Floin: Cyberangriff legt MiCA-Kryptobörse aus Liechtenstein lahm

Floin, eine Kryptoplattform aus Vaduz mit MiCA-Zulassung der liechtensteinischen Finanzmarktaufsicht FMA, ist nach eigenen Angaben Ziel eines Cyberangriffs geworden. Am Samstag, 31. Oktober 2026, hat Floin alle Dienste offline genommen: App und Webplattform sind bis auf Weiteres nicht erreichbar. In einer Mail an seine Kunden um 11:54 Uhr warnt das Unternehmen, ab sofort nichts mehr an Floin-Wallet-Adressen zu senden, auch wenn Einzahlungen technisch noch möglich sind. Ob Kundengelder abgeflossen sind, hat Floin bislang nicht mitgeteilt.

Das Wichtigste in Kürze

• Vorfall: Cyberangriff laut Floin, Kundenmail am 31. Oktober 2026 um 11:54 Uhr, App und Webplattform seitdem offline.
• Warnung: keine Einzahlungen und keine Kryptowerte an Floin-Wallet-Adressen, auch nicht von externen Wallets oder anderen Börsen.
• Schaden: Floin nennt bis zum Samstagnachmittag weder einen Betrag noch betroffene Coins.
• Aufsicht: MiCA-Zulassung der FMA Liechtenstein seit 10. Juni 2026, gültig in allen 30 Staaten des EWR, auch in Deutschland.
• Einlagensicherung: Die 100.000 Euro der gesetzlichen Einlagensicherung gelten nicht für Kryptowerte; MiCA verlangt stattdessen getrennte Verwahrung und eine Haftung bis zum Marktwert.
• Hack-Welle: zweiter Vorfall bei einer zentralen Plattform binnen 48 Stunden, nach dem Binance Hack vom 29. Oktober mit rund 6,3 Milliarden Dollar Schaden laut Binance.

Floin Cyberangriff: Was die Plattform ihren Kunden mitteilt

Die Mitteilung ist kurz und lässt die wichtigsten Fragen offen. Floin schreibt, die Plattform sei Ziel eines Cyberangriffs geworden, alle Plattformdienste seien offline, der Zugang zu App und Webplattform deshalb bis auf Weiteres nicht möglich. Die Untersuchung laufe und habe höchste Priorität. Auf der Statusseite steht der Vorfall seit 11:30 Uhr mit dem Vermerk „Investigating“, denselben Hinweis zeigt ein Banner auf der Startseite von floin.com. Die Mail liegt CryptoTicker vor.

Für Kunden zählen drei Sätze. Erstens: keine Einzahlungen auf Floin-Wallets, auch nicht von externen Wallets oder anderen Plattformen, ausdrücklich „even if deposits are still technically possible“. Zweitens: Floin beantwortet derzeit keine Einzelanfragen, auch keine E-Mails. Drittens: Neuigkeiten gibt es nur auf der eigenen Website, Kunden sollen sie täglich prüfen.

Offen bleibt, wann der Angriff begann, welche Systeme betroffen sind, ob Coins oder Kundendaten abgeflossen sind und wann Auszahlungen wieder möglich werden. Wer jetzt trotzdem Coins an eine Floin-Adresse schickt, hat derzeit keinen Ansprechpartner, der sie zuordnen könnte.

Wer hinter Floin steht: MiCA-Kryptobörse aus Vaduz

Hinter der Plattform steht die Floin AG mit Sitz Am Schrägen Weg 2 in 9490 Vaduz, gegründet am 29. Januar 2021 als The Finest Token AG und eingetragen im liechtensteinischen Handelsregister unter FL-0002.652.200-0. Gründer und CEO ist laut Impressum Marc Weber. Nach dem Aktienprospekt vom 30. Juni 2026 hält er 90,01 Prozent des Kapitals, die übrigen 9,99 Prozent liegen bei einer slowenischen Gesellschaft, an der er zur Hälfte beteiligt ist. Präsident des Verwaltungsrats ist laut Handelsregisterauszug der Anwalt Thomas Stern. Bekannt wurde Floin 2023 mit dem Verkauf eines eigenen Tokens, der auf floin.com heute unter dem Kürzel FLTK steht: Bis Mitte Juli 2023 lief ein Private Sale, am 20. Juli 2023 meldete Floin den Start des öffentlichen Verkaufs. Im Januar 2024 veröffentlichte das Sicherheitsunternehmen Halborn eine Fallstudie zu Floin: Bei einer Prüfung von Smart Contract und Plattform fand es 34 Schwachstellen, die Floin laut Halborn alle behoben hat.

Wie groß Floin ist, zeigt die Jahresrechnung 2024, die das Unternehmen selbst veröffentlicht: Umsatzerlöse von 3,28 Millionen Franken (2023: 3,63 Millionen), ein Jahresüberschuss von 201.193 Franken und ein Aktienkapital von 250.000 Franken. Die Revisionsstelle Grant Thornton in Schaan hat die Rechnung prüferisch durchgesehen.

Parallel sammelt Floin gerade Eigenkapital bei seiner Community ein. Auf der Angebotsseite verkauft das Unternehmen Vorzugsaktien der Floin AG als Token unter dem Namen FLEQ, auf Basis eines Prospekts, den die FMA am 30. Juni 2026 gebilligt hat. Die Community-Runde läuft zu 1,44 Franken je Aktie, die Mindestzeichnung liegt bei 5.000 Franken, danach gilt eine Sperrfrist von zwölf Monaten. Floin nennt dafür eine Bewertung von rund 45 Millionen Euro; am Samstag zeigte die Seite für diese Runde 10.510 von 1.000.000 Aktien als verkauft. Insgesamt umfasst das Angebot bis zu 7 Millionen Franken. Für Käufer dieser Aktien greift der Verwahrschutz nach MiCA nicht: Sie tragen als Aktionäre das unternehmerische Risiko.

Im MiCA-Register der EU-Wertpapieraufsicht ESMA steht die Floin AG seit dem 10. Juni 2026 mit einer Zulassung der FMA Liechtenstein für fünf Dienste: Verwahrung von Kryptowerten für Kunden, Tausch gegen Geld, Tausch gegen andere Kryptowerte, Platzierung und Transfer. Über den EU-Pass gilt die Zulassung im ganzen Europäischen Wirtschaftsraum, auch in Deutschland und Österreich. Unter jeder Kundenmail steht zusätzlich die Nummer 329177 als registrierter Krypto-Dienstleister (VASP) bei der FMA.

Was Floin seinen Kunden 2026 mitgeteilt hat, ergibt eine dichte Chronik, zusammengestellt aus den Kundenmails und dem ESMA-Register:

Floin und die Einlagensicherung: Was MiCA im Ernstfall regelt

Eine Einlagensicherung wie bei einer Bank gibt es für Kryptowerte nicht, auch nicht bei einem Anbieter mit MiCA-Lizenz. Die gesetzliche Einlagensicherung nach der EU-Richtlinie 2014/49/EU schützt Bankeinlagen bis 100.000 Euro je Kunde und Bank. Coins auf einer Kryptoplattform sind keine Bankeinlage. Auch die BaFin antwortet auf die Frage, ob Einlagensicherung oder Anlegerentschädigung Kryptowerte abdecken: in der Regel nicht.

Was die MiCA-Verordnung (EU) 2023/1114 stattdessen verlangt:

• Getrennte Verwahrung: Verwahrte Kryptowerte gehören rechtlich nicht zum Vermögen des Anbieters, Gläubiger des Anbieters haben im Insolvenzfall keinen Zugriff darauf (Artikel 75 Absatz 7).
• Haftung: Verliert ein Anbieter Kryptowerte oder die Zugangsmittel dazu durch einen Vorfall, der ihm zuzurechnen ist, haftet er gegenüber dem Kunden, begrenzt auf den Marktwert zum Zeitpunkt des Verlusts (Artikel 75 Absatz 8).
• Euro-Guthaben: Kundengelder muss der Anbieter bis zum Ende des folgenden Geschäftstags bei einer Bank oder einer Zentralbank hinterlegen, getrennt vom eigenen Geld (Artikel 70).
• Meldepflicht: Seit 1. Februar 2025 gilt in Liechtenstein auch die EU-Verordnung DORA über digitale Betriebsstabilität. Einen schwerwiegenden IT-Vorfall muss Floin der FMA melden, die Erstmeldung in der Regel binnen 24 Stunden nach Kenntnis (Artikel 19). Ob Floin den Angriff gemeldet hat, ist nicht bekannt.

Praktisch heißt das: Ob Floin-Kunden im Schadensfall Geld zurückbekommen, hängt davon ab, was abgeflossen ist und ob Floin den Verlust aus eigenen Mitteln oder einer Versicherung trägt. Von einem Sicherungsfonds wie dem SAFU-Fonds bei Binance ist in Floins Mitteilung vom Samstag keine Rede. Wie viel die großen Börsen in solchen Töpfen halten, haben wir im Beitrag Sicherungsfonds der Kryptobörsen nachgerechnet zusammengestellt.

Krypto-Hacks Schlag auf Schlag: Womit Angreifer gerade durchkommen

Floin ist der zweite Vorfall bei einer zentralen Plattform binnen 48 Stunden. Am Abend des 29. Oktober flossen bei Binance nach Angaben der Börse rund 6,3 Milliarden Dollar ab, so viel wie bei keinem Krypto-Hack zuvor. Im September traf es Bitget, die Börse ersetzte den Schaden aus ihrem Schutzfonds, wie wir in Bitget nach dem Hack beschrieben haben. Alle großen Fälle sammeln wir auf der Rubrikseite Krypto-Hacks.

Das Muster der großen Fälle ist dasselbe: Geknackt wird nicht die Kryptografie, sondern Menschen und Geräte. Bei Binance war laut der Börse der kompromittierte Laptop eines DevOps-Ingenieurs das Einfallstor, über ihn kamen die Angreifer an einen Service-Container, der Auszahlungen freigibt; Einzelheiten stehen in Binance beziffert den Hack auf 6,3 Milliarden Dollar. Den Bybit-Hack vom Februar 2025 mit rund 1,5 Milliarden Dollar ordnete das FBI Nordkorea zu, ebenso Blockchain-Analysten den Binance-Fall. Bei Ledger reichte im Dezember 2023 ein Phishing-Angriff auf einen früheren Mitarbeiter, danach stand eine präparierte Version einer Programmbibliothek im Netz; Kunden verloren rund 600.000 Dollar, berichtete BleepingComputer.

Welchen Weg die Angreifer bei Floin genommen haben, ist offen. Ein Detail hebt den Fall trotzdem heraus: Binance nannte noch am Tag des Angriffs eine Schadenszahl und sagte kurz darauf zu, alle Verluste der Kunden zu ersetzen. Floin verweist bislang nur auf seine Website.

Selbstverwahrung, Börse oder Broker: Wo dein Geld nach dem Floin Hack sicherer liegt

Einen Ort ohne Risiko gibt es nicht, nur verschiedene Risiken. Auf einer Börse trägst du das Risiko des Anbieters, in der eigenen Wallet dein eigenes, und bei einem Broker kaufst du statt Coins meist ein Finanzprodukt auf den Kurs.

Selbstverwahrung macht dich von Floin, Binance und jeder anderen Plattform unabhängig, aber allein verantwortlich. Bei der Software-Wallet Atomic Wallet verloren Nutzer im Juni 2023 laut Elliptic mehr als 100 Millionen Dollar, die Analysefirma sieht Nordkoreas Lazarus-Gruppe dahinter. Im Januar 2025 entführten Täter in Frankreich den Ledger-Mitgründer David Balland, um Lösegeld in Krypto zu erpressen, wie The Local berichtete. Und wie schnell ein einziger Fehler reicht, zeigte am 30. Oktober eine Influencerin, die statt der Contract-Adresse ihren Private Key postete: Memecoin von Mika in 81 Sekunden geleert.

Wer selbst verwahren will, braucht eine Hardware Wallet und eine sauber gesicherte Wiederherstellungsphrase. Wie das geht, steht in unserem Ratgeber Krypto sicher aufbewahren, die Geräte vergleichen wir im Hardware-Wallet-Vergleich.

Regulierter Broker statt Kryptobörse: Was XTB bietet

Eine Alternative, die nach Wochen wie dieser naheliegt: ein Depot bei einem regulierten Broker, mit Aktien, ETFs und Gold, und Krypto nur als Beimischung. Ein Beispiel ist XTB. Die XTB S.A. steht unter Aufsicht der polnischen Finanzaufsicht KNF, die deutsche Zweigniederlassung zusätzlich unter Aufsicht der BaFin. Kundengelder liegen nach Angaben von XTB getrennt vom Vermögen des Brokers und fallen nicht in dessen Insolvenzmasse; nicht investiertes Geld ist über das polnische Entschädigungssystem KDPW bis 20.100 Euro geschützt. Im Angebot sind Aktien und mehr als 2.300 ETFs, Gold und Kryptowährungen handelst du dort als CFD.

Für Krypto heißt das: Mit einem CFD besitzt du keinen Bitcoin, du kannst ihn nicht auf eine Wallet übertragen und auch nicht selbst verwahren. Du setzt auf den Kurs. Dafür gibt es keine Einzahlungsadresse, die gehackt werden kann. Der Pflichthinweis von XTB, Stand 31. Oktober 2026: CFD sind komplexe Instrumente und beinhalten wegen der Hebelwirkung ein hohes Risiko, schnell Geld zu verlieren. 77 Prozent der Kleinanlegerkonten verlieren Geld beim CFD-Handel mit diesem Anbieter. Überlege, ob du verstehst, wie CFD funktionieren, und ob du es dir leisten kannst, das hohe Risiko einzugehen, dein Geld zu verlieren.

Aktion bis 30. November 2026: Neukunden erhalten bei XTB eine kostenlose Porsche-Vorzugsaktie, begrenzt auf die ersten 5.000. Bedingung sind mindestens 50 Euro Einzahlung binnen 7 Tagen nach der Kontoeröffnung und die Zustimmung zu den Aktionsbedingungen in der App. Dazu kommt bis 31. Dezember 2026 ein Willkommenszins von bis zu 4,5 Prozent pro Jahr auf freies Guthaben bis 20.000 Euro, für die ersten 90 Tage und mit mindestens einer Aktien- oder ETF-Transaktion je Monat. Zur Porsche-Aktion bei XTB (Partnerlink). Wie sich der Broker im Alltag schlägt, steht in unseren XTB Erfahrungen, die Alternativen im Vergleich der Krypto-Broker.

Was Floin-Kunden jetzt tun sollten

1. Nichts an Floin-Adressen senden. Prüfe Sparpläne, Daueraufträge und gespeicherte Auszahlungsadressen bei anderen Börsen und Wallets und lösche Floin-Adressen dort.
2. Vorsicht vor Phishing. Nach Hacks folgen gefälschte Mails mit angeblichen Erstattungsformularen oder Support-Kontakten. Floin informiert nach eigener Aussage nur über die Website und beantwortet keine Einzelanfragen. Gib nirgends deine Wiederherstellungsphrase oder dein Passwort ein.
3. Stand sichern. Lege dir Kontoauszüge, Transaktionsbelege und Screenshots ab, die du schon hast. Du brauchst sie für mögliche Ansprüche und für die Steuererklärung.
4. Passwörter wechseln, wenn du dein Floin-Passwort auch anderswo nutzt, und den Zwei-Faktor-Schutz dort prüfen.
5. Aufsicht kennen. Zuständig für Floin ist die Finanzmarktaufsicht Liechtenstein, dort kannst du dich beschweren.

Wer seit März eine Self-Custody-Wallet in der Floin-App nutzt, hält die Schlüssel nach Floins eigener Beschreibung selbst. Ob diese Wallets vom Angriff betroffen sind, sagt die Mitteilung nicht; die Warnung vor Einzahlungen gilt ohne Unterschied für alle Floin-Wallet-Adressen.

Einordnung: Eine MiCA-Lizenz ist kein Schutzschild gegen Hacks

Eine MiCA-Lizenz belegt, dass ein Anbieter Regeln zu Verwahrung, Kapital und Haftung einhalten muss und beaufsichtigt wird. Sie belegt nicht, dass er nicht angegriffen werden kann. Das gilt für Floin genauso wie für jede große Börse.

Der eigentliche Test für Floin beginnt jetzt: wie schnell das Unternehmen sagt, was passiert ist, ob Kundenwerte betroffen sind und wann Auszahlungen wieder laufen. Je länger diese drei Antworten fehlen, desto mehr spricht für die Aufteilung, die wir nach dem Binance Hack empfohlen haben: Was du handelst, liegt bei einer regulierten Börse, was du langfristig hältst, auf einer eigenen Hardware Wallet, und wer nur am Kurs teilhaben will, kann das auch über ein Depot bei einem Broker tun. CryptoTicker hat Floin am 31. Oktober um eine Stellungnahme zur aktuellen Lage gebeten; sobald sie vorliegt, ergänzen wir sie hier, ebenso neue Angaben auf der Statusseite.

Offenlegung: Der Herausgeber von CryptoTicker hat bei Floin ein Kundenkonto, das nicht aktiv genutzt wird; darüber kam auch die Mitteilung vom 31. Oktober.