Coinone-Datenleck beim Support-Dienstleister: Passwörter und Ausweisnummern möglicherweise abgeflossen

Die südkoreanische Kryptobörse Coinone hat am Sonntag, 15. November 2026, ein Datenleck bei ihrem ausgelagerten Kundenservice bestätigt. Angreifer sind in die Server des Dienstleisters MetaM eingedrungen, der für Coinone Chat- und Telefonanfragen bearbeitet. Betroffen sein können alle Kundinnen und Kunden, die sich jemals an den Support gewandt haben, und je nach Gespräch gehören zu den Daten Passwörter, Bankkontonummern und die koreanische Ausweisnummer. Die Börse selbst sieht nach eigener Darstellung keine Hinweise darauf, dass Konten, Handel oder Wallets angegriffen wurden.

Für Anleger in Deutschland ist Coinone kein gängiger Handelsplatz. Der Fall ist trotzdem lehrreich, weil er ein Muster zeigt, das auch europäische Börsen betrifft: Nicht die Blockchain und nicht die Börse selbst werden angegriffen, sondern ein Dienstleister, bei dem sich über Jahre Gesprächsprotokolle mit sensiblen Angaben sammeln. Aus solchen Protokollen entstehen danach besonders glaubwürdige Betrugsversuche.

Coinone-Datenleck: Was beim Dienstleister MetaM passiert ist

Nach Angaben von Coinone, über die unter anderem die Tageszeitung Hankook Ilbo und die Wirtschaftszeitung Financial News berichten, griff ein externer Angreifer am 12. November gegen 4 Uhr koreanischer Zeit auf einen Server von MetaM zu. Das entspricht 20 Uhr deutscher Zeit am Abend des 11. November. Um 9:20 Uhr koreanischer Zeit meldete der Dienstleister den Vorfall an Coinone. Öffentlich machte die Börse den Angriff erst drei Tage später, mit einer Mitteilung am 15. November.

Auf dem betroffenen Server lagen Unterlagen aus der Kundenbetreuung, also Mitschriften aus Chats und Notizen zu Telefonaten. Wie viele Kunden betroffen sind, hat Coinone bislang nicht genannt. Die Börse schreibt, Umfang und genauer Ablauf würden gemeinsam mit dem Dienstleister und den zuständigen Stellen untersucht, neue Erkenntnisse wolle sie umgehend veröffentlichen.

Gemeldet hat Coinone den Vorfall laut den koreanischen Berichten an drei Behörden: die Korea Internet & Security Agency (KISA), die Datenschutzkommission PIPC und die Finanzaufsicht FSS. Als Sofortmaßnahmen nennt die Börse die Sperre der IP-Adressen, über die der Angriff lief, den Umstieg des Kundendiensts auf reine E-Mail-Anfragen und eine verschärfte Echtzeitüberwachung von auffälligen Anmeldungen und Transaktionen.

Zeitachse des Vorfalls

• 11. November, 20 Uhr MEZ (12. November, 4 Uhr Ortszeit): Zugriff auf den MetaM-Server.
• 12. November, 1:20 Uhr MEZ (9:20 Uhr Ortszeit): MetaM informiert Coinone.
• 15. November: Coinone veröffentlicht die Mitteilung und warnt vor Phishing und Identitätsdiebstahl.

Welche Kundendaten aus dem Support-Chat betroffen sein können

Coinone listet elf Datenarten auf, die in den Gesprächen vorkommen konnten. Welche davon bei einer einzelnen Person tatsächlich auf dem Server lagen, hängt davon ab, was sie dem Support mitgeteilt hat. Die Liste nach den koreanischen Berichten:

• Name, Telefonnummer und E-Mail-Adresse
• Geburtsdatum und Wohnanschrift
• Bankkontonummer
• Passwort, sofern es im Gespräch genannt wurde
• Ausweisnummer (in Korea die Resident Registration Number) und das Ausstellungsdatum des Ausweises
• Wallet-Adressen und Transaktions-IDs

Die Transaktions-ID, kurz TXID, ist die eindeutige Kennung einer Überweisung auf der Blockchain. Wer sie kennt, kann im Block-Explorer Betrag, Zeitpunkt und beteiligte Adressen nachlesen. In Verbindung mit Name und Anschrift wird aus einer anonym wirkenden Wallet-Adresse damit ein Profil: wer welche Coins wann bewegt hat und wo diese Person wohnt.

Besonders heikel sind die Passwörter. Dass Kunden sie überhaupt in einem Support-Chat nennen, ist ein bekanntes Problem. Viele schicken bei Anmeldeschwierigkeiten ihr Passwort mit, obwohl kein seriöser Anbieter danach fragt. Coinone rät deshalb allen, die je ein Passwort im Gespräch weitergegeben haben, es zu ändern, und zwar auch bei anderen Diensten, auf denen dasselbe Passwort genutzt wird.

Coinone-Konten und Wallets: Was die Börse zur Sicherheit sagt

Coinone betont, dass Mitgliedskonten, Handel und die Wallet-Systeme getrennt von den Servern des Dienstleisters betrieben werden. Anzeichen für ein direktes Eindringen in diese Systeme gebe es bisher nicht. Laut Financial News verweist die Börse zudem darauf, dass jede Anmeldung eine Zwei-Faktor-Authentifizierung verlangt. Mit den abgeflossenen Angaben allein könne sich niemand in ein fremdes Konto einloggen oder Guthaben abziehen.

Zwei-Faktor-Authentifizierung (2FA) bedeutet, dass neben dem Passwort ein zweiter Nachweis nötig ist, meist ein Einmalcode aus einer App oder per SMS. Diese Hürde schützt das Konto, solange der zweite Faktor nicht ebenfalls in fremde Hände gerät. Genau darauf zielen viele Betrugsmaschen nach einem Datenleck: Ein Anrufer gibt sich als Support aus, kennt Details aus früheren Gesprächen und bittet um den gerade empfangenen Code.

Coinone kündigt an, Betroffene gesondert zu informieren und eine Abfrage einzurichten, über die Kunden prüfen können, ob ihre Daten betroffen sind. Ein Termin dafür steht noch aus. Außerdem weist die Börse laut Financial News darauf hin, dass Betroffene nach koreanischem Recht Schadensersatz verlangen können.

Outsourcing im Kundenservice: Warum Support-Dienstleister ein Einfallstor sind

Kryptobörsen lagern den Kundenservice häufig aus, weil die Zahl der Anfragen in Marktphasen wie der aktuellen stark schwankt. Der Dienstleister braucht dafür Einblick in Kundendaten, sonst kann er keine Fragen zu Ein- und Auszahlungen beantworten. Damit entsteht außerhalb der Börse ein zweiter Ort, an dem sich persönliche Angaben sammeln, oft mit weniger Schutz als im Kernsystem.

Der bekannteste Fall betraf die US-Börse Coinbase. Im Mai 2025 teilte sie der Börsenaufsicht SEC mit, dass Kriminelle Mitarbeiter eines ausländischen Support-Teams bestochen hatten, um Kundendaten zu kopieren. Coinbase schätzte die Kosten des Vorfalls damals auf 180 bis 400 Millionen Dollar, wie The Block aus der Pflichtmitteilung berichtete. Auch im Herbst 2026 gab es einen Vorfall bei einem Coinbase-Dienstleister, diesmal beim Analyseanbieter Amplitude; die Einzelheiten stehen in unserem Bericht zum Datenleck bei Amplitude.

Bei Coinone liegt der Fall anders, denn nach bisherigen Angaben kamen die Angreifer von außen über die Server, bestochene Mitarbeiter spielen keine Rolle. Das Ergebnis ist für Kunden aber ähnlich. Wer die Gesprächsverläufe kennt, kann sich glaubwürdig als Kundendienst ausgeben. Cointelegraph zitiert Coinone mit der Warnung, Betrüger könnten sich mit Details aus früheren Support-Gesprächen als Börse ausgeben.

Warum Support-Daten wertvoller sind als eine reine Adressliste

Eine gestohlene Liste mit Namen und E-Mail-Adressen reicht für Massen-Phishing. Ein Chatprotokoll liefert mehr: das konkrete Problem, den Zeitpunkt, den Namen des Mitarbeiters und oft eine Ticketnummer. Ein Betrüger kann damit schreiben, er melde sich „wegen deiner Anfrage zur Auszahlung vom März“, und wirkt sofort vertraut. Solche Nachrichten heißen Spear-Phishing: gezielte Täuschung, die auf eine einzelne Person zugeschnitten ist.

So schützt du dich vor Phishing nach einem Datenleck im Kundenservice

Was passiert ist: Am 12. November 2026 griffen Unbekannte auf die Server von MetaM zu, dem Kundenservice-Dienstleister der koreanischen Börse Coinone. Je nach Gespräch können Name, Kontakt- und Bankdaten, Passwörter, Ausweisnummern, Wallet-Adressen und Transaktions-IDs betroffen sein. Die Zahl der Betroffenen ist offen (Stand: 15. November 2026, 13 Uhr MEZ, laut Cointelegraph und koreanischen Medien).

Bist du betroffen? Betroffen sein kann nur, wer ein Coinone-Konto hat und irgendwann per Chat oder Telefon mit dem Kundenservice gesprochen hat. Wer nie Kontakt zum Support hatte, ist laut Coinone nicht betroffen. Kunden deutscher und europäischer Börsen sind von diesem Vorfall nicht erfasst, die Schritte unten gelten aber nach jedem Datenleck im Kundenservice.

1. Passwort tauschen: Hast du einem Support jemals dein Passwort genannt, ändere es noch heute bei der Börse und bei jedem anderen Dienst, auf dem du dasselbe Passwort nutzt.
2. Zweiten Faktor per App: Stelle die Anmeldung auf eine Authenticator-App oder einen Sicherheitsschlüssel um, denn SMS-Codes lassen sich über eine gekaperte Rufnummer abfangen.
3. Rückruf statt Antwort: Beantworte keine Nachricht und keinen Anruf, der sich auf ein früheres Support-Gespräch beruft. Öffne stattdessen die App oder die gespeicherte Adresse der Börse selbst und frage dort nach.
4. Codes und Wiederherstellungssatz bleiben bei dir: Kein Kundendienst fragt nach einem 2FA-Code, nach deinem Passwort oder nach den 12 bis 24 Wörtern deines Wiederherstellungssatzes; wer danach fragt, ist ein Betrüger.
5. Auszahlungsadressen sperren: Aktiviere die Adress-Whitelist deiner Börse, damit Auszahlungen nur an vorher bestätigte Wallets gehen, und bewahre größere Bestände außerhalb der Börse auf.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Datenlecks bei Kryptobörsen in Südkorea: Bithumb, Gopax und jetzt Coinone

Coinone ist nicht der einzige koreanische Handelsplatz, der in den vergangenen Wochen Angriffe melden musste. Hankook Ilbo und Financial News nennen in ihren Berichten mehrere Vorfälle. Bei Bithumb, der nach Hankook Ilbo zweitgrößten Börse des Landes, wurde am 27. Oktober ein internes Bürosystem angegriffen. Abgeflossen sind dabei Daten von 715 Beschäftigten und von Kunden, deren Zahl die beiden Zeitungen unterschiedlich angeben: Hankook Ilbo schreibt von 6.444, Financial News von 844.

Die Börse Gopax meldete laut Financial News seit September unberechtigte Zugriffe auf einzelne Nutzerkonten und wurde am 6. November erpresst, worauf sie Ein- und Auszahlungen sowie den Handel vorübergehend aussetzte. Cointelegraph berichtet außerdem, dass die koreanische Finanzkommission FSC den Börsen künftig erlauben will, Auszahlungen bei einem Hackverdacht zu stoppen, und eine Überwachung rund um die Uhr verlangt.

Die Häufung zeigt, dass Angreifer gezielt nach schwächeren Stellen rund um die Börsen suchen. Die Kernsysteme mit den Kundengeldern sind meist gut abgesichert. Bürosoftware, Dienstleister und einzelne Kundenkonten bieten mehr Angriffsfläche.

DSGVO und MiCA: Welche Pflichten Börsen in Deutschland bei einem Datenleck haben

Für Anbieter in Deutschland und der EU gelten bei einem solchen Vorfall feste Regeln. Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss ein Unternehmen eine Datenpanne binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, sobald es davon weiß. Besteht ein hohes Risiko für die Betroffenen, etwa weil Passwörter oder Kontonummern abgeflossen sind, verlangt Artikel 34 eine unverzügliche Benachrichtigung der Kunden selbst. Der Dienstleister bleibt dabei in der Pflicht der Börse, denn die Börse haftet für Auftragsverarbeiter, die sie beauftragt hat.

Börsen mit einer Zulassung nach der europäischen Kryptoverordnung MiCA müssen zusätzlich nachweisen, dass sie ihre IT-Risiken beherrschen, auch bei ausgelagerten Aufgaben. Welche Anbieter in Deutschland eine solche Lizenz haben, zeigt unser Vergleich der regulierten Kryptobörsen mit MiCA-Zulassung. Was die Lizenz im Einzelnen verlangt, beschreibt der Überblick zu den MiCA-Pflichten für Krypto-Unternehmen.

Kommt es zu einem Leck, haben Betroffene in Deutschland zudem einen Anspruch auf Schadensersatz nach Artikel 82 DSGVO. Wie hoch der ausfallen kann und was der Bundesgerichtshof dazu entschieden hat, steht in unserem Beitrag zum Schadensersatz nach einem Datenleck bei Krypto-Diensten.

Support-Chat bei Krypto-Börsen: Welche Angaben dort nie hingehören

Der Coinone-Fall zeigt, dass ein Gesprächsprotokoll noch Jahre später zum Risiko werden kann. Was einmal im Chat steht, liegt beim Anbieter oder seinem Dienstleister und lässt sich vom Kunden nicht zurückholen. Für den Umgang mit dem Support bei jeder Börse gelten deshalb einfache Regeln.

Ein Passwort gehört nie in den Chat, auch nicht bei Anmeldeproblemen; der Support setzt den Zugang über einen eigenen Ablauf zurück. Dasselbe gilt für 2FA-Codes und erst recht für den Wiederherstellungssatz einer Wallet. Ausweisdaten lädst du nur im vorgesehenen Verifizierungsbereich der App hoch und nicht als Foto im Chat. Für eine Anfrage zu einer Einzahlung genügen meist Betrag, Datum und Transaktions-ID; die vollständige Wallet-Historie braucht der Support nicht.

Hilfreich ist auch, sich zu notieren, über welchen Weg eine Börse tatsächlich Kontakt aufnimmt. Viele Anbieter schreiben grundsätzlich nur über das Postfach in der App. Kommt eine Nachricht per SMS oder Messenger, ist das bereits ein Warnzeichen. Ein solcher Abgleich kostet zwei Minuten und verhindert viele Betrugsversuche, gerade in Wochen mit stark fallenden Kursen, in denen Anleger schnell handeln wollen.

Coinone-Datenleck: Die Abfrage für Betroffene steht noch aus

Noch ist unklar, wie viele Coinone-Kunden betroffen sind und wer hinter dem Angriff steckt. Sobald die angekündigte Abfrage freigeschaltet ist, wissen Kunden, ob ihre Daten auf dem MetaM-Server lagen. Für alle anderen bleibt der Fall ein Anlass, die eigene Absicherung zu überprüfen. Drei Schritte reichen für den Anfang:

1. Prüfe, ob deine Börse eine MiCA-Zulassung hat und wie sie Kundendaten schützt; die Übersicht der regulierten Kryptobörsen nennt die Anbieter.
2. Verschiebe Bestände, die du nicht aktiv handelst, auf eine eigene Wallet; welche Geräte sich eignen, zeigt der Vergleich der Hardware-Wallets.
3. Lies nach, welche Pflichten eine lizenzierte Börse bei Auslagerung und Datenpannen hat, im Überblick zu den MiCA-Lizenzpflichten.

(Stand: 15. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)