D’CENT App Wallet: Sicherheitsvorfall und neue Warnung für Nutzer

Der südkoreanische Wallet-Hersteller IoTrust hat am 16. September 2026 vor unbefugten Vermögensabflüssen bei der D’CENT App Wallet gewarnt und am 17. September einen vorläufigen Vorfallbericht zur App-Wallet veröffentlicht. Eine abschließend bestätigte technische Ursache liegt bislang nicht vor, der Kreis der Betroffenen ist aber eingegrenzt: Handeln muss, wer mit der App-Wallet Transaktionen in einer App-Version vor 8.1.0 signiert hat. Maßgeblich ist laut aktuellem Statusbericht des Herstellers die Version zum Zeitpunkt der Signatur – das kann auch nach dem 5. November 2025 gewesen sein, wenn die App nicht aktualisiert war. Hier findest du die Chronologie, den offiziellen Betroffenheitscheck, die Übertragungsanleitung mit ihren Stolperstellen und die Einordnung für die eigene Verwahrung.

Anzeige · Transparenzhinweis: alarm.de arbeitet mit mehreren Hardware-Wallet-Herstellern als Partner zusammen, auch mit D’CENT. Für diesen Beitrag gibt es keine Werbebuttons zu D’CENT. Die verlinkten Produktnamen in der Tabelle sind Partnerlinks; bei einem Kauf kann eine Provision entstehen.

Was über den Vorfall bekannt ist

IoTrust, das Unternehmen hinter der Marke D’CENT, meldete am 16. September 2026 über seinen offiziellen Kanal, man habe ungewöhnliche Vermögensbewegungen im Zusammenhang mit der D’CENT App Wallet festgestellt und eine dringende Untersuchung eingeleitet. Nach den ersten Erkenntnissen beschränke sich das Problem auf die App-Wallet. Eine Auswirkung, die von den Hardware-Wallets selbst ausgeht, sei bislang nicht bestätigt.

Am 17. September veröffentlichte das Unternehmen einen vorläufigen Vorfallbericht zur App-Wallet, der den Stand der bis dahin bestätigten Fakten beschreibt. Danach arbeitet IoTrust mit Strafverfolgungsbehörden, Sicherheitsfachleuten, den Teams der betroffenen Netzwerke und Börsen zusammen, um die Mittelflüsse nachzuverfolgen und ein Einfrieren zu erreichen. Ob und wann Vermögenswerte eingefroren oder zurückgeholt werden können, hängt vom weiteren Verlauf ab. Die technische Analyse zu Ursache und möglichem Umfang läuft.

Zur Zahl der betroffenen Nutzer und zum Gesamtschaden hat der Hersteller keine Angaben gemacht. Nach seiner Darstellung gibt es bis heute keinen Hinweis darauf, dass die App selbst oder die darin verwendete PIN beziehungsweise das Passwort kompromittiert wurden; PINs, Passwörter und Wiederherstellungsphrasen werden nach Unternehmensangaben nicht auf Servern gespeichert.

Im aktuellen Statusbericht hat D’CENT das Versionskriterium präzisiert: Maßgeblich ist die App-Version zum Zeitpunkt der Signatur. Technische Details zur Ursache hält der Hersteller nach eigenen Angaben derzeit teilweise zurück, weil deren Veröffentlichung weitere oder ähnliche Angriffe ermöglichen könnte. Er unterscheidet weiterhin ausdrücklich zwischen dem Hardware-Gerät selbst und Schlüsseln, die irgendwann in der App-Wallet verwendet wurden.

Chronologie des Vorfalls

← Tabelle seitlich scrollen →

Stand der Auswertung zum Zeitpunkt der Aktualisierung; die Lage entwickelt sich.

Die Anweisungen des Herstellers im Überblick

← Tabelle seitlich scrollen →

Zusammengefasst aus den Mitteilungen des Herstellers vom 16. und 17. September 2026 sowie dem aktuellen Statusbericht. Version 8.1.0 erschien am 5. November 2025 gegen 07:40 Uhr UTC; maßgeblich ist aber die Version, mit der tatsächlich signiert wurde.

Betroffenheit prüfen: der offizielle Weg in der App

Der schnellste Weg führt über die App selbst. Ab App-Version 10.0.0 erscheint beim Start ein Sicherheitshinweis – je nach Einrichtung mit unterschiedlicher Schaltfläche:

1. Mit registrierter App-Wallet: Offizielle D’CENT-App öffnen und im Sicherheitshinweis auf „Check if action is needed“ tippen. Die App prüft damit die Adressen der registrierten App-Wallet.
2. Ohne registrierte App-Wallet: Auch reine Hardware-Wallet-Nutzer sehen den Hinweis inzwischen, die Schaltfläche lautet dann „Check hardware wallet“. Hardware-Wallets werden dabei nicht automatisch auf der Blockchain geprüft. Du kontrollierst selbst, ob dieselbe Wiederherstellungsphrase jemals in einer App-Wallet verwendet und dort mit einer Version vor 8.1.0 signiert wurde.
3. Ergebnis lesen: Bei „Asset transfer action required“ die Übertragung nach Herstelleranleitung durchführen.
4. Unklares Ergebnis: Lautet die Antwort sinngemäß, dass sich die Betroffenheit nicht bestätigen lässt, prüfe manuell, mit welcher App-Version du signiert hast. Hilfreich sind Installationszeitpunkt und Update-Verlauf: Auf dem iPhone lässt sich der erste Download über die Kauf- beziehungsweise Downloadhistorie mit weitem Zeitraum nachsehen; bei Google Play ist das Erstinstallationsdatum kostenloser Apps nach Herstellerangabe oft nicht eindeutig feststellbar. Ein unbestimmtes Ergebnis bedeutet nicht, dass die Wallet sicher ist.
5. Ältere App-Version: Liegt die Version unter 10.0.0, erscheint zusätzlich eine Schaltfläche zum Aktualisieren. Erst aktualisieren, dann übertragen.
6. Hinweis nicht vorschnell ausblenden: Der Sicherheitshinweis bietet die Option „Don’t show for a week“. Der Hersteller rät, sie erst zu nutzen, wenn die Prüfung abgeschlossen ist – sonst erscheint der Hinweis eine Woche lang nicht mehr.

Was Analysen zum Ablauf zeigen

Die Blockchain-Auswertung von XRPL.to ordnet einer auffälligen Abflussserie 1.552 XRP-Ledger-Adressen und insgesamt 2.009.321 XRP zu, verteilt auf zwei Wellen zwischen 16:29 und 18:34 Uhr UTC am 15. September 2026, offenbar skriptgesteuert. Wie viele einzelne Nutzer dahinterstehen und welcher Anteil abschließend dem D’CENT-Vorfall zuzurechnen ist, hat der Hersteller bislang nicht bestätigt.

Wichtig für die Einordnung: Die Blockchain belegt die Transaktionen, nicht ihre technische Herkunft aus einer bestimmten App. Der Bezug zu D’CENT ergibt sich aus den Warnungen des Herstellers und der zeitlichen Zuordnung, nicht allein aus den Transaktionsdaten. Auch sind 1.552 Adressen nicht zwangsläufig 1.552 verschiedene Menschen.

Eine abschließend bestätigte technische Ursache hat der Hersteller bislang nicht veröffentlicht; die Analyse läuft, und Details hält er nach eigener Aussage bewusst teilweise zurück. Eine unabhängige Auswertung beschreibt Auffälligkeiten beim Signiervorgang einer untersuchten Android-Version, weist aber selbst darauf hin, dass damit die Ursache der Abflüsse nicht bewiesen ist. Bis eine abschließende Ursachenanalyse vorliegt, gilt die vorsichtige Annahme: Alles, was in einer betroffenen App-Wallet lag oder dieselbe Wiederherstellungsphrase nutzt, wird als gefährdet behandelt.

Bin ich betroffen?

• App-Version beim Signieren: Hast du mit der App-Wallet in einer Version vor 8.1.0 Transaktionen signiert? Maßgeblich ist die Version zum Zeitpunkt der Signatur – das kann auch nach dem 5. November 2025 gewesen sein, wenn die App nicht aktualisiert war. Dazu zählen nicht nur normale Überweisungen, sondern auch Token- und NFT-Transfers, Token-Freigaben (Approvals) und Transaktionen über dezentrale Anwendungen. Dann gilt die Übertragungsempfehlung des Herstellers.
• Alle Netzwerke prüfen: Betroffen sein können unter anderem Bitcoin, Ethereum, XRP Ledger, TRON und weitere EVM-Netzwerke. Bei EVM-Netzwerken hängen mehrere Blockchains an derselben Adresse.
• Phrase in einer betroffenen App-Wallet genutzt: Wurde die Wiederherstellungsphrase einer Hardware-Wallet in der App eingegeben oder dort wiederhergestellt und mit einer Version vor 8.1.0 signiert, behandle sie als gefährdet.
• Nur Hardware genutzt: Wurde die Phrase ausschließlich auf dem Gerät erzeugt und nie in einer App-Wallet verwendet, sieht der Hersteller keinen Handlungsbedarf aus diesem Vorfall.
• Unsicher: Prüfe zuerst in der App; bleibt das Ergebnis unbestimmt, gehe vom ungünstigeren Fall aus.

Übertragung Schritt für Schritt: worauf es ankommt

1. App aktualisieren: Vor jeder Übertragung die D’CENT-App auf Version 10.0.0 oder neuer bringen. Bis dahin keine Transaktionen über die App-Wallet.
2. Ziel vorbereiten: Eine Hardware-Wallet mit frisch auf dem Gerät erzeugter Wiederherstellungsphrase oder eine andere Wallet mit neuer Phrase, die du kontrollierst; als Zwischenlösung nennt der Hersteller auch eine vertrauenswürdige Börse. Übertragen, nicht wiederherstellen: Die alte App-Wallet-Phrase niemals über „Recover“, „Restore“ oder „Import“ auf das neue Gerät übertragen – sonst nutzt du dieselben Schlüssel weiter.
3. Zieladresse prüfen: Adresse am Zielgerät anzeigen lassen und Zeichen für Zeichen vergleichen. Keine Adressen aus Chats, Mails oder Kommentaren übernehmen.
4. Kleinen Testbetrag senden: Erst nach erfolgreicher Testübertragung den Rest bewegen.
5. Reihenfolge beachten: Zuerst Token übertragen, zuletzt die Netzwerk-Währung. Wer etwa alle ETH zuerst sendet, kann ERC-20-Token danach mangels Gebühren nicht mehr bewegen. Für andere Netzwerke gilt das sinngemäß.
6. XRP-Besonderheiten: Bei einer Übertragung an eine Börse den geforderten Destination-Tag übernehmen. Eine neu angelegte XRP-Adresse braucht einen Aktivierungsbetrag – die Herstelleranleitung nennt mindestens 1 XRP, maßgeblich sind die aktuellen Netzwerkbedingungen –, und wegen der Reserve lässt sich nicht zwingend das gesamte Guthaben versenden. Auch der Testbetrag muss diese Anforderungen erfüllen.
7. Bestände übertragen: Über ein Gerät, dem du vertraust, und über die offizielle App.
8. Kompromittierte Phrase ausmustern: War die Phrase in einer betroffenen App-Wallet, erzeuge auf einem sauberen Gerät eine neue und nutze die alte nie wieder – auch nicht für kleine Beträge. Entferne die alten Empfangsadressen auch aus den gespeicherten Auszahlungsadressen deiner Börsen und anderer Dienste. Prüfe verbliebene Token, NFTs, Staking-Positionen und noch bestehende Token-Freigaben. Sende künftig keine Bestände mehr an die aufgegebenen Adressen.
9. Vorfall dokumentieren: Zeitpunkte, Transaktionsnummern und Screenshots sichern, falls du Anzeige erstattest oder Ansprüche prüfst. Wer glaubt, betroffen zu sein, wendet sich laut Hersteller mit der Transaktions-ID (TXID) an den offiziellen DCENT-Support – über die Kontaktseite des Herstellers, nie über Direktnachrichten.

Was aus dem Vorfall für die eigene Verwahrung folgt

• App-Wallet und Hardware-Wallet trennen: Eine ausschließlich auf der Hardware-Wallet erzeugte und offline gesicherte Phrase ist nicht denselben direkten Risiken ausgesetzt wie eine Phrase, die zusätzlich in einer Software-Wallet eingegeben wird. Eine Hardware-Wallet schützt aber nicht vor jeder Form von Phishing, vor manipulierten Transaktionen oder vor einer unsicheren Sicherung.
• Phrase nur auf dem Gerät erzeugen: Je weniger Systeme die Phrase je gesehen haben, desto kleiner die Angriffsfläche. Eine Garantie ist auch das nicht, weil Sicherung, Umfeld und Bedienung ebenfalls zählen.
• Apps aktuell halten: Der Vorfall zeigt, dass es auf die tatsächlich genutzte App-Version ankommen kann. Automatische Updates für Wallet-Apps sind deshalb sinnvoll.
• Bestände aufteilen: Alltagsbeträge und langfristige Bestände auf getrennte Wallets mit getrennten Phrasen legen.
• Notfallplan vorher schreiben: Welche Adressen, welches Zweitgerät, welche Reihenfolge – im Ernstfall zählen Minuten.
• Offizielle Kanäle kennen: Website und App des Herstellers vorab notieren, damit du Warnungen selbst prüfen kannst, statt Links zu folgen.

Einordnung: die neue EU-Meldepflicht für Wallet-Hersteller

Der Zeitpunkt ist bemerkenswert: Seit dem 11. September 2026 gilt in der EU eine Meldepflicht für Hersteller von Produkten mit digitalen Elementen. Die Fristen: Frühwarnung binnen 24 Stunden nach Kenntnis, ausführliche Meldung binnen 72 Stunden, Abschlussbericht bei einem schweren Vorfall binnen eines Monats nach der 72-Stunden-Meldung. Gemeldet wird über die europäische Meldeplattform; zusätzlich sind betroffene Nutzer über den Vorfall und mögliche Schutzmaßnahmen zu informieren. Was die Regel im Einzelnen verlangt, erklärt unser Beitrag zur Wallet-Hersteller Meldepflicht in der EU.

Aus der öffentlichen Warnung lässt sich nicht ableiten, ob und wie IoTrust eine Behördenmeldung abgegeben hat oder ob die Voraussetzungen der Verordnung im konkreten Fall überhaupt erfüllt sind. Ein Rechtsverstoß ist damit ausdrücklich nicht behauptet.

Für dich als Nutzer ändert das nichts an den Sofortmaßnahmen. Es verschiebt aber den Maßstab, an dem sich Hersteller künftig messen lassen müssen: wie schnell informiert wird, wie klar die Betroffenengruppen benannt werden und wann eine Ursachenanalyse folgt.

Hardware-Wallets unserer Partner: Wohin mit den Beständen?

Die folgenden Geräte sind eine Auswahl unserer Partner und keine geprüfte Empfehlung speziell für diesen Vorfall. Entscheidend ist, ob dein konkreter Coin und das benötigte Netzwerk unterstützt werden.

Die Spalte „Nur Bitcoin“ zeigt, welche Geräte ausschließlich für Bitcoin beziehungsweise Bitcoin und Liquid gebaut sind. Achte dabei auf die Edition: Mehrere Hersteller bieten dasselbe Gerät als Bitcoin-only- und als Multi-Variante an. Ein „Nein“ bedeutet außerdem nicht automatisch XRP-Unterstützung – prüfe das benötigte Netzwerk vor dem Kauf beim Hersteller und im Firmwarestand deines Geräts.

Anzeige: Die verlinkten Produktnamen sind Partnerlinks. Bei einem Kauf kann alarm.de eine Provision erhalten.

← Tabelle seitlich scrollen →

Aufgeführt sind Geräte unserer Partner, kein vollständiger Marktvergleich. Angaben der Hersteller; Funktionen und unterstützte Netzwerke können sich ändern und sind vor dem Kauf zu prüfen.

Mehr zur sicheren Verwahrung

Das vollständige Sicherheitssystem für die Selbstverwahrung – Wie Gerät, Wiederherstellungsphrase, Aufbewahrung und Notfallplan zusammenspielen, damit ein Vorfall beim Anbieter nicht zum eigenen Ernstfall wird.

Backup testen: die Recovery-Simulation – Wer im Ernstfall schnell auf ein neues Gerät wechseln muss, sollte den Ablauf vorher einmal geübt haben.

Gefälschte Wallet-App erkennen – Nach jeder Warnung tauchen nachgebaute Apps und angebliche Wiederherstellungsdienste auf. Woran du sie erkennst.

Glossar: Begriffe zum Wallet-Vorfall

Häufige Fragen zum D’CENT-Vorfall

Was ist bei D’CENT passiert?

Der Hersteller IoTrust hat am 16. September 2026 unbefugte Vermögensabflüsse im Zusammenhang mit der D’CENT App Wallet gemeldet und am 17. September einen vorläufigen Vorfallbericht veröffentlicht. Eine abschließend bestätigte technische Ursache liegt bislang nicht vor; Details hält der Hersteller nach eigenen Angaben teilweise zurück, um weitere Angriffe nicht zu erleichtern. Er arbeitet nach eigenen Angaben mit Behörden, Netzwerkteams und Börsen an der Nachverfolgung.

Wer muss handeln?

Handeln muss, wer mit der App-Wallet Transaktionen in einer App-Version vor 8.1.0 signiert hat – maßgeblich ist laut Hersteller die Version zum Zeitpunkt der Signatur, das kann auch nach dem 5. November 2025 gewesen sein, wenn die App nicht aktualisiert war. Dazu zählen auch Token- und NFT-Transfers, Token-Freigaben und Transaktionen über dezentrale Anwendungen. Wer ausschließlich eine Hardware-Wallet genutzt und deren Phrase nie in einer App-Wallet verwendet hat, muss nach dieser Warnung nicht handeln.

Ist die Bluetooth-Kopplung meiner Hardware-Wallet eine App-Wallet?

Nein. Wer eine Biometric Wallet, eine DCENT S oder eine DCENT X per Bluetooth oder NFC mit der App koppelt, nutzt laut Hersteller keine App-Wallet; die App zeigt dann nur die Adressen des Geräts an. Ob eine App-Wallet existiert, siehst du unter „My Wallet“, Wallet-Name oben links, „Manage All Wallets“: Steht im Bereich „App wallet“ nur „Add App Wallet“, wurde keine angelegt. Handeln musst du trotzdem, wenn die Phrase der Hardware-Wallet je in einer App-Wallet eingegeben wurde.

Wie prüfe ich, ob ich betroffen bin?

In der offiziellen App ab Version 10.0.0 erscheint beim Start ein Sicherheitshinweis. Bei registrierter App-Wallet heißt die Schaltfläche „Check if action is needed“, die App prüft dann deren Adressen. Ohne App-Wallet heißt sie „Check hardware wallet“; Hardware-Wallets werden nicht automatisch auf der Blockchain geprüft, du kontrollierst selbst, ob die Phrase jemals in einer App-Wallet mit einer Version vor 8.1.0 verwendet wurde. Ein unbestimmtes Ergebnis bedeutet nicht, dass die Wallet sicher ist.

Sind die Hardware-Wallets von D’CENT betroffen?

Nach Angaben des Herstellers ist eine Auswirkung, die von den Hardware-Wallets selbst ausgeht, bislang nicht bestätigt. Wer allerdings dieselbe Wiederherstellungsphrase in der App-Wallet genutzt und dort mit einer Version vor 8.1.0 signiert hat, soll die Bestände übertragen.

Was muss ich vor der Übertragung beachten?

Zuerst die App auf Version 10.0.0 oder neuer aktualisieren; ist das auf deinem Gerät nicht möglich, empfiehlt der Hersteller trotzdem eine schnellstmögliche Sicherung der Bestände nach den Sonderanweisungen in den offiziellen FAQ. Die alte App-Wallet-Phrase niemals über Wiederherstellen oder Importieren auf ein neues Gerät übertragen. Token vor der Netzwerk-Währung senden, sonst fehlen die Gebühren. Bei XRP den geforderten Destination-Tag übernehmen und den Aktivierungsbetrag sowie die Reserve einer neuen Adresse berücksichtigen.

Wie viel wurde entwendet?

Der Hersteller hat keine Zahlen genannt. Die Blockchain-Auswertung von XRPL.to ordnet einer Abflussserie am 15. September 2026 zwischen 16:29 und 18:34 Uhr UTC 1.552 Adressen und 2.009.321 XRP zu. Wie viele Menschen dahinterstehen und welcher Anteil dem Vorfall zuzurechnen ist, ist nicht bestätigt.

Muss ich meine Wiederherstellungsphrase wechseln?

Wenn die Phrase in einer betroffenen App-Wallet genutzt oder dort eingegeben wurde, behandle sie als gefährdet: neue Phrase auf einem sauberen Gerät erzeugen, Bestände übertragen und die alte nicht mehr verwenden.

Woran erkenne ich Betrugsversuche nach dem Vorfall?

An der Frage nach der Wiederherstellungsphrase, an angeblichen Wiederherstellungsdiensten, an Entschädigungsformularen und an Adressen aus Direktnachrichten. Der Hersteller betreibt nach eigenen Angaben keine offiziellen Telegram- oder Discord-Kanäle und fragt niemals nach Phrase oder privatem Schlüssel.

Gilt die neue EU-Meldepflicht für diesen Fall?

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Vorfälle binnen 24 Stunden als Frühwarnung melden, binnen 72 Stunden ausführlich und danach abschließend berichten. Ob ein einzelnes Produkt erfasst ist, hängt vom Produkt und der Bereitstellung auf dem EU-Markt ab. Ob im konkreten Fall gemeldet wurde, ist öffentlich nicht bekannt.

Sollte ich Software-Wallets grundsätzlich meiden?

Nein, aber die Aufgabenteilung sollte stimmen: kleine Alltagsbeträge in der Software-Wallet, größere Bestände auf einer Hardware-Wallet mit eigener, nie in einer App eingegebener Wiederherstellungsphrase.

Quellen u. a.: Mitteilungen und Hilfeseiten des Herstellers vom 16. und 17. September 2026 sowie der aktuelle Statusbericht und die aktuelle Prüfanleitung (Sicherheitshinweis, FAQ, Vorfallbericht, Prüf- und Übertragungsanleitung), Blockchain-Auswertung von XRPL.to sowie Angaben der EU-Kommission zum Cyber Resilience Act. Die Lage entwickelt sich; maßgeblich sind die aktuellen Angaben des Herstellers. Produktfunktionen, Firmware-Versionen und Sicherheitshinweise können sich kurzfristig ändern. Dieser Beitrag ist keine Anlage- oder Rechtsberatung.