D'CENT App Wallet: Woran du erkennst, ob deine Recovery Phrase jetzt umziehen muss

Wenn du Kryptowerte in der App-Wallet von D'CENT hältst, solltest du sie auf eine Wallet mit einer neuen Wiederherstellungsphrase umziehen. Der Hersteller IoTrust hat am 16. September 2026 mitgeteilt, dass er auffällige Vermögensübertragungen in genau dieser App festgestellt hat und die Ursache untersucht. Betroffen ist nach Darstellung des Unternehmens die App-Wallet. Wer ausschließlich ein Hardware-Gerät nutzt und seine Wörter nie in die App eingetippt hat, muss nach diesem Stand nichts tun.

Diese eine Unterscheidung trägt den ganzen Vorgang, und sie wird in den meisten Kurzmeldungen unterschlagen. Von ihr hängt ab, ob du heute Abend ein paar Transaktionen tätigst oder ruhig schlafen kannst. Dieser Text erklärt, woran du die Zugehörigkeit erkennst, in welcher Reihenfolge du vorgehst und welche zwei Folgeschritte erfahrungsgemäß liegen bleiben.

D'CENT App Wallet: Was IoTrust am 16. September gemeldet hat

Die Mitteilung kam über den offiziellen Unternehmenskanal. Der Wortlaut der Eröffnung lautet in der Übersetzung: Man habe auffällige Vermögensübertragungen im Zusammenhang mit der D'CENT App Wallet festgestellt und führe eine dringende Untersuchung durch. Nach den ersten Erkenntnissen sei das Problem auf die App-Wallet begrenzt.

Eine Ursache nennt das Unternehmen nicht. Es nennt auch keine Zahl betroffener Wallets und keine Summe. Diese Lücke ist wichtig für die Einordnung: Solange der Hersteller selbst keinen Umfang beziffert, ist jede kursierende Schadenssumme eine Behauptung ohne Grundlage. Das Unternehmen kündigt an, Ursache und Umfang über die offiziellen Kanäle nachzureichen, sobald sie feststehen.

Was bereits feststeht, ist die Handlungsempfehlung. IoTrust bittet betroffene Nutzer, ihre Bestände so schnell wie möglich auf eine Hardware-Wallet oder eine andere vertrauenswürdige Adresse zu übertragen, die App auf die aktuelle Fassung zu aktualisieren und bis zu diesem Update keine Transaktionen mehr über die App-Wallet auszulösen. Ausdrücklich warnt das Unternehmen davor, Anweisungen aus inoffiziellen Kanälen zu befolgen.

Warum eine laufende Untersuchung keine Entwarnung ist

Eine Untersuchung, deren Ergebnis aussteht, ist der unangenehmste Zustand für Nutzer, weil sie keine Wahl zwischen richtig und falsch anbietet, sondern eine zwischen Aufwand und Risiko. Der Aufwand eines Umzugs ist überschaubar und einmalig. Das Risiko, auf das Ergebnis zu warten, trägt allein der Nutzer, denn ein Guthaben, das über eine kompromittierte Wortliste erreichbar ist, lässt sich im Nachhinein nicht zurückholen.

Recovery Phrase: Die eine Frage, die über deine Betroffenheit entscheidet

Eine Recovery Phrase, auch Wiederherstellungsphrase oder Seed Phrase genannt, ist die Liste aus in der Regel 24 Wörtern, aus der sich sämtliche privaten Schlüssel einer Wallet und damit der volle Zugriff auf das Guthaben rechnerisch ableiten lassen. Wer diese Wörter kennt, hat das Guthaben, unabhängig davon, welches Gerät gerade in welcher Schublade liegt.

Daraus ergibt sich die Prüffrage, und sie lautet nicht, welches Gerät du besitzt, sondern wo deine Wörter schon einmal eingegeben worden sind. Drei Fälle lassen sich sauber trennen.

Fall eins: Du hast eine Wallet direkt in der App angelegt, ohne Hardware-Gerät. Dann liegt deine Wortliste in der Software, und du gehörst zur unmittelbar angesprochenen Gruppe.

Fall zwei: Du besitzt ein Hardware-Gerät, hast dessen Wortliste aber irgendwann zusätzlich in die App importiert, etwa um bequemer auf ein Guthaben zuzugreifen. Dann ist dieselbe Wortliste an beiden Orten vorhanden, und die Empfehlung gilt für dich ebenso, obwohl dein Gerät selbst nicht im Verdacht steht.

Fall drei: Du verbindest dein Hardware-Gerät nur mit der App, um Transaktionen auf dem Gerät zu bestätigen, und hast die Wörter nie abgetippt. Nach dem bisherigen Stand des Herstellers besteht für dich kein Handlungsbedarf.

Der zweite Fall ist der heimtückische, weil er sich nicht an der Hardware ablesen lässt. Er hängt an einer Entscheidung, die viele Nutzer vor Monaten getroffen und längst vergessen haben. Wenn du unsicher bist, gilt der Import als erfolgt: Die Kosten einer überflüssigen Vorsichtsmaßnahme sind ein paar Netzwerkgebühren, die Kosten einer falschen Entwarnung sind das Guthaben.

Biometric Wallet, D'CENT X und R3covery Card: Welche Produkte der Hinweis erfasst

Der Hersteller führt mehrere Produktlinien, und die Mitteilung trennt zwischen ihnen. Die App-Wallet ist eine reine Software-Wallet, bei der die Schlüssel auf dem Smartphone liegen. Daneben stehen die Hardware-Geräte, darunter die Biometric Wallet mit Fingerabdrucksensor sowie die Modelle D'CENT X und D'CENT S, bei denen die Schlüssel ein separater Sicherheitschip verwahrt und nie das Gerät verlassen. Die R3covery Card ist eine Sicherungslösung für die Wortliste selbst.

Die Aussage des Unternehmens bezieht sich auf die App-Wallet. Für die Hardware-Geräte ist nach eigenen Angaben bisher keine Betroffenheit bestätigt. Das ist eine vorsichtige Formulierung und keine Freisprechung, und genau so solltest du sie lesen. Der Unterschied zwischen einer Software-Wallet und einem Gerät mit eigenem Sicherheitschip ist der Grund, warum die Empfehlung überhaupt in Richtung Hardware zeigt: In einem Hardware-Wallet-Vergleich lässt sich nachlesen, welche Geräte die Signatur wirklich im Chip ausführen und welche nur eine hübsche Hülle um eine Software-Lösung legen.

Guthaben aus der App-Wallet abziehen: Die Reihenfolge, die Fehler vermeidet

Die Reihenfolge ist wichtiger als die Geschwindigkeit. Ein hastiger Transfer auf eine Adresse, deren Wortliste du nicht vollständig gesichert hast, verwandelt ein mögliches Problem in einen sicheren Totalverlust.

Erstens: das Ziel vorbereiten. Lege die Ziel-Wallet an, bevor du irgendetwas verschiebst, und sichere ihre Wortliste vollständig und offline. Prüfe die Sicherung, indem du die Wallet einmal aus den Wörtern wiederherstellst. Wie du diese Sicherung so ablegst, dass sie einen Wohnungsbrand und einen Umzug übersteht, haben wir in unserem Leitfaden zur sicheren Aufbewahrung der Seed Phrase beschrieben.

Zweitens: die App aktualisieren. Der Hersteller nennt Fassung 10.0.0 oder neuer für Android und iOS als Mindeststand und bittet darum, vor dem Update keine Transaktionen über die App-Wallet auszulösen.

Drittens: übertragen. Schicke zuerst einen kleinen Betrag, prüfe den Eingang in der Zielwallet, und übertrage danach den Rest. Wenn du mehrere Ketten nutzt, arbeite sie einzeln ab. Halte dabei Gebühren und Zeitpunkte fest, du brauchst sie später für die Steuererklärung.

Viertens: die alte Wortliste stilllegen. Eine Wortliste, die möglicherweise in fremde Hände geraten ist, wird nie wieder benutzt, auch nicht für eine kleine Restsumme und auch nicht für eine andere Kette. Diese Wortliste ist verbraucht.

App-Update allein reicht nicht: Warum die Wortliste wechseln muss

Der häufigste Fehler nach einer solchen Meldung besteht darin, die App zu aktualisieren und es dabei zu belassen. Ein Update schließt eine Lücke in der Software. Es macht aber eine Wortliste nicht wieder geheim, die vorher möglicherweise ausgelesen wurde. Wenn ein Angreifer die 24 Wörter besitzt, braucht er die App überhaupt nicht mehr: Er kann die Wallet in beliebiger anderer Software wiederherstellen und das Guthaben von jedem Gerät der Welt aus abräumen.

Aus diesem Grund führt der Weg zurück in die Sicherheit immer über eine neue Wortliste und niemals über ein Update allein. Denselben Mechanismus hat der Markt im August 2026 beim Coldcard-Vorfall durchlaufen, wo ebenfalls erst die Neuerzeugung der Wörter und nicht die neue Firmware den Zugriff beendet hat.

Token-Freigaben widerrufen: Der vergessene Schritt nach dem Wallet-Wechsel

Eine Token-Freigabe, im Englischen Token Approval, ist die Erlaubnis, die du einem Smart Contract einmalig erteilst, damit er einen bestimmten Token von deiner Adresse bewegen darf. Diese Erlaubnis bleibt bestehen, bis du sie widerrufst, und sie hängt an der Adresse, nicht an der Wallet-Software.

Daraus folgt eine unangenehme Konsequenz: Wenn du dein Guthaben auf eine neue Adresse umziehst, die alte Adresse aber weiterhin offene Freigaben trägt, bleibt jeder Rest, der später dort eingeht, über diese Freigaben angreifbar. Betroffen sind vor allem Adressen auf Ethereum und den darauf aufbauenden Netzwerken, weil dort der überwiegende Teil der Freigaben erteilt wird.

Der Widerruf ist eine gewöhnliche Transaktion und kostet Netzwerkgebühr. In unserer Auswertung vom 14. September 2026 lag diese Gebühr auf Ethereum bei umgerechnet 0,52 Cent je Widerruf, wie wir in der Anleitung zum Widerruf von Token-Freigaben dokumentiert haben. Bei diesem Preisniveau gibt es keinen vernünftigen Grund, offene Freigaben stehen zu lassen.

Self-Custody-Wallet und MiCA: Warum die BaFin für diesen Fall nicht zuständig ist

Für deutsche Nutzer ist die aufsichtsrechtliche Lage der wichtigste und zugleich unbequemste Teil. Eine Self-Custody-Wallet, auch nicht-verwahrte Wallet genannt, ist eine Anwendung, bei der allein der Nutzer die privaten Schlüssel hält und der Anbieter keinen Zugriff darauf hat.

Genau diese Konstellation nimmt die europäische Kryptoverordnung MiCA von ihrem Anwendungsbereich aus. Das bloße Herstellen oder Vertreiben von Hardware und Software zur Verwahrung von Kryptowerten fällt nicht unter die Erlaubnispflicht, solange der Anbieter keinen Zugang zu den verwahrten Werten oder Schlüsseln hat. Erst wenn ein Anbieter Zugriff auf fremde Schlüssel hat, wird aus dem Produkt eine Kryptodienstleistung, die eine Zulassung braucht.

Für dich als Nutzer bedeutet das drei Dinge. Es gibt keine BaFin-Aufsicht über den Hersteller einer reinen Self-Custody-Wallet. Es gibt keinen Einlagensicherungs- oder Entschädigungsmechanismus, der Verluste ausgleicht. Und es gibt keine Aufsichtsbehörde, bei der du den Vorgang mit Aussicht auf Wiedergutmachung anzeigen könntest. Was bleibt, sind zivilrechtliche Ansprüche gegen ein Unternehmen mit Sitz in Südkorea, also ein theoretischer Weg.

Diese Rechtslage verschiebt sich derzeit an einer anderen Stelle, und der Unterschied lohnt die Beachtung: Für Hersteller gelten seit dem 11. September 2026 neue Meldepflichten, über die wir in unserem Beitrag zur Meldepflicht für Wallet-Hersteller berichtet haben. Meldepflichten verbessern die Information über Vorfälle. Einen Anspruch auf Ersatz begründen sie nicht.

Gestohlene Coins in der Steuererklärung: Was § 23 EStG nicht hergibt

Wer Kryptowerte durch einen Diebstahl verliert, stellt in Deutschland regelmäßig fest, dass das Finanzamt diesen Verlust nicht anerkennt. Der Grund liegt in der Systematik: Gewinne und Verluste aus Kryptowerten im Privatvermögen laufen über das private Veräußerungsgeschäft nach § 23 des Einkommensteuergesetzes, und ein Veräußerungsgeschäft setzt einen Verkauf oder Tausch voraus. Ein Diebstahl ist beides nicht, deshalb verweigern die Finanzämter die Feststellung eines Verlusts auch dann, wenn der Verlust innerhalb der einjährigen Haltefrist eintritt.

Ob sich ein solcher Verlust über andere Wege ansetzen lässt, etwa als Werbungskosten, ist unter Steuerrechtlern strittig und hängt stark am Einzelfall. Wer in nennenswerter Höhe betroffen ist, sollte das mit einer steuerberatenden Person besprechen und nicht mit einem Forum.

Praktisch wichtiger ist der Umzug selbst. Ein Transfer zwischen zwei eigenen Wallets ist kein steuerpflichtiger Vorgang, weil sich der wirtschaftliche Eigentümer nicht ändert. Er sieht in den Daten vieler Auswertungsprogramme trotzdem aus wie ein Abgang, und wenn die Zuordnung fehlt, rechnet die Software daraus im schlimmsten Fall eine Veräußerung. Dokumentiere deshalb jede der heutigen Überweisungen mit Datum, Betrag, Gebühr sowie Quell- und Zieladresse und markiere sie als eigenen Transfer. Welche Programme mehrere Wallets sauber zusammenführen, zeigt der Überblick über Krypto-Steuer-Tools und Portfolio-Tracker. Auch die Anschaffungsdaten deiner Bestände müssen den Umzug überleben, sonst verlierst du den Nachweis für die Haltefrist deiner Bitcoin-Bestände.

Phishing nach der Warnung: Woran du gefälschte Hersteller-Nachrichten erkennst

Jede öffentliche Sicherheitsmeldung erzeugt innerhalb weniger Stunden eine zweite Angriffswelle, die sich an die erste anhängt. Das Muster ist immer dasselbe: Eine Nachricht gibt sich als Hilfestellung des Herstellers aus, verweist auf den echten Vorfall und führt auf ein Formular, das nach der Wiederherstellungsphrase fragt. Der Hersteller selbst warnt in seiner Mitteilung ausdrücklich davor, Anweisungen aus inoffiziellen Kanälen zu befolgen.

Die Regel dagegen ist einfach und kennt keine Ausnahme: Kein Hersteller, kein Support und keine Börse fragt jemals nach deinen 24 Wörtern. Jede Nachricht, die danach fragt, ist ein Angriff, unabhängig davon, wie echt der Absender wirkt. Dass eine Absenderadresse stimmen kann und die Nachricht trotzdem gefälscht ist, haben wir am Beispiel einer Phishing-Mail von der echten Absenderdomain gezeigt.

Halte dich für Informationen an den offiziellen Unternehmenskanal und an die Support-Seiten des Herstellers. Öffne keine Links aus Direktnachrichten, auch dann nicht, wenn sie in einer Gruppe auftauchen, in der du sonst verlässliche Hinweise bekommst.

Offene Fragen der Untersuchung: Was noch nicht geklärt ist

Für eine ehrliche Einordnung gehört dazu, was der Hersteller bislang offen lässt. Unbekannt sind die Ursache der auffälligen Übertragungen, die Zahl der betroffenen Wallets, die Höhe der bewegten Beträge und der genaue Zeitraum, in dem die Übertragungen stattgefunden haben. Unklar ist ebenfalls, ob nur bestimmte Fassungen der App betroffen sind oder ob einzelne Ketten stärker im Zugriff standen als andere.

Solange das offen ist, verbieten sich Schlüsse in beide Richtungen. Eine Aussage, das Problem sei begrenzt und im Griff, ist ebenso wenig belegt wie die Behauptung eines umfassenden Einbruchs. Was belegt ist, ist die Handlungsempfehlung des Herstellers, und sie steht unabhängig vom Ausgang der Untersuchung: Wer seine Wörter in der App hatte, zieht um.

D'CENT App Wallet prüfen: Was du daraus mitnimmst

1. Kläre zuerst, ob deine Wortliste je in der App war. Nur die App-Wallet und Hardware-Geräte mit derselben, in die App importierten Wortliste sind angesprochen. Wer sein Gerät ausschließlich zum Bestätigen verbindet, hat nach bisherigem Stand nichts zu tun. Welche Geräte die Signatur tatsächlich im Sicherheitschip ausführen, kannst du im Hardware-Wallet-Vergleich nachsehen.
2. Ziehe in der richtigen Reihenfolge um. Neue Wallet anlegen, Wortliste sichern und die Sicherung durch eine Wiederherstellung prüfen, App aktualisieren, mit einem kleinen Betrag testen, dann den Rest übertragen und die alte Wortliste endgültig stilllegen. Wenn du bei dieser Gelegenheit ohnehin die Software wechselst, hilft der Software-Wallet-Vergleich bei der Auswahl.
3. Erledige die zwei Schritte danach. Widerrufe die offenen Token-Freigaben der alten Adresse, und dokumentiere jeden Transfer mit Datum, Betrag, Gebühr und beiden Adressen, damit dein Umzug in der Steuererklärung nicht als Verkauf erscheint. Ein passendes Programm dafür findest du unter den Krypto-Steuer-Tools und Portfolio-Trackern.

Quellen: die Mitteilung des Kontos @DCENTWALLETS vom 16. September 2026 sowie die Fragen und Antworten des Herstellers zum Vorfall.

(Stand: 17. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)