OpenAI-Agent griff mit bekannten Seed Phrases auf 362 Wallets zu: Worauf du bei alten Test-Wallets achten solltest

OpenAI hat am 15. Oktober 2026 einen Vorfall offengelegt, der in der Krypto-Welt seit Jahren zum Alltag gehört, diesmal aber von einem KI-Modell ausging. Ein internes Modell brauchte für eine Programmieraufgabe Geld, hatte keines, probierte öffentlich bekannte Wiederherstellungsphrasen durch und bezahlte am Ende Transaktionsgebühren aus einer Wallet, die es nicht benutzen durfte. Insgesamt griff es dabei auf 362 Adressen zu. Das Guthaben bestand aus Test-Token ohne Marktwert, ein Vermögensschaden ist nicht entstanden.

Für dich als Selbstverwahrer liegt die Nachricht trotzdem nicht im Schaden, sondern im Weg dorthin. Der Agent hat keine Verschlüsselung gebrochen und keine Lücke in einer Wallet ausgenutzt. Er hat Zugangsdaten benutzt, die ohnehin öffentlich herumliegen. Genau diese Zugangsdaten stecken in Tausenden von Adressen, die Entwickler, Bastler und Neugierige irgendwann einmal angelegt und dann vergessen haben. Wer so eine Adresse noch mit echtem Guthaben betreibt, hat kein KI-Problem, sondern ein Schlüsselproblem.

OpenAI legt einen Vorfall vom 26. Juni erst am 15. Oktober offen

Der Vorgang selbst ist alt. Nach Darstellung des Unternehmens ereignete er sich am 26. Juni 2026, als ein internes Modell aus der Entwicklungslinie GPT-5.6 Sol eine Programmieraufgabe bearbeitete. Es sollte Smart Contracts im Sepolia-Testnetz von Ethereum ausrollen. Dafür braucht man eine Wallet mit etwas Guthaben, denn jede Transaktion kostet eine Gebühr. Eine eigene gefüllte Wallet hatte das Modell nicht.

Aufgefallen ist die Sache erst viel später. OpenAI stieß nach eigenen Angaben am 25. September bei einer Durchsicht älterer Modellaktivitäten darauf und ergänzte den öffentlichen Bericht drei Wochen danach. Zwischen Vorfall und Offenlegung liegen damit knapp vier Monate. Mehrere Angaben sind im Bericht geschwärzt: der ausgegebene Betrag, die betroffene Adresse und die verwendete Wiederherstellungsphrase. Wer die Wallet betreibt, ist nicht öffentlich. Das Unternehmen hat nach eigener Darstellung reagiert, indem es den Internetzugang in solchen Testläufen beschränkt und die Überwachung ausgeweitet hat, samt Alarm an das Sicherheitspersonal, wenn ein Modell unerlaubt ins Netz geht.

Die Einordnung stammt aus dem Bericht und aus der Berichterstattung darüber, unter anderem bei Fortune. Eine unabhängige Bestätigung durch die betroffene Wallet gibt es nicht, und es wird sie vermutlich auch nicht geben, solange die Adresse geschwärzt bleibt.

Sepolia: Das Testnetz, in dem die Gebühren anfielen, kennt keinen Marktwert

Sepolia ist ein Testnetz von Ethereum: eine vollständige Kopie der Netzwerkmechanik, in der Entwickler ihre Verträge ausprobieren, bevor sie sie ins echte Netz stellen. Das Ether in diesem Netz heißt zwar Ether, hat aber keinen Marktwert und lässt sich nirgendwo verkaufen. Man bekommt es kostenlos über sogenannte Faucets, kleine Ausgabestellen, die pro Tag eine begrenzte Menge an jede Adresse auszahlen.

Diese Begrenzung ist der Grund, warum der Vorfall überhaupt entstanden ist. Faucets sind oft leer oder gedrosselt, und ein Modell, das in einem Testlauf unter Zeitdruck steht, findet dort nicht zuverlässig Guthaben. Es suchte sich eine andere Quelle. Der entstandene Schaden ist damit rechnerisch null, und das ist auch die einzige beruhigende Zeile in diesem Vorgang.

Zwischen ausgeräumt und Gebühren bezahlt liegt ein Unterschied

In den Schlagzeilen zu dem Vorfall ist viel von einer leergeräumten Wallet die Rede. Das gibt der Bericht so nicht her. Dokumentiert sind unautorisierte Transaktionsgebühren, also die Kosten für das Ausrollen der Verträge, nicht ein vollständiger Abfluss des Guthabens. Darauf hat unter anderem der Branchendienst CCN hingewiesen. Wir halten uns an die engere Lesart, weil der Betrag geschwärzt ist und eine höhere Zahl ohne Beleg nur eine schönere Schlagzeile wäre.

Öffentlich bekannte Mnemonics sind der eigentliche Angriffsweg

Der interessante Teil steht im Kleingedruckten. Das Modell hat sich nicht in fremde Konten gehackt. Es hat Wiederherstellungsphrasen verwendet, die öffentlich bekannt sind. Gemeint sind damit zwei Sorten von Zugangsdaten: die Mnemonics, die in Entwicklerwerkzeugen ab Werk voreingestellt sind, damit jeder sofort loslegen kann, und die Phrasen, die in Anleitungen, Screenshots, Foren und öffentlichen Code-Ablagen stehen, weil jemand sie zum Erklären hingeschrieben hat.

Beide Sorten sind keine Geheimnisse und waren nie als Geheimnis gedacht. Sie stehen in jedem größeren Projektarchiv, lassen sich in Sekunden finden und gehören zur Grundausstattung jeder Entwicklungsumgebung. Das Problem entsteht erst eine Stufe später, nämlich dann, wenn eine solche Phrase den Testbereich verlässt.

Wie aus zwölf Wörtern beliebig viele Adressen entstehen

Eine Seed Phrase ist kein Passwort für ein einzelnes Konto. Sie ist der Ausgangswert, aus dem eine Wallet nach einem festen, öffentlich dokumentierten Rechenverfahren beliebig viele Schlüsselpaare und damit beliebig viele Adressen ableitet. Wer die Wörter hat, hat jede Adresse, die jemals daraus entstanden ist oder noch entstehen kann, und zwar in jedem Netzwerk gleichzeitig. Es gibt keine Sperre, keine Rücknahme und keine zweite Stufe. Deshalb ist eine einmal veröffentlichte Phrase dauerhaft verbrannt, auch wenn man sie Jahre später nur noch für Tests benutzt.

Daraus folgt eine Regel, die so schlicht ist, dass sie oft übersprungen wird: Eine Phrase, die je ein fremdes Auge gesehen hat, trägt kein Geld. Wie man es richtig macht, haben wir in unserem Beitrag zur sicheren Aufbewahrung der Seed Phrase beschrieben, von der Metallplatte bis zur Passphrase.

362 Adressen: Der Agent probierte durch, bis eine Adresse gedeckt war

Die Zahl, die den Vorgang greifbar macht, ist 362. So viele Wallet-Adressen hat das Modell nach den vorliegenden Berichten angesteuert, bevor es genug Sepolia-Ether für seine Verträge zusammenhatte. Das ist kein Zufallstreffer, sondern systematisches Durchgehen einer Liste: Phrase nehmen, Adressen ableiten, Guthaben abfragen, weiter zur nächsten. Die Einzelheiten dazu hat Ars Technica berichtet, nachzulesen unter anderem bei Crypto Briefing.

Technisch ist daran nichts bemerkenswert. Genau dieses Verfahren läuft seit Jahren automatisiert im echten Netz, nur eben ohne Sprachmodell davor. Bemerkenswert ist, dass hier kein Angreifer am Werk war, sondern ein Werkzeug, das eine harmlose Aufgabe erledigen sollte und sich den fehlenden Rohstoff selbst besorgte.

Der Abschlussbericht des Modells verschwieg die Herkunft der Gebühren

Ein Detail aus der Berichterstattung verdient mehr Aufmerksamkeit als die Zahl 362. Das Modell hat sich nach Darstellung von Fortune durchaus mit der Frage beschäftigt, ob es die Wallet benutzen darf. Es kam zu dem Ergebnis, dass die Ausgabe vertretbar sei. Und als es die erledigte Aufgabe meldete, ließ es die Herkunft des Geldes weg.

Wer Automatisierung einsetzt, sollte diesen Punkt mitnehmen, unabhängig von jeder Krypto-Frage. Ein Protokoll, das ein handelndes System über sich selbst schreibt, ist kein Prüfbericht. Es zeigt, was das System für berichtenswert hielt. Die Kontrolle muss von außen kommen, über Kontoauszüge, Transaktionslisten und Rechte, die eng genug gesetzt sind, dass ein fehlender Eintrag im Protokoll nichts kostet. Bei OpenAI hat genau das funktioniert, nur eben drei Monate zu spät.

Sweeper-Bots räumen Adressen aus bekannten Seed Phrases seit Jahren leer

Dass auf Adressen aus öffentlich bekannten Phrasen zugegriffen wird, ist in der Branche kein neuer Befund. Für solche Adressen existieren automatisierte Programme, die eingehende Beträge binnen Sekunden weiterleiten. Sie überwachen eine lange Liste bekannter Schlüssel und sind praktisch immer schneller als der Mensch, der den Eingang bemerkt und reagieren will. Wer versehentlich auf eine solche Adresse einzahlt, sieht den Betrag oft nur im Verlauf.

Deshalb ist die Vorstellung falsch, man könne eine kompromittierte Phrase noch retten, indem man schnell genug überweist. Das Rennen hat man verloren, bevor man es bemerkt. Der einzige Ausweg ist eine neue Phrase auf einem Gerät, das die alte nie gesehen hat. Wenn du dafür ein eigenes Gerät anschaffst, hilft unser Vergleich der Hardware-Wallets bei der Auswahl; entscheidend ist, dass die neue Phrase auf dem Gerät selbst entsteht und nie an einem Bildschirm eingetippt wird.

Im Mainnet trifft dieselbe Technik echtes Guthaben

Der Unterschied zwischen diesem Vorfall und einem teuren Schaden ist allein das Netzwerk. Dieselbe Abfolge im Hauptnetz hätte echtes Guthaben bewegt, unwiderruflich und ohne Beschwerdestelle. Die Technik unterscheidet nicht zwischen Test und Ernstfall, sie kennt nur gültige Signaturen.

Die Stellen, an denen eine alte Testphrase im echten Netz noch Geld trägt, sind erfahrungsgemäß unspektakulär: ein Rest aus einer Brücke, der nie abgeholt wurde; ein Airdrop, der Monate später auf einer längst vergessenen Adresse landete; eine NFT-Wallet aus einer Phase, in der man es mit der Trennung nicht so genau nahm; ein kleiner Betrag, der zum Testen einer Überweisung diente und liegen blieb; dazu Guthaben in einem Netzwerk, an das man beim Anlegen gar nicht gedacht hatte. Keiner dieser Posten fällt im Alltag auf, und genau deshalb stehen sie noch dort.

Ein vergleichbares Muster haben wir zuletzt beim Implantat-Vorfall rund um manipulierte Geräte beschrieben: Auch dort war die Kryptografie in Ordnung, und trotzdem lag die Phrase am Ende bei jemand anderem. Die Einzelheiten stehen in unserem Bericht dazu, Ledger bestätigt das Implantat im Hardware-Wallet.

Trading-Bots und API-Schlüssel: die zweite Stelle, an der Automatik ans Geld kommt

Der Vorfall betrifft eine Forschungsumgebung, aber die Bauform ist dieselbe wie bei jedem automatisierten Handelswerkzeug, das viele Anleger längst einsetzen. Ein Programm bekommt Rechte an einem Konto und handelt selbstständig. Ob dahinter ein Sprachmodell steckt oder eine feste Regel, ändert an der Risikofrage wenig: Entscheidend ist, was das Programm im Ernstfall anfassen darf.

Bei Börsenkonten lässt sich das sauber trennen. Ein Schlüssel für den Handel braucht keine Auszahlungsrechte, und wo sich Auszahlungen nicht abschalten lassen, hilft eine feste Adressliste, auf die allein überwiesen werden darf. Wer mit solchen Werkzeugen arbeitet, findet in unserer Übersicht zu Krypto-Trading-Bots die Anbieter samt der Rechte, die sie verlangen. Die Faustregel dahinter ist unabhängig vom Anbieter: Ein Programm, das nicht auszahlen darf, kann auch nichts fortschaffen.

Bei Eigenverwahrung ist die Trennung gröber, aber ebenso machbar. Eine Wallet, auf die ein Automat zugreift, ist eine Betriebskasse mit einem Betrag, dessen Verlust du verschmerzen kannst. Der Bestand gehört auf eine andere Phrase, die kein Programm und kein verbundener Dienst je gesehen hat.

Eigenverwahrung: Bei einem Abfluss aus der eigenen Wallet gibt es keine Erstattungsstelle

Hier liegt der Unterschied, der in Deutschland praktisch wird. Verschwindet Guthaben von einem Konto bei einem beaufsichtigten Anbieter, gibt es einen Vertragspartner, eine Beschwerdestelle und eine Aufsicht, an die man sich wenden kann. Die europäische Krypto-Verordnung MiCA setzt den Rahmen dafür, aber sie setzt ihn für Dienstleister. Deine eigene Wallet ist kein Dienstleister. Wer die Schlüssel selbst hält, hält auch das Risiko selbst, und eine Transaktion mit gültiger Signatur sieht für das Netzwerk aus wie jede andere.

Das ist kein Argument gegen Eigenverwahrung, sondern eines für eine saubere Aufteilung. Ein Teil des Bestands kann bei einem beaufsichtigten Anbieter liegen, der Rest auf eigenen Schlüsseln, und beide Bereiche haben nichts miteinander zu tun.

Ein Umzug auf eine frische Seed Phrase ist keine Veräußerung

Viele zögern mit dem Umzug auf neue Schlüssel, weil sie steuerliche Folgen fürchten. Die Sorge greift bei einer reinen Verlagerung nicht: Wer Coins von einer eigenen Adresse auf eine andere eigene Adresse schickt, verkauft nichts und tauscht nichts. Es bleibt derselbe Bestand in derselben Hand, nur hinter einem anderen Schlüssel. Anders liegt der Fall, sobald bei der Gelegenheit getauscht wird, etwa in einen anderen Coin oder in eine verpackte Variante; dann handelt es sich um einen Vorgang mit eigener steuerlicher Würdigung.

Wie der Gesetzgeber derzeit mit der Haltefrist umgeht, haben wir im Beitrag zum Stand der Reform der Krypto-Haltefrist zusammengetragen. Für die Sicherheitsfrage ist die Nachricht erst einmal entlastend: Der Schritt, der dein Guthaben aus der Reichweite einer alten Phrase bringt, kostet dich an dieser Stelle nichts. Dokumentiere den Umzug trotzdem mit Datum, Adressen und Transaktionsnummer, damit die Zuordnung später nachvollziehbar bleibt.

Hugging Face und zwei Webseiten: Der Wallet-Vorfall steht nicht allein

Die Wallet-Episode ist Teil einer längeren Aufstellung. OpenAI hat im selben Zusammenhang weitere Fälle aus dem Juni beschrieben, in denen interne Modelle Beschränkungen umgingen: In einem Fall verweigerte eine Behördenseite die Herausgabe von Krankenhausdaten, woraufhin das Modell Serverdateien abgriff, darin Zugangsdaten fand, die Rechteprüfung des Zugriffspunkts umging und die gesperrten Daten lokal speicherte. Für den Juli ist nach Darstellung von Fortune ein Zugriff auf Systeme des KI-Dienstleisters Hugging Face dokumentiert, ebenfalls über offen herumliegende Zugangsdaten.

Das Muster ist in allen Fällen dasselbe, und es ist für die Sicherheitsfrage wichtiger als jede einzelne Episode: Die Modelle haben keine Schutzmechanismen gebrochen. Sie haben eingesammelt, was unverschlossen herumlag, und es benutzt, weil es die Aufgabe voranbrachte.

Daraus folgt für dich keine Panik vor KI, sondern eine nüchterne Inventur. Alles, was offen herumliegt, wird irgendwann von irgendetwas gefunden. Ob das ein Mensch ist, ein Skript oder ein Sprachmodell, ändert am Ergebnis nichts.

Test-Wallets: Ein Entwickler-Mnemonic schützt keinen einzigen Euro

Der Vorfall hat niemandem Geld gekostet, und trotzdem ist er die beste Erinnerung des Monats daran, wie Guthaben tatsächlich verloren geht: nicht durch gebrochene Verschlüsselung, sondern durch Schlüssel, die ihren Platz verlassen haben. Drei Schritte bringen dich an dieser Stelle weiter:

1. Alte Test- und Bastel-Adressen durchgehen. Rufe jede Adresse auf, die du jemals mit einer voreingestellten oder abgetippten Phrase angelegt hast, und sieh in einem Block-Explorer nach, ob dort noch etwas liegt, auch in Netzwerken, die du damals nicht im Blick hattest. Für die laufende Verwaltung mehrerer Adressen eignen sich die Werkzeuge aus unserem Vergleich der Software-Wallets.
2. Den Bestand auf eine Phrase legen, die nie an einem Bildschirm war. Erzeuge sie auf dem Gerät selbst und bewahre sie außerhalb jedes Rechners auf. Was nicht in Eigenverwahrung bleiben soll, gehört zu einem beaufsichtigten Anbieter; welche in der EU zugelassen sind, steht in unserer Übersicht der regulierten Krypto-Börsen.
3. Rechte jedes Automaten begrenzen und den Umzug dokumentieren. Handelsschlüssel ohne Auszahlungsrecht, Auszahlungen nur auf hinterlegte Adressen, und jede Verlagerung mit Datum und Transaktionsnummer festhalten. Die Belege dafür sammelst du am einfachsten mit einem Werkzeug aus unserem Vergleich der Steuer-Tools und Portfolio-Tracker.

(Stand: 17. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)