Krypto-Datenlecks & KYC-Leaks: die laufend gepflegte Liste – mit Quellen
Wer Krypto über eine zentrale Börse oder einen Shop kauft, muss dort fast immer seine Identität nachweisen (KYC – „Know Your Customer"). Genau diese Ausweise, Adressen und Kontostände landen bei den Anbietern in Datenbanken – und werden immer wieder gestohlen, falsch abgesichert oder öffentlich gedumpt. Diese Seite sammelt die bekannten Vorfälle, ordnet sie ehrlich ein und belegt jeden mit einer nachprüfbaren Quelle.
Über die Jahre sind so die persönlichen Daten von Millionen Krypto-Nutzern in falsche Hände geraten. Das Tückische daran: Ein geleaktes Passwort lässt sich ändern. Deine Wohnadresse, dein Geburtsdatum, dein Ausweisfoto und die Info, dass du eine sechsstellige Krypto-Summe hältst, lassen sich nicht zurückrufen. Sie kursieren dann dauerhaft in einschlägigen Foren – als fertige Zielliste für Phishing, Erpressung und im schlimmsten Fall körperliche Angriffe.
Was bei einem KYC-Leak konkret nach draußen gelangt
„Datenleck" klingt abstrakt. Bei einem KYC-Leak geht es aber genau um die Angaben, die man sonst nur bei Bank oder Behörde hinterlegt:
- Vollständiger Name
- Wohn- und Postanschrift
- Telefonnummer
- Geburtsdatum
- Ausweis-, Reisepass- oder Führerscheinfoto
- Selfie / Video-Verifizierung
- Wallet-Adressen
- Kontostände und Guthaben
- Transaktionshistorie
- IP-Adresse
Nicht jeder Vorfall umfasst alles davon. Deshalb steht bei jedem Eintrag unten, welche Datenarten betroffen waren – das macht den Unterschied zwischen „lästig" (nur E-Mail-Adresse) und „gefährlich" (Adresse + Guthaben zusammen).
So ist die Liste kategorisiert
Nicht jedes Leck bei einem Krypto-Anbieter ist automatisch ein KYC-Leak. Diese Unterscheidung wird oft durcheinandergeworfen – hier bewusst nicht:
- KYC-Leak Echte Verifizierungsdokumente sind abgeflossen (Ausweise, Adressen, Selfies).
- Kundendaten-Leak Personenbezogene Daten aus Shop-, Marketing- oder Support-Systemen (Name, Adresse, E-Mail) – aber keine hochgeladenen Ausweisdokumente.
- Drittanbieter Nicht der Anbieter selbst wurde gehackt, sondern ein Dienstleister (Newsletter-, CRM-, 2FA-, Zahlungs-Provider). Für die Betroffenen ist das Ergebnis dasselbe.
- Unbestätigt Ein Datensatz kursiert, ist aber nicht offiziell bestätigt oder die Herkunft ist unklar. Mit Vorsicht zu genießen.
Die Vorfälle im Überblick (neueste zuerst)
Zu Jahresbeginn 2026 meldete der Hardware-Wallet-Hersteller Ledger erneut einen Datenabfluss – diesmal über seinen E-Commerce-Zahlungspartner Global-e, in dessen Cloud-Umgebung verdächtige Zugriffe entdeckt wurden. Ledger betont, dass Geräte, Wallets, Guthaben und die 24 Wörter nicht betroffen sind, weil das Produkt selbstverwahrend ist. Kritisch bleibt trotzdem: Es ist bereits der wiederholte Fall, dass Kundendaten über einen Dienstleister nach außen gelangen.
Sicherheitsforscher von Cybernews entdeckten eine offen im Netz erreichbare Datenbank des Identitäts-Prüfdienstleisters IDMerit mit Milliarden Datensätzen über mehr als 20 Länder – mit Deutschland auf Platz vier der betroffenen Nationen. IDMerit erklärte anschließend, die eigenen Systeme seien nicht kompromittiert worden und Partner-Untersuchungen hätten keinen bestätigten Datenabfluss ergeben. Der Fall zeigt das eigentliche Kernproblem: Die riskantesten Datenberge liegen oft gar nicht bei der Börse selbst, sondern bei ihren KYC-Zulieferern.
Bei einer der größten und am stärksten regulierten US-Börsen griffen von Kriminellen bestochene Support-Dienstleister im Ausland über Monate hinweg Kundendaten ab. Coinbase lehnte eine Erpressungsforderung von 20 Mio. US-Dollar ab, legte den Vorfall in einer SEC-Meldung offen und bezifferte die möglichen Folgekosten auf bis zu 400 Mio. Dollar. Besonders brisant: Geleakt wurden Namen zusammen mit Wohnadressen und Kontoständen – genau die Kombination, die für gezielte Überfälle taugt.
Ein im Untergrund angebotener Datensatz mit rund 5,7 Millionen Gemini-Nutzern wurde zunächst für einen direkten Hack der Börse gehalten – tatsächlich stammte er von deren 2FA-Anbieter Twilio/Authy, der über Social Engineering kompromittiert wurde. Ausweisdokumente waren nicht dabei, wohl aber E-Mail-Adressen und teilweise Telefonnummern, die sofort für Phishing- und SIM-Swapping-Kampagnen genutzt wurden. Ein separater Drittanbieter-Vorfall 2024 legte zusätzlich Bankdaten eines kleineren Kundenkreises offen.
Bei der Token-Plattform Tokensoft wurden persönliche Daten von Teilnehmern eines Airdrops offengelegt – die Kombination aus Klarname, Wohnadresse und zugehöriger Wallet-Adresse ist besonders heikel, weil sie eine Person direkt mit ihrem On-Chain-Vermögen verknüpft.
Nach der Pleite des Krypto-Verleihers Celsius mussten im Insolvenzverfahren Kundenlisten offengelegt werden – inklusive Namen, Transaktionen und teils erheblicher Verluste. Ein besonders unangenehmer Fall, weil hier nicht Hacker, sondern ein rechtliches Verfahren die Daten öffentlich machte: Wer bei Celsius war, stand plötzlich mit Namen und Verlusthöhe im Netz.
Über einen Insider-Angriff auf den Newsletter-Dienst MailChimp gelangten die E-Mail-Adressen von Trezor-Abonnenten an Angreifer, die daraufhin täuschend echte Phishing-Mails verschickten: Sie warnten vor einem angeblichen „Sicherheitsvorfall" und lotsten Nutzer auf eine nachgebaute Trezor-Suite, in die einige ihre Seed-Phrase eingaben – und ihre Coins verloren. Kein Hack der Hardware, aber ein Musterbeispiel dafür, wie eine simple E-Mail-Liste zum Türöffner wird.
Ein kompromittierter HubSpot-Mitarbeiterzugang legte Kontaktdaten von Kunden gleich mehrerer Krypto-Unternehmen offen – darunter BlockFi, Circle, Pantera Capital und NYDIG. Login-Daten oder Gelder waren nicht betroffen, doch die Namen und Telefonnummern reichten für eine anschließende Welle gezielter Phishing-Versuche.
Von der Terminbörse Digitex sollen KYC-Dokumente von rund 8.000 Nutzern gestohlen worden sein – und zwar mit vollständigen Ausweis- und Führerscheindaten. Damit gehört der Vorfall zu den „schweren" KYC-Leaks, bei denen echte amtliche Dokumente in Umlauf geraten.
Beim Peer-to-Peer-Bitcoin-Marktplatz KeepChange verschafften sich Angreifer Zugang zu internen Systemen, konnten dank interner Schutzmechanismen aber kein Bitcoin abziehen. Nutzerdaten waren dennoch betroffen – ein Hinweis darauf, dass selbst „gescheiterte" Angriffe personenbezogene Informationen freilegen können.
Bei Australiens ältester Börse landete durch einen simplen Bedienfehler eine Marketing-Mail an über 270.000 Kunden nicht im Blindkopie-Feld – die Empfänger konnten so Namen und E-Mail-Adressen der anderen sehen. Ein Lehrstück dafür, dass es für ein Datenleck nicht immer Hacker braucht, sondern manchmal nur ein falsches Feld.
Die japanische Börse Liquid verlor über einen kompromittierten Hosting-Provider die Kontrolle über ihre Domain-Einträge, wodurch Angreifer in interne Systeme gelangten. Kundennamen, Adressen und verschlüsselte Passwörter waren betroffen; die Guthaben blieben dank Multi-Party-Computation-Wallets unangetastet. Liquid stufte den Vorfall als deutliche Warnung vor Abhängigkeiten von Drittdienstleistern ein.
Der wohl folgenreichste Fall der Branche: Aus Ledgers Shop- und Marketing-Datenbank wurden rund eine Million E-Mail-Adressen und etwa 272.000 vollständige Datensätze mit Name, Anschrift und Telefonnummer entwendet und später öffentlich gedumpt. Es handelte sich ausdrücklich nicht um KYC-Daten und die Wallets blieben sicher – doch die geleakten Wohnadressen lösten jahrelange Phishing- und Erpressungswellen aus, bis hin zu körperlichen Bedrohungen und Entführungsfällen prominenter Krypto-Halter. Der Fall zeigt, warum schon ein reines Adress-Leck lebensgefährlich werden kann.
Über einen Telegram-Kanal tauchten KYC-Fotos und Ausweisdokumente auf, die angeblich von Binance-Nutzern stammten. Die Börse bestritt einen direkten Hack ihrer Systeme und verwies auf einen möglichen externen Verifizierungs-Dienstleister als Quelle. Unabhängig von der genauen Herkunft: Es kursierten echte Ausweisbilder – für die Betroffenen der bedrohlichste Typ von Leak.
Teilnehmer des DADI-ICO berichteten von Phishing-Angriffen, nachdem persönliche Daten aus dem Verifizierungsprozess durchgesickert waren – ein früher Beleg dafür, dass gerade unregulierte Token-Verkäufe massenhaft sensible Daten einsammelten, ohne sie schützen zu können.
Einer der ältesten dokumentierten Fälle: Bei der Börse Bittrex gelangten Ausweis- und Passfotos von Nutzern über Support-E-Mails an Unbefugte. Schon damals zeigte sich das Muster, das sich bis heute wiederholt – der schwächste Punkt ist selten die Handelsplattform selbst, sondern das Drumherum aus Support, Marketing und Verifizierung.
Unbestätigte oder kursierende Datensätze
Diese Fälle gehören der Vollständigkeit halber erwähnt, sind aber ausdrücklich nicht offiziell bestätigt. Solche Angebote in Untergrundforen sind häufig recycelt, aggregiert oder stammen von Drittanbietern – die genannte Firma muss nicht selbst gehackt worden sein.
In einem Cybercrime-Forum tauchte ein kostenlos verteilter Datensatz mit angeblich 1,7 Millionen Nexo-Bezügen auf. Passwörter, Keys oder KYC-Dokumente waren laut Sample nicht enthalten, was gegen einen Direkt-Hack der Kernsysteme spricht – die Struktur deutet eher auf ein Drittsystem hin. Solange keine offizielle Bestätigung vorliegt, ist der Fall mit Vorsicht zu behandeln.
Was ausdrücklich KEIN KYC-Leak war
Für eine ehrliche Liste gehört auch dazu, was oft fälschlich einsortiert wird:
- Ledger 2020 war ein Shop-/Marketing-Datenleck, kein Abfluss von Ausweisdokumenten – die Folgen (Adressen im Umlauf) waren trotzdem gravierend.
- Trezor, Gemini, BlockFi wurden nicht in ihren Kernsystemen gehackt, sondern über Dienstleister (MailChimp, Twilio, HubSpot) getroffen.
- Mt. Gox war ein Diebstahl von Bitcoin durch eine Sicherheitslücke – kein KYC-Dokumenten-Leak im hier gemeinten Sinn.
Warum ausgerechnet KYC-Daten so gefährlich sind
Der Kern des Problems: KYC verknüpft deine reale Identität fest mit deinem Krypto-Vermögen. Wenn diese Verknüpfung leakt, entsteht für Kriminelle eine perfekte Zielliste – Name, Wohnadresse und ungefährer Kontostand in einer Zeile.
Genau das befeuert die stark gestiegenen sogenannten „Wrench Attacks", bei denen Angreifer nicht die Technik hacken, sondern die Person direkt bedrohen, überfallen oder entführen, um an die Wallet zu kommen. Der öffentlich geführte Zählstand solcher Angriffe ist in den letzten Jahren deutlich gestiegen – und Sicherheitsforscher führen den Anstieg unter anderem auf die Welle geleakter KYC-Daten zurück. Selbst ein Ledger-Mitgründer wurde in Frankreich Opfer eines solchen Angriffs.
Weniger dramatisch, aber massenhaft: gezieltes Phishing (Mails, die exakt deinen Namen und deine Börse kennen) und SIM-Swapping (Übernahme deiner Handynummer, um SMS-Codes abzufangen). Beides wird durch geleakte Kontaktdaten erst richtig treffsicher.
DSGVO-Einordnung für deutsche Nutzer
Ein KYC-Leak bei einem Anbieter, der EU-Bürger bedient, ist in aller Regel ein meldepflichtiger Vorfall nach Datenschutz-Grundverordnung. Betroffene Unternehmen müssen ein Datenleck grundsätzlich innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden und Betroffene informieren, wenn ein hohes Risiko besteht. In der Praxis sitzen viele Krypto-Anbieter aber außerhalb der EU, was die Durchsetzung erschwert. Für dich heißt das: Verlass dich nicht darauf, dass dich jeder Anbieter zuverlässig warnt – prüfe selbst.
Ob deine E-Mail-Adresse in einem bekannten Leak auftaucht, kannst du kostenlos über Dienste wie Have I Been Pwned gegenprüfen. Wie du dich nach einem Treffer richtig verhältst, zeigt unser Leitfaden was bei einem Datenleck zu tun ist; ein dauerhaftes Datenleck-Monitoring warnt dich automatisch, sobald neue Daten auftauchen.
So schützt du dich – bevor der nächste Leak kommt
Die unbequeme Wahrheit hinter dieser Liste: Die einzigen Daten, die nie leaken können, sind die, die du gar nicht erst herausgibst. Diese Grundregeln senken dein Risiko deutlich:
- Coins runter von der Börse. Was in Selbstverwahrung auf einer Hardware-Wallet liegt, taucht in keiner Börsen-Datenbank auf.
- Datensparsamkeit. Nur so viel verifizieren wie nötig, keine Zusatzdaten hinterlegen, die nicht gebraucht werden.
- Eigene E-Mail-Adresse pro Krypto-Dienst. So lässt sich ein Leak eindeutig zuordnen und der Schaden eingrenzen.
- Authenticator-App statt SMS. App-basierte oder Hardware-2FA macht SIM-Swapping wirkungslos.
- Guthaben nie öffentlich machen. Keine Screenshots, keine Prahlerei – Anonymität ist Sicherheit.
- Physische Sicherheit mitdenken. Wer nennenswerte Beträge hält und dessen Adresse geleakt sein könnte, sollte über getrennte Aufbewahrung und ein „nur ein kleiner Teil ist greifbar"-Setup nachdenken.
Weiterlesen
Der wirksamste Hebel gegen jedes Börsen-Leck ist die eigene Verwahrung. Wie du deine Coins Schritt für Schritt von der Börse auf eine Hardware-Wallet holst, welches Gerät für Einsteiger und welches für Fortgeschrittene sinnvoll ist und welche Fehler beim Einrichten Geld kosten, liest du in unserem Leitfaden zur Selbstverwahrung – Hardware-Wallet statt Börse – die logische Konsequenz aus allem, was auf dieser Seite steht.
Viele der hier gelisteten Vorfälle führten anschließend nicht zum Verlust von Passwörtern, sondern zu SIM-Swapping und abgefangenen SMS-Codes. Warum SMS als zweiter Faktor gefährlich ist und wie du in wenigen Minuten auf eine sichere Authenticator-App umsteigst, zeigt unsere Anleitung zur Zwei-Faktor-Authentifizierung. Gerade nach einem Datenleck ist das der schnellste wirksame Schutz.
Wer sein Krypto-Vermögen umfassend absichern will – von der richtigen Wallet-Wahl über sichere Backups der Seed-Phrase bis zur Nachlassplanung – findet die vollständige Systematik in unserem Ratgeber Krypto-Vermögen schützen. Er greift genau die Risiken auf, die diese Leak-Liste sichtbar macht, und übersetzt sie in konkrete Schritte.
Häufige Fragen (FAQ)
Ein KYC-Leak ist der Diebstahl oder die versehentliche Offenlegung von Identitätsdaten, die Nutzer zur Verifizierung („Know Your Customer") bei einem Anbieter hochladen mussten – etwa Ausweisfotos, Adressen und Geburtsdaten. Anders als ein reines Passwort-Leck lassen sich diese Daten nicht ändern.
Ein Passwort setzt man in Minuten neu. Deine Wohnadresse, dein Ausweisfoto und die Information, wie viel Krypto du hältst, bleiben dauerhaft gültig und kursieren nach einem Leak endlos weiter – als fertige Zielliste für Phishing, Erpressung und im Extremfall körperliche Angriffe.
Nein. Der große Ledger-Vorfall 2020 betraf die Shop- und Marketing-Datenbank, also Name, E-Mail, Telefon und Anschrift – keine hochgeladenen Ausweisdokumente, und keine Wallets oder Guthaben. Gefährlich war er trotzdem, weil geleakte Wohnadressen für gezielte Angriffe reichen.
Nicht zwangsläufig, denn viele Vorfälle betrafen nur einen Teil der Nutzer oder einen bestimmten Zeitraum. Prüfe deine E-Mail-Adresse bei einem Dienst wie Have I Been Pwned, achte auf ungewöhnlich gut informierte Phishing-Mails und stelle – falls noch nicht geschehen – von SMS- auf App-2FA um.
Für regulierte zentrale Börsen in der Regel ja – die Pflicht liegt dort beim Anbieter. Wer lediglich ein Krypto-Asset in ein anderes tauschen oder aus eigener Wallet heraus agieren will, ist in vielen Ländern nicht verpflichtet, dafür ein Konto samt Identitätsnachweis anzulegen. Was in deinem Fall gilt, hängt von deiner Situation ab; diese Seite ersetzt keine Rechtsberatung.