Der Hot-Wallet-Hack von Zaif über 6,7 Mrd. ¥: Management tritt zurück, Börse an FISCO verkauft

Zaif, eine von Tech Bureau betriebene Börse in Osaka, wurde am 14. September 2018 gehackt: Unbefugter Zugriff traf den Server, der die Hot Wallet für Kundeneinzahlungen und -auszahlungen verwaltete, und entzog Bitcoin, Monacoin und Bitcoin Cash im Wert von etwa 6,7 Mrd. ¥ — rund 60 Mio. US-Dollar —, wovon 4,5 Mrd. ¥ Kunden gehörten. Die Anomalie wurde am 17. September entdeckt und am 20. September offengelegt; die Schätzung wurde später auf etwa 7 Mrd. ¥ nach oben korrigiert.

Das Unternehmen hatte 2018 auf der Beobachtungsliste der Aufsichtsbehörde gestanden — die Financial Services Agency erließ im März und erneut im Juni Anordnungen zur Geschäftsbesserung —, doch die Hot-Wallet-Architektur blieb bestehen. Nach dem Hack erließ die FSA eine Anordnung zur Berichtsvorlage und leitete eine Vor-Ort-Prüfung ein, und Präsident Takao Asayama sowie das amtierende Management traten zurück.

Am 10. Oktober unterzeichnete Tech Bureau eine förmliche Vereinbarung zur Übertragung des Zaif-Geschäfts auf FISCO Crypto Exchange und legte die Entschädigung fest: BTC und BCH wurden in gleicher Höhe in Naturalien zurückgegeben, während MONA-Halter 60 % in MONA und die restlichen 40 % in Yen zu 144,548 ¥ pro Coin erhielten — über Zaifs eigenem Marktpreis, weil gestohlene MONA zu illiquide waren, um sie zurückzukaufen. Alles, was in tiefen Märkten gehandelt wurde, kam vollständig zurück; der eine dünne Markt musste einen Abschlag von 40 % hinnehmen.

Die Dienste wurden unter FISCO schrittweise wieder aufgenommen — der MONA-Spot-Handel wurde im April 2019 wiedereröffnet — und die beiden von FISCO betriebenen Börsen sollten ihre Systeme innerhalb von 2019 zusammenführen.

6,7 Mrd. ¥ (~60 Mio. $) gestohlen, davon 4,5 Mrd. ¥ Kunden-Krypto; MONA-Halter trugen 40 % ihres Verlusts in Yen

Kundenvermögen lag in einer Hot Wallet, die auf einem einzigen Server verwaltet wurde; eine einzige Intrusion innerhalb eines Zeitfensters von zwei Stunden reichte aus, um sie zu leeren.

Die Aufsichtsbehörden hatten das Unternehmen innerhalb von sechs Monaten zweimal beanstandet, doch die Besserungsanordnungen änderten den Papierkram, nicht die Architektur, die versagte.

Der dünne Markt von MONA bedeutete, dass der gestohlene Betrag nicht zurückgekauft werden konnte, ohne den Preis zu bewegen, sodass ein Teil des Verlusts in Yen abgerechnet wurde — Illiquidität verwandelte sich direkt in Kundenverluste.

Eine Hot Wallet online ist ein dauerhaftes Angebot an Angreifer. Regulatorische Warnungen ändern nichts, wenn die Architektur bestehen bleibt — und gestohlene Coins, die zu illiquide sind, um sie zurückzukaufen, bedeuten, dass die Nutzer die Lücke tragen.

Unter FISCO nahm die Börse ihre Dienste im Laufe des Jahres 2019 schrittweise wieder auf, wobei der MONA-Handel im April 2019 neu gestartet und die Börsensysteme bald darauf integriert wurden. Tech Bureaus eigene Vermögenswerte in Höhe von 2,2 Mrd. ¥ gingen mit der Hot Wallet unter, und sein Management verließ das Unternehmen. Auch der Retter blieb nicht: Im Mai 2026 entfernte FISCO, die börsennotierte Muttergesellschaft, Krypto und Blockchain aus ihren Geschäftssegmenten und zog sich aus dem Sektor zurück.