Ein in Singapur ansässiges Krypto-Zahlungsunternehmen musste zusehen, wie 11,8 Millionen US-Dollar an unternehmenseigenen digitalen Vermögenswerten aus seinen Treasury-Wallets verschwanden – und was es noch schlimmer macht: Das Abfließen der Gelder hörte nicht auf, nachdem der Vorfall entdeckt worden war. Der Triple-A-Treasury-Hack, der am Montag vom Unternehmen bestätigt wurde, gehört zu den beunruhigendsten Sicherheitsverletzungen der jüngeren Vergangenheit: nicht nur wegen seines Umfangs, sondern weil die Angreifer mehr als einen Tag lang weiter Gelder abzogen, nachdem die ersten Alarme ausgelöst worden waren.
Summary
Wichtigste Erkenntnisse
- Triple-A bestätigte einen unbefugten Zugriff auf seine Treasury-Wallets, wobei sich die Verluste auf 11,8 Millionen US-Dollar beliefen, nach oben korrigiert von einer ersten Schätzung von 9,3 Millionen US-Dollar.
- Laut dem Onchain-Ermittler Specter wurden 31 Stunden nach Entdeckung der ersten Abflüsse weiterhin aktiv Gelder abgezogen.
- Kundengelder waren nicht betroffen – sie werden in separaten Treuhandkonten gemäß den Payment Services Regulations Singapurs gehalten.
- Gestohlene Vermögenswerte wurden über sieben Blockchain-Netzwerke bewegt und auf einer einzigen Ethereum-Adresse konsolidiert, die laut PeckShield über 5.226 ETH (etwa 9,73 Millionen US-Dollar) hält.
- Triple-A arbeitet mit Cybersicherheitsfirmen, Blockchain-Forensik-Teams und der Polizei von Singapur zusammen, um die gestohlenen Vermögenswerte nachzuverfolgen und zurückzuerlangen.
Triple-A-Treasury-Hack mit steigenden Verlusten bestätigt
Die Sicherheitsverletzung wurde erstmals am Freitag vom Onchain-Ermittler Specter gemeldet, der ungewöhnliche Abflüsse aus Wallets identifizierte, die mit Triple-A in Verbindung stehen, und den anfänglichen Schaden auf 9,3 Millionen US-Dollar bezifferte. Bis Sonntag war dieser Betrag auf 11,8 Millionen US-Dollar angestiegen, da die Transfers weiterliefen. Triple-A bestätigte den Vorfall am Montag offiziell und erklärte, dass Angreifer am 25. Juli unbefugten Zugriff auf Wallets erlangten, in denen die eigenen digitalen Vermögenswerte des Unternehmens gehalten wurden.
Fortgesetztes Leeren der Wallets nach Entdeckung
Das auffälligste Detail in Specters Analyse ist zugleich das beunruhigendste. Neue Einzahlungen gingen weiterhin in den kompromittierten Wallets ein und wurden sofort abgezogen – 31 Stunden nach Entdeckung der ersten großen Abflüsse. Specter merkte damals an, dass das Team offenbar nicht informiert war, da Einzahlungen nicht deaktiviert worden waren.
Triple-A erklärte, man habe den Vorfall am Samstag entdeckt und bestimmte Dienste vorübergehend für etwa drei Stunden in den Wartungsmodus versetzt, um die betroffene Infrastruktur zu sichern und Sicherheitsprüfungen abzuschließen. Laut der Erklärung des Unternehmens wurden inzwischen alle Dienste wiederhergestellt, und Transaktionen sowie Abwicklungen werden in allen Märkten normal verarbeitet.
Dieser Zeitablauf zeigt eine Lücke zwischen der frühen externen Entdeckung durch Onchain-Forscher und dem internen Reaktionsfenster des Unternehmens – eine Dynamik, die zunehmend bestimmt, wie sich Krypto-Vorfälle öffentlich entfalten, bevor Unternehmen sie eindämmen können.
Kundengelder durch Vorschriften in Singapur geschützt
Trotz der Schwere der Sicherheitsverletzung waren Kundengelder nie gefährdet. Triple-A bietet keine Verwahrdienstleistungen für digitale Vermögenswerte im Namen seiner Kunden an. Stattdessen werden Kundenvermögen getrennt in Treuhandkonten gehalten, die bei unabhängigen Verwahrstellen geführt werden und von dem Vorfall nicht betroffen waren.
Regulatorische Compliance und Lizenzierung
Diese Trennung ist nicht nur interne Unternehmenspolitik – sie spiegelt eine regulatorische Anforderung wider. Die im Oktober 2024 aktualisierten Payment Services Regulations Singapurs schreiben vor, dass lizenzierte Krypto-Zahlungsunternehmen Kundenvermögen in separaten Blockchain-Adressen halten müssen. Triple-A ist von der Monetary Authority of Singapore lizenziert und verfügt zudem über Zahlungslizenzen in Frankreich über seine europäische Tochtergesellschaft Paytop SAS. Das Unternehmen ist sowohl in den USA als auch in Kanada als Geldtransferdienst registriert.
Das Unternehmen bestätigte außerdem, dass es weiterhin gut kapitalisiert ist und all seinen Verpflichtungen nachkommen kann. Die finanziellen Auswirkungen würden, so hieß es, durch die Treasury-Reserven aufgefangen.
Diese Unterscheidung ist nicht nur für die Beruhigung der Kunden wichtig. Sie beeinflusst auch, wie Aufsichtsbehörden und Marktbeobachter die Sicherheitsverletzung bewerten. Wenn ein lizenziertes, regelkonformes Unternehmen sein eigenes Betriebskapital verliert, ist das ein grundsätzlich anderer Vorfall, als wenn Kundeneinlagen verloren gehen – auch wenn das Reputationsrisiko eines lang anhaltenden, über mehrere Chains laufenden Treasury-Abflusses in jedem Fall erheblich ist.
Komplexe Bewegung der gestohlenen Gelder über mehrere Blockchains
Die Nachverfolgung der gestohlenen Vermögenswerte ist die eigentliche Herausforderung. Die Angreifer bewegten Gelder über sieben verschiedene Blockchain-Netzwerke: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network und Bitcoin – ein bewusst gewählter Multi-Chain-Ansatz, der die forensische Nachverfolgung und jede Wiedererlangung der Gelder erheblich erschwert.
Konsolidierung auf einer einzigen Ethereum-Adresse
Trotz der Vielzahl der beteiligten Netzwerke wurden die Erlöse auf ein einziges Ziel gelenkt. Die Blockchain-Sicherheitsfirma PeckShield identifizierte eine einzige Ethereum-Adresse, die über 5.226 ETH ansammelte, im Wert von etwa 9,73 Millionen US-Dollar, die in acht Transaktionen zwischen Freitagabend und Samstagfrüh (UTC) übertragen wurden.
Weder Triple-A noch die Ermittler haben öffentlich einen mutmaßlichen Angreifer identifiziert, und es gibt keine Bestätigung, dass die Vermögenswerte nach Erreichen dieser Ethereum-Adresse an eine Börse, einen Mixer oder einen anderen Dienst weitergeleitet wurden. Die Ursache der Sicherheitsverletzung – ob kompromittierte Zugangsdaten, eine Schwachstelle in der Infrastruktur oder ein anderer Angriffsvektor – wurde ebenfalls nicht offengelegt. Dieses Schweigen ist bemerkenswert, und die Ermittlungen laufen noch.
Reaktion und Wiederherstellungsmaßnahmen
Triple-A erklärte, man arbeite mit Cybersicherheitsspezialisten, Blockchain-Forensikfirmen und der Polizei von Singapur zusammen, um die gestohlenen Gelder nachzuverfolgen und die Wiedererlangung zu unterstützen. Die Kombination aus Strafverfolgungsbehörden und Onchain-Forensik ist inzwischen Standardvorgehen bei größeren Krypto-Vorfällen, auch wenn die kettenübergreifende Bewegung der Gelder einer schnellen Lösung im Weg steht.
Aktueller Stand
Das Unternehmen hatte ein formelles Update für Samstag angekündigt. Zum Zeitpunkt der Berichterstattung zeigte die Newsroom-Seite jedoch weiterhin einen Beitrag vom 15. Juli über den Erhalt einer grundsätzlichen Genehmigung von Dubais Virtual Assets Regulatory Authority – ein Hinweis darauf, wie schnell operative Krisen die öffentliche Kommunikation überholen können.
Die Sicherheitsverletzung steht zudem nicht für sich allein. Sie fällt in dieselbe Woche, in der AFX Trade etwa 24,15 Millionen US-Dollar über seine Arbitrum-Custody-Bridge verlor und die Verus-Ethereum-Bridge rund 7,54 Millionen US-Dollar einbüßte – der zweite Exploit dieser Bridge seit Mai. Das Muster deutet darauf hin, dass der Druck auf die Sicherheit der Krypto-Infrastruktur nicht nachlässt.
Für Triple-A mag die unmittelbare operative Geschichte eingedämmt sein. Doch die schwierigere Frage – wie Angreifer die Wallets eines lizenzierten, regulierten Zahlungsunternehmens über sieben Chains hinweg mehr als 31 Stunden lang leeren konnten – müssen die Ermittler des Unternehmens noch öffentlich beantworten.
FAQ
Hat Triple-A den Hack der Treasury-Wallets bestätigt?
Ja. Triple-A bestätigte am Montag, dass unbefugter Zugriff auf seine Treasury-Wallets zum Verlust von unternehmenseigenen Krypto-Vermögenswerten führte, der erstmals am 25. Juli entdeckt wurde.
Waren Kundengelder von dem Hack betroffen?
Nein. Kundengelder waren nicht betroffen. Triple-A verwahrt keine digitalen Vermögenswerte im Namen von Kunden – Kundengelder werden getrennt in Treuhandkonten bei unabhängigen Verwahrstellen gehalten, in Übereinstimmung mit den Payment Services Regulations Singapurs.
Wie hoch war der Verlust beim Triple-A-Treasury-Hack?
Der Onchain-Ermittler Specter schätzte die Verluste zunächst auf 9,3 Millionen US-Dollar und korrigierte die Zahl später nach oben. Bis Sonntag war die geschätzte Gesamtsumme auf 11,8 Millionen US-Dollar angestiegen. Triple-A hat die exakt verlorene Gesamtsumme nicht unabhängig offengelegt.
Welche Schritte unternimmt Triple-A, um die gestohlenen Vermögenswerte zurückzuerlangen?
Triple-A arbeitet mit Cybersicherheitsspezialisten, Blockchain-Forensikfirmen und der Polizei von Singapur zusammen, um die gestohlenen Gelder nachzuverfolgen und die Wiedererlangung zu unterstützen. Das Unternehmen erklärte außerdem, dass es weiterhin gut kapitalisiert ist und all seinen Verpflichtungen nachkommen kann.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Hat Triple-A den Hack der Treasury-Wallets bestätigt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Ja. Triple-A bestätigte am Montag, dass unbefugter Zugriff auf seine Treasury-Wallets zum Verlust von unternehmenseigenen Krypto-Vermögenswerten führte, der erstmals am 25. Juli entdeckt wurde.“}},{„@type“:“Question“,“name“:“Waren Kundengelder von dem Hack betroffen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein. Kundengelder waren nicht betroffen. Triple-A verwahrt keine digitalen Vermögenswerte im Namen von Kunden — Kundengelder werden getrennt in Treuhandkonten bei unabhängigen Verwahrstellen gehalten, in Übereinstimmung mit den Payment Services Regulations Singapurs.“}},{„@type“:“Question“,“name“:“Wie hoch war der Verlust beim Triple-A-Treasury-Hack?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Der Onchain-Ermittler Specter schätzte die Verluste zunächst auf 9,3 Millionen US-Dollar und korrigierte die Zahl später nach oben. Bis Sonntag war die geschätzte Gesamtsumme auf 11,8 Millionen US-Dollar angestiegen. Triple-A hat die exakt verlorene Gesamtsumme nicht unabhängig offengelegt.“}},{„@type“:“Question“,“name“:“Welche Schritte unternimmt Triple-A, um die gestohlenen Vermögenswerte zurückzuerlangen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Triple-A arbeitet mit Cybersicherheitsspezialisten , Blockchain-Forensikfirmen und der Polizei von Singapur zusammen, um die gestohlenen Gelder nachzuverfolgen und die Wiedererlangung zu unterstützen. Das Unternehmen erklärte außerdem, dass es weiterhin gut kapitalisiert ist und all seinen Verpflichtungen nachkommen kann.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
