D’CENT App Wallet: Sicherheitsvorfall und neue Warnung für Nutzer

Der südkoreanische Wallet-Hersteller IoTrust hat am 16. September 2026 vor unbefugten Vermögensabflüssen bei der D’CENT App Wallet gewarnt und am 17. September einen vorläufigen Vorfallbericht zur App-Wallet veröffentlicht. Eine abschließend bestätigte technische Ursache liegt bislang nicht vor, der Kreis der Betroffenen ist aber eingegrenzt: Handeln muss, wer die App vor dem 5. November 2025 installiert und mit der App-Wallet in einer Version vor 8.1.0 Transaktionen signiert hat. Hier findest du die Chronologie, den offiziellen Betroffenheitscheck, die Übertragungsanleitung mit ihren Stolperstellen und die Einordnung für die eigene Verwahrung.

Anzeige · Transparenzhinweis: alarm.de arbeitet mit mehreren Hardware-Wallet-Herstellern als Partner zusammen, auch mit D’CENT. Für diesen Beitrag gibt es keine Werbebuttons zu D’CENT. Die verlinkten Produktnamen in der Tabelle sind Partnerlinks; bei einem Kauf kann eine Provision entstehen.

Was über den Vorfall bekannt ist

IoTrust, das Unternehmen hinter der Marke D’CENT, meldete am 16. September 2026 über seinen offiziellen Kanal, man habe ungewöhnliche Vermögensbewegungen im Zusammenhang mit der D’CENT App Wallet festgestellt und eine dringende Untersuchung eingeleitet. Nach den ersten Erkenntnissen beschränke sich das Problem auf die App-Wallet. Eine Auswirkung, die von den Hardware-Wallets selbst ausgeht, sei bislang nicht bestätigt.

Am 17. September veröffentlichte das Unternehmen einen vorläufigen Vorfallbericht zur App-Wallet, der den Stand der bis dahin bestätigten Fakten beschreibt. Danach arbeitet IoTrust mit Strafverfolgungsbehörden, Sicherheitsfachleuten, den Teams der betroffenen Netzwerke und Börsen zusammen, um die Mittelflüsse nachzuverfolgen und ein Einfrieren zu erreichen. Ob und wann Vermögenswerte eingefroren oder zurückgeholt werden können, hängt vom weiteren Verlauf ab. Die technische Analyse zu Ursache und möglichem Umfang läuft.

Zur Zahl der betroffenen Nutzer und zum Gesamtschaden hat der Hersteller keine Angaben gemacht. Nach seiner Darstellung gibt es bis heute keinen Hinweis darauf, dass die App selbst oder die darin verwendete PIN beziehungsweise das Passwort kompromittiert wurden; PINs, Passwörter und Wiederherstellungsphrasen werden nach Unternehmensangaben nicht auf Servern gespeichert.

Chronologie des Vorfalls

← Tabelle seitlich scrollen →

Stand der Auswertung zum Zeitpunkt der Veröffentlichung; die Lage entwickelt sich.

Die Anweisungen des Herstellers im Überblick

← Tabelle seitlich scrollen →

Zusammengefasst aus den Mitteilungen des Herstellers vom 16. und 17. September 2026. Version 8.1.0 erschien am 5. November 2025 gegen 07:40 Uhr UTC.

Betroffenheit prüfen: der offizielle Weg in der App

Der schnellste Weg führt über die App selbst. Beim Start erscheint ein Sicherheitshinweis mit der Schaltfläche „Check if action is needed“. Die App prüft damit die Adressen der registrierten App-Wallet:

1. Offizielle D’CENT-App öffnen und im Sicherheitshinweis auf „Check if action is needed“ tippen. Der Hinweis erscheint nach Herstellerangabe nur, wenn auf dem Gerät eine App-Wallet registriert ist – wer ausschließlich eine Hardware-Wallet eingerichtet hat, sieht ihn nicht.
2. Ergebnis lesen: Bei „Asset transfer action required“ die Übertragung nach Herstelleranleitung durchführen.
3. Unklares Ergebnis: Lautet die Antwort sinngemäß, dass sich die Betroffenheit nicht bestätigen lässt, prüfe Installationszeitpunkt und Nutzung manuell. Auf dem iPhone lässt sich der erste Download über die Kauf- beziehungsweise Downloadhistorie mit weitem Zeitraum nachsehen; bei Google Play ist das Erstinstallationsdatum kostenloser Apps nach Herstellerangabe oft nicht eindeutig feststellbar. Ein unbestimmtes Ergebnis bedeutet nicht, dass die Wallet sicher ist.
4. Ältere App-Version: Liegt die Version unter 10.0.0, erscheint zusätzlich eine Schaltfläche zum Aktualisieren. Erst aktualisieren, dann übertragen.

Was Analysen zum Ablauf zeigen

Die Blockchain-Auswertung von XRPL.to ordnet einer auffälligen Abflussserie 1.552 XRP-Ledger-Adressen und insgesamt 2.009.321 XRP zu, verteilt auf zwei Wellen zwischen 16:29 und 18:34 Uhr UTC am 15. September 2026, offenbar skriptgesteuert. Wie viele einzelne Nutzer dahinterstehen und welcher Anteil abschließend dem D’CENT-Vorfall zuzurechnen ist, hat der Hersteller bislang nicht bestätigt.

Wichtig für die Einordnung: Die Blockchain belegt die Transaktionen, nicht ihre technische Herkunft aus einer bestimmten App. Der Bezug zu D’CENT ergibt sich aus den Warnungen des Herstellers und der zeitlichen Zuordnung, nicht allein aus den Transaktionsdaten. Auch sind 1.552 Adressen nicht zwangsläufig 1.552 verschiedene Menschen.

Eine abschließend bestätigte technische Ursache hat der Hersteller bislang nicht veröffentlicht; die Analyse läuft. Eine unabhängige Auswertung beschreibt Auffälligkeiten beim Signiervorgang einer untersuchten Android-Version, weist aber selbst darauf hin, dass damit die Ursache der Abflüsse nicht bewiesen ist. Bis eine abschließende Ursachenanalyse vorliegt, gilt die vorsichtige Annahme: Alles, was in einer betroffenen App-Wallet lag oder dieselbe Wiederherstellungsphrase nutzt, wird als gefährdet behandelt.

Bin ich betroffen?

• Installationszeitpunkt: App vor dem 5. November 2025 erstmals installiert? Dann weiter mit der nächsten Frage.
• App-Wallet genutzt: Hast du mit einer App-Version vor 8.1.0 Transaktionen über die App-Wallet signiert? Dazu zählen nicht nur normale Überweisungen, sondern auch Token- und NFT-Transfers, Token-Freigaben (Approvals) und Transaktionen über dezentrale Anwendungen. Dann gilt die Übertragungsempfehlung des Herstellers. Prüfe auch weitere Netzwerke, die dieselben Wallet-Schlüssel verwenden – bei EVM-Netzwerken hängen mehrere Blockchains an derselben Adresse.
• Phrase in einer betroffenen App-Wallet genutzt: Wurde die Wiederherstellungsphrase einer Hardware-Wallet in der App eingegeben oder dort wiederhergestellt, behandle sie als gefährdet.
• Nur Hardware genutzt: Wurde die Phrase ausschließlich auf dem Gerät erzeugt und nie in der App verwendet, sieht der Hersteller keinen Handlungsbedarf aus diesem Vorfall.
• Unsicher: Prüfe zuerst in der App; bleibt das Ergebnis unbestimmt, gehe vom ungünstigeren Fall aus.

Übertragung Schritt für Schritt: worauf es ankommt

1. App aktualisieren: Vor jeder Übertragung die D’CENT-App auf Version 10.0.0 oder neuer bringen. Bis dahin keine Transaktionen über die App-Wallet.
2. Ziel vorbereiten: Eine Hardware-Wallet mit frisch auf dem Gerät erzeugter Wiederherstellungsphrase oder eine andere Wallet, die du kontrollierst. Die alte App-Wallet-Phrase niemals über „Recover“, „Restore“ oder „Import“ auf das neue Gerät übertragen – sonst nutzt du dieselben Schlüssel weiter.
3. Zieladresse prüfen: Adresse am Zielgerät anzeigen lassen und Zeichen für Zeichen vergleichen. Keine Adressen aus Chats, Mails oder Kommentaren übernehmen.
4. Kleinen Testbetrag senden: Erst nach erfolgreicher Testübertragung den Rest bewegen.
5. Reihenfolge beachten: Zuerst Token übertragen, zuletzt die Netzwerk-Währung. Wer etwa alle ETH zuerst sendet, kann ERC-20-Token danach mangels Gebühren nicht mehr bewegen. Für andere Netzwerke gilt das sinngemäß.
6. XRP-Besonderheiten: Bei einer Übertragung an eine Börse den geforderten Destination-Tag übernehmen. Eine neu angelegte XRP-Adresse braucht einen Aktivierungsbetrag – die Herstelleranleitung nennt mindestens 1 XRP, maßgeblich sind die aktuellen Netzwerkbedingungen –, und wegen der Reserve lässt sich nicht zwingend das gesamte Guthaben versenden. Auch der Testbetrag muss diese Anforderungen erfüllen.
7. Bestände übertragen: Über ein Gerät, dem du vertraust, und über die offizielle App.
8. Kompromittierte Phrase ausmustern: War die Phrase in einer betroffenen App-Wallet, erzeuge auf einem sauberen Gerät eine neue und nutze die alte nie wieder – auch nicht für kleine Beträge. Entferne die alten Empfangsadressen auch aus den gespeicherten Auszahlungsadressen deiner Börsen und anderer Dienste. Prüfe verbliebene Token, NFTs, Staking-Positionen und noch bestehende Token-Freigaben. Sende künftig keine Bestände mehr an die aufgegebenen Adressen.
9. Vorfall dokumentieren: Zeitpunkte, Transaktionsnummern und Screenshots sichern, falls du Anzeige erstattest oder Ansprüche prüfst.

Was aus dem Vorfall für die eigene Verwahrung folgt

• App-Wallet und Hardware-Wallet trennen: Eine ausschließlich auf der Hardware-Wallet erzeugte und offline gesicherte Phrase ist nicht denselben direkten Risiken ausgesetzt wie eine Phrase, die zusätzlich in einer Software-Wallet eingegeben wird. Eine Hardware-Wallet schützt aber nicht vor jeder Form von Phishing, vor manipulierten Transaktionen oder vor einer unsicheren Sicherung.
• Phrase nur auf dem Gerät erzeugen: Je weniger Systeme die Phrase je gesehen haben, desto kleiner die Angriffsfläche. Eine Garantie ist auch das nicht, weil Sicherung, Umfeld und Bedienung ebenfalls zählen.
• Bestände aufteilen: Alltagsbeträge und langfristige Bestände auf getrennte Wallets mit getrennten Phrasen legen.
• Notfallplan vorher schreiben: Welche Adressen, welches Zweitgerät, welche Reihenfolge – im Ernstfall zählen Minuten.
• Offizielle Kanäle kennen: Website und App des Herstellers vorab notieren, damit du Warnungen selbst prüfen kannst, statt Links zu folgen.

Einordnung: die neue EU-Meldepflicht für Wallet-Hersteller

Der Zeitpunkt ist bemerkenswert: Seit dem 11. September 2026 gilt in der EU eine Meldepflicht für Hersteller von Produkten mit digitalen Elementen. Die Fristen: Frühwarnung binnen 24 Stunden nach Kenntnis, ausführliche Meldung binnen 72 Stunden, Abschlussbericht bei einem schweren Vorfall binnen eines Monats nach der 72-Stunden-Meldung. Gemeldet wird über die europäische Meldeplattform; zusätzlich sind betroffene Nutzer über den Vorfall und mögliche Schutzmaßnahmen zu informieren. Was die Regel im Einzelnen verlangt, erklärt unser Beitrag zur Wallet-Hersteller Meldepflicht in der EU.

Aus der öffentlichen Warnung lässt sich nicht ableiten, ob und wie IoTrust eine Behördenmeldung abgegeben hat oder ob die Voraussetzungen der Verordnung im konkreten Fall überhaupt erfüllt sind. Ein Rechtsverstoß ist damit ausdrücklich nicht behauptet.

Für dich als Nutzer ändert das nichts an den Sofortmaßnahmen. Es verschiebt aber den Maßstab, an dem sich Hersteller künftig messen lassen müssen: wie schnell informiert wird, wie klar die Betroffenengruppen benannt werden und wann eine Ursachenanalyse folgt.

Hardware-Wallets unserer Partner: Wohin mit den Beständen?

Die folgenden Geräte sind eine Auswahl unserer Partner und keine geprüfte Empfehlung speziell für diesen Vorfall. Entscheidend ist, ob dein konkreter Coin und das benötigte Netzwerk unterstützt werden.

Die Spalte „Nur Bitcoin“ zeigt, welche Geräte ausschließlich für Bitcoin beziehungsweise Bitcoin und Liquid gebaut sind. Achte dabei auf die Edition: Mehrere Hersteller bieten dasselbe Gerät als Bitcoin-only- und als Multi-Variante an. Ein „Nein“ bedeutet außerdem nicht automatisch XRP-Unterstützung – prüfe das benötigte Netzwerk vor dem Kauf beim Hersteller und im Firmwarestand deines Geräts.

Anzeige: Die verlinkten Produktnamen sind Partnerlinks. Bei einem Kauf kann alarm.de eine Provision erhalten.

← Tabelle seitlich scrollen →

Aufgeführt sind Geräte unserer Partner, kein vollständiger Marktvergleich. Angaben der Hersteller; Funktionen und unterstützte Netzwerke können sich ändern und sind vor dem Kauf zu prüfen.

Mehr zur sicheren Verwahrung

Das vollständige Sicherheitssystem für die Selbstverwahrung – Wie Gerät, Wiederherstellungsphrase, Aufbewahrung und Notfallplan zusammenspielen, damit ein Vorfall beim Anbieter nicht zum eigenen Ernstfall wird.

Backup testen: die Recovery-Simulation – Wer im Ernstfall schnell auf ein neues Gerät wechseln muss, sollte den Ablauf vorher einmal geübt haben.

Gefälschte Wallet-App erkennen – Nach jeder Warnung tauchen nachgebaute Apps und angebliche Wiederherstellungsdienste auf. Woran du sie erkennst.

Glossar: Begriffe zum Wallet-Vorfall

Häufige Fragen zum D’CENT-Vorfall

Was ist bei D’CENT passiert?

Der Hersteller IoTrust hat am 16. September 2026 unbefugte Vermögensabflüsse im Zusammenhang mit der D’CENT App Wallet gemeldet und am 17. September einen vorläufigen Vorfallbericht veröffentlicht. Eine abschließend bestätigte technische Ursache liegt bislang nicht vor; der Hersteller arbeitet nach eigenen Angaben mit Behörden, Netzwerkteams und Börsen an der Nachverfolgung.

Wer muss handeln?

Nach der Eingrenzung vom 17. September 2026 gilt: Handeln muss, wer die App vor dem 5. November 2025 installiert und mit der App-Wallet in einer Version vor 8.1.0 Transaktionen signiert hat – dazu zählen auch Token- und NFT-Transfers, Token-Freigaben und Transaktionen über dezentrale Anwendungen. Wer die App erstmals danach installiert oder ausschließlich eine Hardware-Wallet genutzt hat, muss nach dieser Warnung nicht handeln.

Wie prüfe ich, ob ich betroffen bin?

In der offiziellen App erscheint ein Sicherheitshinweis mit der Schaltfläche „Check if action is needed“. Die App prüft die Adressen der App-Wallet. Bleibt das Ergebnis unbestimmt, prüfe Installationszeitpunkt und Nutzung manuell und berücksichtige frühere Geräte und Store-Konten. Ein unbestimmtes Ergebnis bedeutet nicht, dass die Wallet sicher ist.

Sind die Hardware-Wallets von D’CENT betroffen?

Nach Angaben des Herstellers ist eine Auswirkung, die von den Hardware-Wallets selbst ausgeht, bislang nicht bestätigt. Wer allerdings dieselbe Wiederherstellungsphrase in der App-Wallet genutzt hat, soll die Bestände übertragen.

Was muss ich vor der Übertragung beachten?

Zuerst die App auf Version 10.0.0 oder neuer aktualisieren; ist das auf deinem Gerät nicht möglich, empfiehlt der Hersteller trotzdem eine schnellstmögliche Sicherung der Bestände nach den Sonderanweisungen in den offiziellen FAQ. Die alte App-Wallet-Phrase niemals über Wiederherstellen oder Importieren auf ein neues Gerät übertragen. Token vor der Netzwerk-Währung senden, sonst fehlen die Gebühren. Bei XRP den geforderten Destination-Tag übernehmen und den Aktivierungsbetrag sowie die Reserve einer neuen Adresse berücksichtigen.

Wie viel wurde entwendet?

Der Hersteller hat keine Zahlen genannt. Die Blockchain-Auswertung von XRPL.to ordnet einer Abflussserie am 15. September 2026 zwischen 16:29 und 18:34 Uhr UTC 1.552 Adressen und 2.009.321 XRP zu. Wie viele Menschen dahinterstehen und welcher Anteil dem Vorfall zuzurechnen ist, ist nicht bestätigt.

Muss ich meine Wiederherstellungsphrase wechseln?

Wenn die Phrase in einer betroffenen App-Wallet genutzt oder dort eingegeben wurde, behandle sie als gefährdet: neue Phrase auf einem sauberen Gerät erzeugen, Bestände übertragen und die alte nicht mehr verwenden.

Woran erkenne ich Betrugsversuche nach dem Vorfall?

An der Frage nach der Wiederherstellungsphrase, an angeblichen Wiederherstellungsdiensten, an Entschädigungsformularen und an Adressen aus Direktnachrichten. Der Hersteller betreibt nach eigenen Angaben keine offiziellen Telegram- oder Discord-Kanäle und fragt niemals nach Phrase oder privatem Schlüssel.

Gilt die neue EU-Meldepflicht für diesen Fall?

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Vorfälle binnen 24 Stunden als Frühwarnung melden, binnen 72 Stunden ausführlich und danach abschließend berichten. Ob ein einzelnes Produkt erfasst ist, hängt vom Produkt und der Bereitstellung auf dem EU-Markt ab. Ob im konkreten Fall gemeldet wurde, ist öffentlich nicht bekannt.

Sollte ich Software-Wallets grundsätzlich meiden?

Nein, aber die Aufgabenteilung sollte stimmen: kleine Alltagsbeträge in der Software-Wallet, größere Bestände auf einer Hardware-Wallet mit eigener, nie in einer App eingegebener Wiederherstellungsphrase.

Quellen u. a.: Mitteilungen und Hilfeseiten des Herstellers vom 16. und 17. September 2026 (Sicherheitshinweis, FAQ, vorläufiger Vorfallbericht, Prüf- und Übertragungsanleitung), Blockchain-Auswertung von XRPL.to sowie Angaben der EU-Kommission zum Cyber Resilience Act. Die Lage entwickelt sich; maßgeblich sind die aktuellen Angaben des Herstellers. Produktfunktionen, Firmware-Versionen und Sicherheitshinweise können sich kurzfristig ändern. Dieser Beitrag ist keine Anlage- oder Rechtsberatung.