagen in einer internetverbundenen Hot Wallet – nur einen kompromittierten Schlüssel vom Verlust entfernt, unabhängig davon, über welche Zertifizierungen die Plattform verfügt.

Der Nutzerschutz war hier eine Entscheidung über die Kapitalstruktur: Dunamu konnte aus Unternehmensmitteln zahlen, eine Wahl, die Börsen mit dünner Eigenkapitaldecke nicht haben.

Die zweiwöchige Sperre war der Preis dafür, Kundengelder mit dem operativen Umlaufvermögen zu vermischen, statt sie in getrennter Cold Storage zu halten.

Gestohlene Krypto ist nach der Geldwäsche praktisch nicht wiederherstellbar – fünf Jahre Polizeiarbeit brachten 4,8 BTC von 342.000 ETH zurück.

Eine starke Bilanz ist die einzige echte Versicherung einer Börse. Upbit konnte seine Nutzer entschädigen, weil die Muttergesellschaft finanzstark war; Börsen mit dünner Kapitaldecke, die ebenso getroffen werden, müssen Auszahlungen einfrieren oder scheitern.

Die Auszahlungen wurden nach etwa zwei Wochen wieder aufgenommen, wobei das verbleibende Hot-Wallet-Umlaufvermögen in Offline-Speicher verlagert wurde. Im September 2021 akzeptierte die südkoreanische Financial Intelligence Unit Upbit als erstes neu lizenziertes virtuelles Vermögensunternehmen des Landes nach dem überarbeiteten Gesetz über die Finanzberichterstattung, dessen neue Regeln eine verpflichtende ISMS-Sicherheitszertifizierung umfassten. Die Polizei schloss den Fall im November 2024 ab und machte Lazarus und Andariel verantwortlich: Mehr als die Hälfte der Beute wurde über 51 Handelsplätze in 13 Ländern gewaschen, und nur 4,8 BTC (etwa 600 Millionen ₩) wurden von einer Schweizer Börse wiedererlangt und zurückgegeben.