Krypto-Karte: Wo dein Kartenguthaben wirklich liegt und was der Solana-Exploit vom 28. August darüber zeigt

Wenn du mit einer Krypto-Karte bezahlst, liegt das Geld, das die Karte deckt, in vielen Fällen nicht in deiner eigenen Wallet. Es liegt in einem separaten Behälter, den die Kartenplattform betreibt und den du beim Aufladen selbst befüllst. Am 28. August 2026 hat ein Angriff auf genau so einen Behälter gezeigt, was das im Ernstfall bedeutet: Die selbstverwahrten Wallets der Nutzer blieben unberührt, das aufgeladene Kartenguthaben war weg.

Der betroffene Anbieter ist in Deutschland nicht verfügbar. Die Bauweise dahinter aber schon. Dieser Text ordnet den Vorfall ein, erklärt die Begriffe und zeigt dir, woran du erkennst, welches Verwahrmodell deine eigene Karte nutzt und wer im Schadensfall zuständig wäre.

Was am 28. August 2026 im Solana-Kartenvertrag von Avici geschah

Avici ist eine sogenannte Neobank auf der Solana-Blockchain: eine App, die eine Visa-Karte an ein eigenes On-Chain-Konto hängt. Am 28. August 2026 machte der Anbieter öffentlich, dass es ein Problem mit Kartenauszahlungen gebe. Nach der Rekonstruktion von crypto.news fiel die erste bösartige Transaktion um 16:49:48 UTC an, die Berichterstattung setzte am frühen Abend ein.

Betroffen war nach Darstellung des Anbieters nicht das Solana-Netzwerk und auch nicht die App-Wallet der Nutzer, sondern ein einzelner Smart Contract, in dem die Deckung der Karten gehalten wird. Wer sein Guthaben in der App liegen ließ, ohne es auf die Karte zu laden, stand außerhalb des Angriffs. Wer aufgeladen hatte, stand darin.

Wie der Angriff technisch ablief

Der Angreifer nutzte nach der Darstellung von Cryptopolitan die Auszahlungslogik des in Rust geschriebenen Programms, indem er nacheinander die Funktionen SubmitSignatures, AddCollateralAdmin und WithdrawCollateralAsset aufrief. Der mittlere Schritt ist der entscheidende: Damit trug sich der Angreifer selbst als berechtigter Verwalter der Sicherheiten ein und konnte anschließend regulär abheben, was hinterlegt war.

Der Vorgang war kein einzelner Griff. Nach der Aufstellung, die Avici später veröffentlichte, umfasste die Angriffsserie 14.672 Transaktionen, von denen 2.344 fehlschlugen. Das spricht für ein automatisiertes Skript, das den Vertrag über Stunden systematisch abarbeitete, und nicht für einen einmaligen Fehlgriff.

Kartenguthaben-Vertrag: Was das ist und warum er nicht deine Wallet ist

Ein Kartenguthaben-Vertrag ist ein eigenständiges Programm auf einer Blockchain, in das du Guthaben überweist, damit eine Zahlkarte darauf zugreifen kann. Sobald du auflädst, verlässt das Geld deine Wallet und liegt in diesem Vertrag, bis eine Kartenzahlung abgerechnet wird oder du es zurückholst.

Der Unterschied zur Wallet ist praktisch und nicht theoretisch. Deine Wallet schützt ein Schlüssel, den nur du hast. Der Kartenvertrag hat eine eigene Zugriffslogik, meist mit Rollen für den Betreiber, damit Abrechnungen überhaupt funktionieren. Wer diese Rollenverwaltung aushebelt, kommt an das Guthaben aller Nutzer, ohne einen einzigen privaten Schlüssel zu kennen.

Genau das ist bei Avici passiert. Die selbstverwahrten Solana- und EVM-Wallets der App blieben nach Angaben des Anbieters unberührt. Angegriffen wurde ausschließlich der separate Vertrag, in den Nutzer Mittel für die Karte übertragen hatten. Die verbreitete Vorstellung, ein selbstverwahrtes Produkt sei automatisch als Ganzes selbstverwahrt, trägt an dieser Stelle nicht.

Wie hoch der Schaden war: Warum 500.000 und 1,07 Millionen Dollar beide stimmen können

Zum Umfang kursieren zwei Größenordnungen, und beide haben eine nachvollziehbare Grundlage. crypto.news zählte am Tag des Vorfalls einen Abfluss von 10.005,03 SOL sowie rund 11.600 US-Dollar in USDC und USDT, zusammen etwa 1,07 Millionen US-Dollar zum damaligen Kurs. Avici selbst nannte nach der internen Abstimmung 1.685 betroffene Nutzer und 500.859,22 US-Dollar an Kartenguthaben.

Die Spanne von rund 0,5 bis 1,07 Millionen US-Dollar löst sich auf, wenn man auf die Bezugsgröße achtet. Die höhere Zahl misst, was an Vermögenswerten aus dem Vertrag abgeflossen ist. Die niedrigere misst, was davon einzelnen Kundenkonten als Kartenguthaben zugeordnet werden konnte. Beide Zahlen stammen aus unterschiedlichen Zählweisen, und keine davon ist die "richtige" im Sinne der jeweils anderen.

Für dich als Leser ist die Lehre daraus wichtiger als die genaue Summe: In den ersten Stunden eines solchen Vorfalls stehen On-Chain-Schätzungen und spätere Abstimmungen des Anbieters nebeneinander, und sie werden selten deckungsgleich. Wer in dieser Phase Entscheidungen trifft, sollte wissen, welche der beiden Zahlen er gerade vor sich hat.

Rain als Kartenausgeber: Welche Rolle die Infrastruktur im Hintergrund spielt

Auf der Karte steht der Name der App. Ausgegeben und technisch betrieben wird sie in aller Regel von einem spezialisierten Kartenausgeber im Hintergrund. Bei Avici ist das die Firma Rain, die Kartenprogramme für Unternehmen bereitstellt und dafür eigene Verträge auf mehreren Blockchains unterhält.

Rain hat den Fehler nach Darstellung der beteiligten Unternehmen selbst lokalisiert und ihn einer veralteten Version seiner Solana-Verträge zugeordnet, die neben Avici von einer kleinen Zahl weiterer Programme genutzt worden sei. Nach Angaben des Unternehmens wurden anschließend alle noch auf dieser Version laufenden Bereitstellungen aktualisiert und externe Forensiker eingeschaltet. Welche weiteren Programme betroffen waren und ob dort Schaden entstand, ist nicht öffentlich benannt worden.

Avici hat zugesagt, alle betroffenen Kartenguthaben vollständig zu erstatten, und nach eigenen Angaben Anzeige beim Internet Crime Complaint Center des FBI erstattet. Ob und wann Erstattungen tatsächlich vollzogen sind, lässt sich von außen nicht prüfen; die Zusage ist eine Ankündigung des Unternehmens und keine erfüllte Tatsache.

Warum Jupiter die Kartenauszahlungen vorsorglich stoppte

Am selben Tag pausierte auch das Kartenprogramm der Solana-Handelsplattform Jupiter kurzzeitig die Auszahlung von Kartenguthaben. Die Plattform begründete das als Vorsichtsmaßnahme, während der Kartenpartner eigene Sicherheitsprüfungen abschloss, und stellte fest, dass Konten und Mittel der eigenen Nutzer zu keinem Zeitpunkt betroffen gewesen seien. Die Auszahlungen liefen danach wieder normal.

Diese Episode ist aufschlussreicher, als sie zunächst wirkt. Der kurze Stopp zeigt, dass ein Fehler in einer gemeinsam genutzten Vertragsversion mehrere Kartenprogramme gleichzeitig erreicht, auch solche, bei denen am Ende nichts abfließt. Die Karte in deiner Hand kann von einem Anbieter kommen, dessen Software du nie ausgewählt hast.

Was ein vorsorglicher Auszahlungsstopp für dich bedeutet

Ein solcher Stopp ist im Ergebnis eine vorübergehende Sperre deines Kartenguthabens. Das Geld ist nicht verloren, aber es ist für die Dauer der Prüfung nicht verfügbar. Wer den gesamten Monatsbedarf auf einer Krypto-Karte parkt, merkt den Unterschied zu einem Girokonto genau in dieser Situation.

Welche Krypto-Karten dieses Modell nutzen und wo Rain überhaupt ausgibt

Für deutsche Leser ist die Verfügbarkeitsfrage der erste Filter, und sie fällt für die beiden genannten Programme klar aus. Die Dokumentation von Avici führt 47 Gebiete auf, in denen die Karte nutzbar ist, darunter Länder in Lateinamerika, Afrika, Asien und einzelne US-Bundesstaaten. Europa, der Europäische Wirtschaftsraum und Deutschland kommen weder in der Freigabe- noch in der Verbotsliste vor. Auch die Jupiter-Karte, die je nach Wohnsitzland von Rain oder von DCS ausgegeben wird, führt den EWR nicht unter den unterstützten Regionen.

Das Modell selbst ist in Deutschland trotzdem verfügbar. Die Karte von ether.fi etwa wird ebenfalls über Rain ausgegeben, hält das Guthaben in einem Smart-Contract-Vault, den der Nutzer kontrolliert, und rechnet auf dem Ethereum-Layer-2 Scroll ab. Die Hilfeseite des Anbieters führt zwanzig nicht unterstützte Länder auf, darunter Estland, Finnland, die Niederlande und Ungarn; Deutschland steht nicht darauf. Weil dieses Programm nicht auf Solana abrechnet, fällt es nicht unter die Vertragsversion, um die es bei Avici ging.

Wer sich in dieser Produktgruppe umsieht, findet nebeneinander Karten mit ganz unterschiedlicher Mechanik. Welche Modelle es gibt und wie sich Gebühren und Cashback unterscheiden, steht im Ueberblick zu Krypto-Kreditkarten. Die Verwahrfrage ist dort nur eine von mehreren, aber sie ist die, die im Schadensfall über die Zuständigkeit entscheidet.

MiCA und E-Geld-Lizenz: Welche Regeln für ein Kartenguthaben in Europa gelten

In der EU ist eine Zahlkarte mit aufgeladenem Guthaben im Regelfall ein E-Geld-Produkt. Der Herausgeber braucht dafür eine Erlaubnis als E-Geld-Institut, muss Kundengelder von seinem eigenen Vermögen trennen und sie bei einer Bank oder in sicheren Anlagen halten. Kommt Krypto ins Spiel, tritt seit dem Ende der MiCA-Uebergangsfrist am 1. Juli 2026 die Erlaubnis als Kryptowerte-Dienstleister hinzu.

Wichtig ist der Unterschied zur Einlagensicherung: Getrennte Verwahrung heißt, dass Kundengelder in der Insolvenz des Anbieters nicht in die Masse fallen. Das heißt nicht, dass ein staatlicher Sicherungsfonds für Verluste einspringt, wie es bei Bankguthaben bis 100.000 Euro der Fall ist. Beides wird in der Werbung für Zahlkarten regelmäßig durcheinandergebracht.

Liegt dein Kartenguthaben dagegen in einem On-Chain-Vertrag, greift diese Ordnung so nicht. Dann gibt es kein verwahrtes Kundengeld bei einem Institut, sondern Vermögenswerte in einem Programm, dessen Sicherheit vom Code und von der Rollenverwaltung abhängt. Erstattung ist in diesem Fall eine Frage der Kulanz und der vertraglichen Zusage des Anbieters, wie der Fall Avici zeigt, und nicht eine Frage des Aufsichtsrechts.

Verwahrtes Konto oder On-Chain-Vertrag: Die zwei Modelle im Ueberblick

Beim ersten Modell lädst du eine Karte auf, dein Krypto wird beim Aufladen oder bei der Zahlung verkauft, und was auf der Karte liegt, ist elektronisches Geld bei einem lizenzierten Herausgeber. Der Anbieter führt ein Konto für dich, die Aufsicht schaut auf die Trennung der Kundengelder, und im Streitfall hast du einen benannten Vertragspartner mit Erlaubnis.

Beim zweiten Modell überweist du Krypto in einen Vertrag, der als Sicherheit oder als Guthaben für die Karte dient. Der Reiz liegt darin, dass du die Kontrolle länger behältst und Vermögenswerte nicht verkaufen musst, um zahlungsfähig zu sein. Der Preis liegt darin, dass die Sicherheit dieses Vertrags zu deinem Risiko wird, und zwar unabhängig davon, wie gut du deine eigenen Schlüssel verwahrst.

Es gibt Mischformen. Manche Anbieter halten das Guthaben in Fiat bei einem Institut und lassen dich zusätzlich Krypto als Sicherheit hinterlegen. Andere wandeln erst im Moment der Zahlung um. Welche Variante vorliegt, steht in den Bedingungen, und dort lohnt der Blick mehr als in die Produktbeschreibung auf der Startseite.

Steuer beim Bezahlen mit der Krypto-Karte: Warum jede Zahlung eine Veräußerung sein kann

Unabhängig vom Verwahrmodell hat das Bezahlen mit Krypto in Deutschland eine steuerliche Seite, die viele erst bei der Steuererklärung entdecken. Wird bei der Kartenzahlung oder beim Aufladen Krypto in Euro getauscht, ist das ein Veräußerungsvorgang im Sinne des Privatvermögens. Ob daraus ein steuerpflichtiger Gewinn wird, hängt von Haltedauer, Anschaffungskosten und Freigrenze ab.

Praktisch heißt das: Eine Karte, die bei jedem Einkauf einen kleinen Betrag umwandelt, erzeugt viele einzelne Vorgänge, die dokumentiert werden wollen. Wer das nicht laufend erfasst, steht am Jahresende vor einer Rekonstruktion aus Kontoauszügen und Blockchain-Daten. Modelle, bei denen du gegen hinterlegte Sicherheiten zahlst statt zu verkaufen, verhalten sich steuerlich anders; hier lohnt eine Einordnung im Einzelfall, weil es auf die konkrete Vertragsgestaltung ankommt.

In zehn Minuten geprüft: So findest du heraus, welches Modell deine Karte nutzt

Die folgenden Fragen beantwortest du für deine eigene Karte aus den Unterlagen des Anbieters, nicht aus dem Gedächtnis.

Erstens: Wer gibt die Karte heraus? In den Bedingungen steht ein Institut mit Sitz und Erlaubnis. Steht dort ein E-Geld-Institut aus dem EWR, spricht das für das erste Modell. Steht dort ein Infrastrukturanbieter ohne Erlaubnisangabe, lies weiter.

Zweitens: Was passiert beim Aufladen? Wird dein Krypto in Euro oder US-Dollar umgewandelt und als Guthaben geführt, liegt E-Geld vor. Bleibt es als Krypto stehen und wird als Sicherheit bezeichnet, arbeitest du mit einem On-Chain-Vertrag.

Drittens: Steht in den Bedingungen ein Vertrag mit Adresse? Anbieter des zweiten Modells nennen die Vertragsadresse oder einen Vault. Das ist ein verlässliches Erkennungszeichen.

Viertens: Wie wird bei Störungen erstattet? Suche in den Bedingungen nach den Wörtern Haftung, Erstattung und Ausschluss. Ein Anbieter, der Verluste durch Fehler in Smart Contracts ausdrücklich ausschließt, sagt dir damit, wo dein Risiko liegt.

Fünftens: Wie viel liegt überhaupt auf der Karte? Ein Kartenguthaben ist Bargeld in der Jackentasche und kein Depot. Wer nur den Bedarf der nächsten Wochen auflädt, begrenzt den möglichen Schaden auf einen Betrag, den er verkraftet.

Wenn du bei dieser Prüfung auf Freigaben und Signaturen stößt, die du bestätigen sollst, lies vorher genau, was du freigibst. Wie sich eine missbräuchliche Freigabe erkennen lässt, steht ausführlich in unserer Anleitung zu Wallet-Drainern und Signatur-Freigaben.

Krypto-Karte und Kartenguthaben: Was du daraus mitnimmst

Der Vorfall vom 28. August betrifft dich als deutschen Kartennutzer nicht direkt, weil die beiden benannten Programme hier nicht verfügbar sind. Die Bauweise, die den Schaden erst möglich gemacht hat, findest du aber auch in Karten, die du hierzulande bekommst. Drei Schritte bringen dich weiter:

1. Kartenmodell bestimmen. Nimm die Bedingungen deiner Karte und beantworte die fünf Fragen aus dem vorigen Abschnitt. Wenn du dabei feststellst, dass die Karte nicht zu deiner Nutzung passt, findest du die Alternativen im Ueberblick zu Krypto-Kreditkarten.
2. Guthaben und Verwahrung trennen. Halte auf der Karte nur, was du in den nächsten Wochen ausgibst, und lass den Rest dort, wo du die Schlüssel kontrollierst. Welche Wallet dafür taugt, zeigt der Vergleich der Software-Wallets.
3. Zahlungen steuerlich mitschreiben. Erfasse Aufladungen und Umwandlungen laufend statt einmal im Jahr. Welche Werkzeuge das automatisiert erledigen, steht im Ueberblick zu Krypto-Steuer-Tools und Portfolio-Trackern.

(Stand: 30. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)