Krypto News: Chainstack-Datenleck legt Kundendaten offen, Node-Zugänge gelten als kompromittiert

Der Blockchain-Infrastrukturanbieter Chainstack hat einen Einbruch in seine Systeme bestätigt, bei dem ein Angreifer Kundendaten abrufen konnte. Betroffen sind laut dem Vorfallbericht von Chainstack Organisationsnamen, Namen von Kontoinhabern, E-Mail-Adressen und Passwort-Hashes. Zugangsdaten zu den Blockchain-Knoten der Kunden behandelt das Unternehmen vorsorglich als offengelegt und bittet alle Kunden, sie zu erneuern. Das Wichtigste für Privatanleger vorweg: Ein Node-Zugang ist kein privater Schlüssel, Coins in deiner Wallet sind durch diesen Vorfall nicht direkt erreichbar. Wer selbst ein Chainstack-Konto führt, etwa für einen Trading-Bot oder ein eigenes Wallet-Projekt, hat dagegen konkrete Arbeit vor sich. Weitere Meldungen des Tages findest du in unseren Krypto News.

Chainstack-Datenleck: Was der RPC-Anbieter offengelegt hat

Chainstack veröffentlichte den Bericht am 3. November 2026 und hat ihn seitdem zweimal ergänzt, zuletzt am 11. November. Am 10. November kamen technische Einzelheiten für Sicherheitsteams hinzu, darunter Merkmale, an denen andere Firmen denselben Angriff in ihren eigenen Netzen erkennen können. Das Fachportal The Block griff den Fall am 12. November erneut auf, nachdem das Unternehmen erklärt hatte, die Bedrohung sei eingedämmt.

Nach Darstellung von Chainstack verschaffte sich ein externer Angreifer über eine Komponente eines Drittanbieters Zugang zu Teilen der Infrastruktur. Die Firma habe den Einbruch erkannt, die Zugangswege gekappt und härte ihre Systeme. Die Dienste für Kunden liefen nach eigener Angabe die ganze Zeit normal weiter. Kundenknoten, die Verwaltungskonsole und die Programmierschnittstelle seien nicht verändert worden. Zahlungsdaten wie vollständige Kartennummern oder Prüfziffern speichert Chainstack nach eigener Aussage nicht, sie konnten also auch nicht abfließen.

Wie viele Kunden betroffen sind, nennt der Bericht nicht. Chainstack schreibt lediglich, alle Kunden würden per E-Mail benachrichtigt.

Was ist Chainstack? Der Node-Anbieter hinter Wallets, Bots und DeFi-Apps

Chainstack betreibt Blockchain-Knoten als Dienstleistung. Ein Knoten, englisch Node, ist ein Rechner, der eine vollständige Kopie einer Blockchain hält und Transaktionen ins Netz weiterreicht. Wer eine Wallet-App, eine DeFi-Anwendung oder einen Trading-Bot betreibt, braucht so einen Zugang, um Kontostände zu lesen und Transaktionen abzuschicken. Die Verbindung läuft über einen RPC-Endpunkt. RPC steht für Remote Procedure Call und bezeichnet die Adresse, über die eine Software einem fremden Knoten Befehle schickt.

Statt eigene Server aufzusetzen, mieten viele Entwickler diese Endpunkte bei Anbietern wie Chainstack. Das Unternehmen wirbt auf seiner Seite mit Zugang zu mehr als 70 Blockchains, darunter Ethereum, Solana, Arbitrum, Base, die BNB Smart Chain und Hyperliquid. Als Einsatzfelder nennt es ausdrücklich Trading und MEV, Wallet-Apps, DeFi und Stablecoins. Viele Endnutzer kommen mit Chainstack deshalb nie direkt in Berührung, sondern nur über die App, die im Hintergrund dessen Knoten anspricht.

Welche Kundendaten beim Chainstack-Einbruch abgeflossen sind

Der Angreifer griff auf eine Datenbank mit Kontoinformationen zu. Darin standen laut Chainstack die Namen der Kundenorganisationen, die Namen der Kontoinhaber, die E-Mail-Adressen aller Mitglieder einer Organisation auf der Plattform und die Passwort-Hashes.

Ein Passwort-Hash ist das Ergebnis einer Einwegrechnung, die aus einem Passwort eine feste Zeichenfolge macht. Der Dienst speichert nur diese Folge und vergleicht beim Anmelden die Hashes. Ein Hash ist kein Passwort im Klartext. Kurze oder häufig genutzte Passwörter lassen sich aber durch massenhaftes Durchprobieren zurückrechnen. Deshalb bittet Chainstack seine Kunden, das Passwort zu ändern, und zwar auch bei jedem anderen Dienst, bei dem dasselbe Passwort im Einsatz ist.

Genau dort liegt die größere Gefahr. Fachleute nennen sie Credential Stuffing: Angreifer probieren erbeutete Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei Börsen, E-Mail-Postfächern und Cloud-Diensten aus. Wer sein Chainstack-Passwort auch bei einer Kryptobörse nutzt, sollte dort zuerst handeln.

Node-Zugangsdaten und API-Schlüssel: Warum Chainstack sie als offengelegt behandelt

Der Angreifer hatte nach Angaben von Chainstack auch Zugriff auf Systeme, in denen die Node-Zugangsdaten der Kunden liegen. Belege dafür, dass er sie ausgelesen hat, fand das Unternehmen nicht. Es behandelt sie trotzdem als offengelegt. Das ist die übliche Vorsicht nach einem Einbruch: Was ein Angreifer hätte lesen können, gilt als verloren, bis es ersetzt ist.

Für die Erneuerung hat Chainstack eine Selbstbedienung in der Konsole eingerichtet. Die bisherigen Endpunkte funktionieren so lange weiter, bis ein Kunde die Rotation abgeschlossen hat. Rotation heißt in der IT-Sicherheit, einen Schlüssel oder ein Passwort durch einen neuen Wert zu ersetzen und den alten ungültig zu machen. Der Vorteil für Kunden: Ein laufender Bot oder eine App fällt beim Wechsel nicht aus. Der Nachteil liegt auf der Hand. Solange ein Kunde nicht rotiert, bleibt der möglicherweise bekannte Zugang aktiv.

Wer die Plattform-Schnittstelle von Chainstack nutzt, soll zusätzlich die API-Schlüssel neu erzeugen. Mit so einem Schlüssel lassen sich Knoten anlegen, ändern oder löschen. Ein fremder Zugriff darauf könnte Kosten verursachen oder Dienste stören, auch wenn keine Coins im Spiel sind.

Grafana und MCP-Server: Wie der Angreifer in die Produktion kam

Der technische Teil des Berichts zeigt eine Reihe einfacher Versäumnisse. Einstiegspunkt war laut Chainstack eine Test-Instanz der Überwachungssoftware Grafana in einem Entwicklungscluster. Sie war seit Juli aus dem Internet erreichbar, ohne zusätzliche Anmeldeschicht, und lief noch mit den Standard-Zugangsdaten für Administratoren. Ab dem Abend des 26. Oktober nutzte der Angreifer eine Weiterleitungsfunktion von Grafana, um interne Dienste anzusprechen.

Über diesen Weg erreichte er einen internen MCP-Server. MCP steht für Model Context Protocol, einen Standard, über den KI-Agenten Werkzeuge bedienen. Dieser Server verlangte keine Anmeldung und lief mit vollen Administratorrechten für den Cluster. Am 29. Oktober gelangte der Angreifer an Maschinen-Zugangsdaten aus einer Automatisierungsplattform, die auch in die Produktionsumgebung reichten. Am 31. Oktober las er laut Bericht in großem Umfang Geheimnisse aus dem Schlüsselspeicher der Produktion, verband sich über einen kompromittierten VPN-Schlüssel mit dem Datenbanknetz und fragte Produktionsdatenbanken ab. Noch am selben Tag erkannte Chainstack den Einbruch und kappte die Zugänge.

Chainstack betont, keine Softwarelücke sei ausgenutzt worden. Der Angriff habe Standardpasswörter, offen erreichbare Verwaltungsfunktionen, fehlende Anmeldung, zu weit gefasste Rechte und langlebige Zugangsdaten aneinandergereiht. Die letzte Nutzung einer kopierten Zugangsberechtigung beobachtete das Unternehmen am 2. November um 6:28 Uhr UTC. Am selben Tag schloss es die Untersuchung ab.

KI-Agent ARTEX: Chainstack ist Teil einer größeren Angriffswelle

Chainstack ordnet den Einbruch einer breiter angelegten Angriffswelle zu, die Ende Oktober bekannt wurde und bei der Künstliche Intelligenz Teile der Arbeit übernimmt. Das Unternehmen schreibt mit hoher Sicherheit dem Angreifer das Werkzeug ARTEX zu. ARTEX ist ein quelloffenes Framework, das mehrere KI-Agenten auf Basis großer Sprachmodelle steuert und Einbrüche automatisiert. Erkannt hat Chainstack es an Namenskürzeln wie „artx“ und „artex“, die sich durch die vom Angreifer angelegten Ressourcen ziehen.

Der Fall steht nicht allein. Laut The Hacker News meldete auch der Blockchain-Analysedienst Chainalysis einen externen Akteur, der mit agentenbasierten Angriffstechniken in seine Systeme eindrang. Über das Datenleck bei Chainalysis hat cryptoticker.io am 2. November berichtet. Der Softwareanbieter WorkOS führte einen eigenen Vorfall ebenfalls auf einen ARTEX-Agenten zurück. Nach Darstellung von WorkOS entkam dieser Agent aus der abgeschotteten Testumgebung eines Sicherheitsforschers, der damit Vergleichstests lief.

Für die Branche ist das ein Warnsignal. Ein KI-Agent sucht offene Testinstanzen, Standardpasswörter und schlecht geschützte Schnittstellen schneller und gründlicher ab als ein Mensch. Fehler, die früher lange unbemerkt blieben, werden so in Tagen gefunden.

Sind deine Coins in Gefahr? Node-Zugang ist kein privater Schlüssel

Für die meisten Privatanleger in Deutschland lautet die Antwort nein. Ein Node-Zugang erlaubt, Daten von einer Blockchain abzufragen und fertig signierte Transaktionen weiterzureichen. Signieren kann nur, wer den privaten Schlüssel einer Wallet hat. Diesen Schlüssel speichert ein Node-Anbieter nicht, er bleibt in deiner Wallet oder bei deiner Börse. Chainstack schreibt außerdem, dass Kundenknoten, Konsole und API nicht verändert wurden.

Indirekt kann der Fall dich trotzdem treffen. Drei Gruppen sollten genauer hinsehen. Erstens alle, die selbst ein Chainstack-Konto haben, auch ein kostenloses für ein Hobbyprojekt. Zweitens Nutzer von Trading-Bots, die einen eigenen RPC-Endpunkt eintragen lassen, denn dort steht oft ein Chainstack-Zugang. Drittens alle, deren E-Mail-Adresse als Mitglied einer Kundenorganisation hinterlegt ist, etwa als Mitarbeiter eines Krypto-Start-ups. Wer seinen Bot mit Börsen-Schlüsseln betreibt, sollte ohnehin nur Schlüssel ohne Auszahlungsrecht verwenden. Worauf es bei der Auswahl solcher Werkzeuge ankommt, zeigt unser Vergleich der Krypto-Trading-Bots.

So schützt du dich vor Phishing nach dem Chainstack-Datenleck

Was passiert ist: Zwischen dem 26. und dem 31. Oktober 2026 drang ein Angreifer über eine offen erreichbare Test-Instanz in die Systeme von Chainstack ein und fragte die Kundendatenbank ab. Laut Chainstack sind Organisationsnamen, Namen, E-Mail-Adressen und Passwort-Hashes betroffen, Node-Zugangsdaten gelten vorsorglich als offengelegt. Eine Schadenssumme nennt das Unternehmen nicht (Stand: 12. November 2026).

Bist du betroffen? Betroffen sein kann jeder, der vor dem 31. Oktober ein Konto bei Chainstack hatte oder als Mitglied einer Kundenorganisation eingetragen war. Chainstack informiert alle Kunden per E-Mail. Wer nur eine Wallet-App oder eine Börse nutzt und nie ein eigenes Chainstack-Konto angelegt hat, ist von den abgeflossenen Kontodaten nicht betroffen.

1. Passwort ersetzen: Ändere dein Chainstack-Passwort und jedes andere Passwort, das gleich oder ähnlich lautet, zuerst bei Börse und E-Mail-Postfach.
2. Node-Zugang rotieren: Erneuere die Node-Zugangsdaten in der Chainstack-Konsole und trage den neuen Endpunkt in Bot oder App ein, bevor du den alten löschst.
3. API-Schlüssel neu erzeugen: Erzeuge neue Plattform-Schlüssel, falls du die Chainstack-Schnittstelle nutzt, und lösche die alten.
4. Mails im Namen von Chainstack prüfen: Chainstack fragt nach eigener Aussage nie nach Passwörtern, Tokens oder Schlüsseln, also folgst du keinem Link aus solchen Nachrichten und rufst die Konsole selbst auf.
5. Zwei-Faktor-Anmeldung per App einschalten: Aktiviere bei Chainstack, Börse und Postfach eine Authenticator-App statt SMS, damit ein erbeutetes Passwort allein nicht reicht.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Trading-Bots und Wallet-Apps: Wer Chainstack indirekt nutzt

Viele Anwendungen verraten nicht, welchen Node-Anbieter sie im Hintergrund nutzen. Bei selbst betriebenen Bots und bei Wallets, die eine eigene RPC-Adresse zulassen, steht die Adresse dagegen in den Einstellungen. Endet sie auf eine Domain von Chainstack und stammt der Zugang aus deinem eigenen Konto, gilt Schritt zwei aus der Liste oben. Hat ein Dienstleister den Zugang eingerichtet, ist er für die Rotation zuständig.

Für Halter, die ihre Coins auf einer Börse lassen, ändert der Vorfall nichts an der Verwahrung. Wer größere Bestände langfristig hält, ist mit einer eigenen Hardware-Wallet unabhängiger von Dritten. Wer handeln will, sollte auf eine Börse mit europäischer Zulassung nach MiCA setzen. Die EU-Verordnung über Märkte für Kryptowerte schreibt den Anbietern Mindeststandards für Verwahrung und IT-Sicherheit vor.

Chainstack-Datenleck: Ohne neue Schlüssel bleibt ein Restrisiko

Chainstack hat den Einbruch nach eigener Darstellung am 31. Oktober gestoppt und die Untersuchung am 2. November abgeschlossen. Weil die alten Endpunkte bis zur Rotation weiterlaufen, liegt der letzte Schritt beim Kunden. Für Anleger heißt das:

1. Ersetze wiederverwendete Passwörter zuerst dort, wo Geld liegt, und wähle für den Handel eine Börse aus dem Vergleich der regulierten Kryptobörsen.
2. Prüfe die Einstellungen deines Bots auf eine fremde RPC-Adresse und vergleiche Anbieter mit klarer Schlüsselverwaltung im Trading-Bot-Vergleich.
3. Lagere Coins, die du nicht handelst, auf eine eigene Wallet aus, die passenden Geräte zeigt der Hardware-Wallet-Vergleich.

(Stand: 12. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)