Zcash heute: 2.746 ZEC aus dem Bitget-Hack verschwinden im Ironwood-Pool

Ein Teil der Beute aus dem Einbruch bei der Börse Bitget ist seit heute Vormittag nicht mehr nachvollziehbar. Am Mittwochvormittag wanderten 2.746 ZEC in drei Überweisungen nach Ironwood, den neuesten abgeschirmten Speicher von Zcash. Das sind nach dem Kurs von Mittwochmittag rund 3,9 Millionen Dollar und etwa 15 Prozent der ZEC, die am 24. September von der Börse abflossen. Für deinen eigenen Bestand folgt daraus zunächst nichts: Wer ZEC im eigenen Wallet hält, ist von diesen Überweisungen nicht betroffen. Die praktische Frage liegt woanders, und sie betrifft jeden, der ZEC über ein Börsenkonto kauft oder verkauft.

Gemeldet hat die Bewegung der pseudonyme Blockchain-Ermittler ZachXBT, der die drei Überweisungen am Mittwoch über seinen Telegram-Kanal öffentlich machte. CoinDesk hat sie anschließend anhand der Transaktionsdaten nachgezeichnet. Die Mittel kamen demselben Bericht zufolge über zwei Zwischenadressen, gespeist aus einer Wallet, die Bitget selbst dem Angreifer zugeordnet hatte.

2.746 ZEC in drei Überweisungen: der Weg in den Ironwood-Pool

Die Zahlen liegen eng beieinander, gehen aber je nach Quelle leicht auseinander. CoinDesk nennt 2.746 ZEC in drei Einzahlungen und rund 3,9 Millionen Dollar. Cryptobriefing spricht von etwa 2.700 ZEC und rund 3,8 Millionen Dollar. Beide Häuser rechnen denselben Vorgang, nur zu leicht verschiedenen Kursständen und mit unterschiedlicher Rundung. Nimm deshalb die Spanne: zwischen 2.700 und 2.750 ZEC, zwischen 3,8 und 3,9 Millionen Dollar.

Auch bei der Gesamtmenge der gestohlenen ZEC unterscheiden sich die Angaben geringfügig. CoinDesk kommt auf etwa 18.917 ZEC, Cryptobriefing auf rund 18.900 ZEC im Gegenwert von etwa 28 Millionen Dollar. In beiden Fällen ergibt der abgeschirmte Teil ungefähr jenes Siebtel, das die Berichte als 15 Prozent ausweisen.

Wichtig für das Verständnis ist die Reihenfolge. Die ZEC lagen nach dem Einbruch auf gewöhnlichen, für jeden einsehbaren Adressen. Erst der Schritt nach Ironwood verändert die Lage, und er betrifft bisher nur einen kleinen Teil der Summe.

Was eine transparente Adresse von einer abgeschirmten unterscheidet

Zcash kennt zwei Arten von Adressen. Eine transparente Adresse funktioniert wie eine Bitcoin-Adresse: Betrag, Absender und Empfänger stehen offen in der Kette und lassen sich von jedem Beobachter mitlesen. Eine abgeschirmte Adresse gehört dagegen zu einem sogenannten Shielded Pool, in dem genau diese drei Angaben verschlüsselt sind. Solange ein Guthaben im Pool bleibt, ist von außen nur zu sehen, dass überhaupt etwas hineingegangen ist.

Shielded Pool erklärt: Ironwood verbirgt Sender, Empfänger und Betrag

Ein Shielded Pool ist ein abgeschirmter Bereich innerhalb derselben Blockchain, in dem Überweisungen zwar stattfinden und kryptografisch geprüft werden, ihre Einzelheiten aber nicht öffentlich sichtbar sind. Ironwood ist nach der Beschreibung von CoinDesk der neueste dieser Bereiche bei Zcash. Überweisungen innerhalb des Pools verbergen Absender, Empfänger und Betrag zugleich.

Zcash hat diese Bereiche über die Jahre mehrfach erneuert; Ironwood ist der jüngste davon, ältere Pools bestehen daneben weiter. Für den aktuellen Fall zählt nur eine Eigenschaft: Sobald ein Betrag im Pool liegt, gibt die Kette selbst keinen Weg mehr her, ihn seinem Ursprung zuzuordnen.

Das ist kein Fehler und kein Schlupfloch, sondern der erklärte Zweck der Technik. Zcash ist 2016 ausdrücklich als Währung mit verschlüsselten Zahlungsdaten gestartet. Dieselbe Eigenschaft, die einem Lohnempfänger seine Gehaltshöhe verbirgt, verbirgt einem Angreifer die Herkunft seiner Beute.

Warum 15 Prozent der ZEC-Beute genügen, um die Spur zu brechen

Ermittler arbeiten bei gestohlenen Kryptowerten normalerweise mit der Kette selbst: einer Summe von Adresse zu Adresse folgen, Aufteilungen und Zusammenführungen erkennen und warten, bis ein Teilbetrag bei einer Börse eintrifft, die ihre Kunden kennt. Genau an dieser Stelle lässt sich Geld einfrieren. Wie gut das funktioniert, hat sich in diesem Fall bereits gezeigt: Ein anderes Protokoll hat nach eigenen Angaben 50 Millionen Dollar aus derselben Beute gesperrt, bevor sie abfließen konnten.

Im Shielded Pool bricht diese Arbeitsweise ab. Es gibt keine Folgeadresse, die sich beobachten ließe, und keinen Betrag, der sich wiedererkennen ließe. Ganz verloren ist die Spur damit nicht. CoinDesk verweist darauf, dass Ermittler bei einer späteren Rückkehr auf transparente Adressen über Zeitpunkte, Betragsgrößen und weitere Nebendaten wieder ansetzen können. Innerhalb des Pools gibt Zcash von sich aus jedoch keinen Transaktionspfad heraus.

Für die Beteiligten läuft daraus ein Wettlauf. Jeder Betrag, der noch offen liegt, kann bei einem Dienstleister auflaufen und dort gestoppt werden. Jeder Betrag, der abgeschirmt ist, entzieht sich diesem Zugriff bis auf Weiteres.

Rund 24 Millionen Dollar liegen noch auf transparenten Adressen

Der Rest der ZEC ist dem Bericht von Cryptobriefing zufolge weiterhin einsehbar: etwa 24 Millionen Dollar auf transparenten Adressen, Stand der Berichterstattung am Mittwoch. Das ist der weit größere Teil, und er bleibt beobachtbar. Ob er denselben Weg nimmt, ist offen; belegt ist bisher nur der eine Schritt von heute Vormittag.

Diese Aufteilung erklärt auch, warum die Meldung trotz des vergleichsweise kleinen Betrags Gewicht hat. Das Gewicht liegt nicht im Betrag. Es liegt im Nachweis, dass der Weg in den abgeschirmten Speicher offensteht und benutzt wird.

Der Einbruch vom 24. September: 387,5 Millionen Dollar über eine Zero-Day-Lücke

Der Vorfall, aus dem diese ZEC stammen, liegt sechs Tage zurück. Am 24. September flossen nach den vorliegenden Berichten Werte von 387,5 Millionen Dollar aus Wallets der auf den Seychellen ansässigen Börse Bitget ab. Als Ursache nennen die Berichte eine Zero-Day-Lücke in einer zugekauften Sicherheitssoftware, verbunden mit übernommenen internen Zugangsdaten, über die sich Auszahlungsbefehle auslösen ließen.

Eine Zero-Day-Lücke ist eine Schwachstelle, die den Angreifern bekannt ist, dem Hersteller aber noch nicht, sodass es zum Zeitpunkt des Angriffs keine Korrektur gibt. Bemerkenswert ist der Ort der Lücke: ein zugeliefertes Produkt, nicht der eigene Code der Börse. Die Angriffsfläche eines Handelsplatzes endet also nicht an seiner eigenen Software.

Der größte Einzelposten war nach Angaben von Cryptobriefing XRP mit rund 157 Millionen Dollar, dazu kamen ETH, USDT, USDC, BNB, AVAX und TRX. Die ZEC machen mit etwa 28 Millionen Dollar einen kleineren Teil aus, stehen jetzt aber im Mittelpunkt, weil nur sie die abgeschirmte Ausweichmöglichkeit bieten.

Zum Umgang der Börse mit dem Schaden und zu den Kundenabflüssen in den Tagen danach haben wir die Zahlen in einem eigenen Text zusammengetragen. Bitget selbst gibt an, der Verlust sei vom eigenen Schutzfonds gedeckt, der über 464 Millionen Dollar halte.

Gracy Chen schreibt den Angriff nordkoreanischen Akteuren zu

Die Zuschreibung stammt von der Börse selbst. Bitget-Geschäftsführerin Gracy Chen führt den Angriff auf Akteure mit Verbindung nach Nordkorea zurück und begründet das mit Verhaltensmustern und IP-Adressen, die früheren Angriffen mit Nordkorea-Bezug entsprächen. Auch ZachXBT ordnet die Angreifer in diese Richtung ein.

Das ist eine Einschätzung der Geschädigten und eines Ermittlers, keine gerichtliche oder behördliche Feststellung. Eine unabhängige Bestätigung liegt bisher nicht vor, und der Kreis der genannten Akteure ist nicht namentlich benannt. Für die Bewertung des Vorgangs ändert die Herkunftsfrage ohnehin wenig: Der technische Ablauf und die Folgen für die Rückverfolgung sind dieselben.

Artikel 79 der EU-Geldwäscheverordnung nimmt Privacy Coins von den Börsen

Für dich als Anleger in Deutschland hat der Fall einen Anschluss, der über die Nachricht hinausreicht. Die EU-Geldwäscheverordnung, Verordnung (EU) 2024/1624, gilt ab dem 10. Juli 2027. Ihr Artikel 79 verbietet den erfassten Unternehmen, Konten zu führen, die den Inhaber oder die Vorgänge verschleiern, und benennt dabei ausdrücklich Kryptowerte mit erhöhter Anonymität.

In der Praxis heißt das: Regulierte Anbieter in der EU dürfen ZEC und vergleichbare Werte dann nicht mehr anbieten. Was dabei genau wegfällt und was bleibt, haben wir in unserem Text zum EU-Handelsverbot für Zcash auseinandergenommen. Erste Häuser haben den Schritt vorweggenommen: Binance hat Monero aus dem Angebot genommen und sich dabei auf die regulatorische Ausrichtung berufen, Kraken hat den Zugang zu vergleichbaren Werten in der EU eingeschränkt.

Was ein CASP ist und warum der Begriff hier zählt

CASP steht für Crypto-Asset Service Provider, also einen Anbieter von Kryptowerte-Dienstleistungen mit Zulassung in der EU. Jede Börse, jeder Broker und jeder Verwahrer, den du in Deutschland legal nutzen kannst, fällt darunter. Die Pflichten aus Artikel 79 treffen genau diese Unternehmen, nicht dich als Privatperson. Wenn du dabei vergleichen willst, welche Häuser unter deutscher und europäischer Aufsicht arbeiten, hilft unsere Übersicht der regulierten Kryptobörsen.

ZEC bei 1.284 Euro: 13,8 Prozent Minus in sieben Tagen

Der Kurs hat auf die Meldung bisher kaum reagiert. ZEC notiert am Mittwochmittag bei 1.284 Euro beziehungsweise 1.460 Dollar, ein Plus von etwa einem Prozent binnen eines Tages. Auf Wochensicht steht dagegen ein Minus von 13,8 Prozent, gemessen in Dollar. Zcash liegt damit auf Rang neun nach Marktkapitalisierung.

Ein Zusammenhang zwischen der Abschirmung und dem Kurs lässt sich aus diesen Zahlen nicht ableiten. Der Wochenverlust setzte vor der heutigen Meldung ein, und die Menge von 2.746 ZEC ist im Verhältnis zum täglichen Handelsvolumen klein. Wer den Kurs im Blick behalten will, sollte die Abschirmung als Nachricht über die Nachverfolgbarkeit lesen, nicht als Angebots- oder Nachfragesignal.

Börsen behandeln ZEC-Einzahlungen aus abgeschirmten Adressen strenger

Hier liegt der Punkt, an dem der Fall dich praktisch berührt. Viele Handelsplätze prüfen eingehende Zahlungen darauf, woher sie kommen. Eine Einzahlung, deren Vorgeschichte sich nicht nachvollziehen lässt, ist für eine Compliance-Abteilung schwer einzuordnen, und abgeschirmtes Guthaben ist genau das. Manche Häuser nehmen Einzahlungen von abgeschirmten Adressen deshalb gar nicht an, andere verlangen Nachweise zur Herkunft, bevor sie das Guthaben freigeben.

Daraus folgt eine schlichte Vorsichtsregel, die nichts mit diesem Angriff zu tun hat und trotzdem an ihm sichtbar wird: Wenn du ZEC auf eine Börse überweisen willst, kläre vorher, aus welcher Adressart deine Zahlung stammt und ob dein Anbieter sie annimmt. Und wenn du ZEC von einer Börse abziehst, notiere dir den Vorgang samt Datum und Betrag, solange die Börse dir die Daten noch anzeigt. Für die Dokumentation von Kauf- und Verkaufszeitpunkten, die du für die Haltefrist brauchst, gibt es Steuer- und Portfolio-Werkzeuge, die das automatisch mitschreiben.

Selbstverwahrung bleibt erlaubt, die Börsennotierung nicht

Ein verbreitetes Missverständnis gehört an dieser Stelle ausgeräumt. Die EU-Regel ab Juli 2027 verbietet dir nicht, Zcash zu besitzen. Untersagt wird den regulierten Anbietern, es weiter zu führen. Halten, selbst verwahren und direkt an eine andere Person übertragen bleibt zulässig. Was wegfällt, ist der bequeme Weg über ein Konto bei einem europäischen Anbieter.

Wer ZEC über 2027 hinaus behalten will, landet damit fast zwangsläufig bei der eigenen Verwahrung. Welches Gerät dafür taugt, welche Modelle Zcash überhaupt unterstützen und was sie kosten, steht in unserem Hardware-Wallet-Vergleich. Wichtig ist dabei die Unterstützung für abgeschirmte Adressen: Nicht jedes Gerät und nicht jede Wallet-Software kann mit ihnen umgehen, und ein Gerät, das nur transparente Adressen kennt, nimmt dir die Eigenschaft, um die es bei Zcash geht.

Der Zeitrahmen ist großzügig. Bis Juli 2027 sind es mehr als 21 Monate, und es besteht kein Anlass zur Eile. Anlass besteht dagegen, den Umzug nicht auf die letzten Wochen zu legen, weil dann alle gleichzeitig kommen.

Zcash und der Ironwood-Pool: So gehst du jetzt vor

1. Kläre, wo dein ZEC liegt und in welcher Adressart. Guthaben auf einem Börsenkonto gehört dir nur als Forderung gegen die Börse, und genau diese Forderung fällt unter die Regel ab Juli 2027. Wenn du auf Selbstverwahrung wechseln willst, prüfe im Hardware-Wallet-Vergleich, welches Gerät abgeschirmte Zcash-Adressen unterstützt.
2. Sieh nach, unter welcher Aufsicht dein Anbieter steht. Wer bereits bei einem in der EU zugelassenen Haus liegt, erfährt Einschränkungen früh und geordnet, meist mit Fristen und einer Umtauschmöglichkeit. Die Übersicht der regulierten Kryptobörsen zeigt, wer dazugehört.
3. Sichere deine Kaufbelege, bevor du etwas bewegst. Für die einjährige Haltefrist nach Paragraf 23 Einkommensteuergesetz zählt der Anschaffungszeitpunkt, und ein Umzug ins eigene Wallet ist kein Verkauf. Nachweisen musst du das trotzdem können, weshalb ein Steuer- und Portfolio-Tracker die Daten vor dem Umzug einlesen sollte.

Was von heute bleibt, ist ein Beleg und keine Vermutung: Der Weg in den abgeschirmten Speicher ist offen, er wird benutzt, und er entzieht den betroffenen Betrag der Verfolgung über die Kette. Der größere Teil der gestohlenen ZEC liegt weiterhin sichtbar. Für deinen Bestand ändert sich heute nichts, für die Frage, wo du ZEC in zwei Jahren hältst, umso mehr.

Quellen zum Nachlesen: der Bericht von CoinDesk zu den drei Überweisungen und der Text der Verordnung (EU) 2024/1624 mit Artikel 79.

(Stand: 30. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)