Veröffentlicht: Montag, 31. August 2026 · Pocket Bitcoin
Am 21. August haben wir Informationen zum Sicherheitsvorfall bei Pocket Bitcoin veröffentlicht. Wir haben damals angekündigt, dass wir Kunden persönlich kontaktieren würden, falls mehr als nur ihre Support-Korrespondenz betroffen sein sollte. Diese Nachrichten wurden heute verschickt.
Wenn du heute keine persönliche E-Mail von uns erhalten hast, gelten für dich weiterhin die Informationen aus unserem ersten Blogbeitrag.
Was wir herausgefunden haben#
Als reguliertes Unternehmen sind wir verpflichtet, die Identität und bei bestimmten Transaktionen die Herkunft der Gelder zu überprüfen, bevor ein Kauf oder Verkauf stattfinden kann. Dazu gehört auch der Schriftverkehr mit der Partnerbank, die eine Zahlung abwickelt. Je nach Fall reicht das von einem Namen bis hin zu Identitäts- und Herkunftsnachweisen. Ein Teil dieses Schriftverkehrs wurde in unserem Support-System gespeichert, das vom Vorfall betroffen war.
Unsere Untersuchung hat bestätigt, dass 291 Kunden auf diese Weise betroffen sind. Was die Korrespondenz enthielt, ist von Fall zu Fall unterschiedlich: Gruppenweit umfasst sie Namen, Postadressen, für Transaktionen verwendete Bitcoin-Adressen, Kopien von Ausweisdokumenten und Unterlagen zur Herkunft der Geldmittel in unterschiedlichen Kombinationen. Bei den meisten Personen sind es nur einige dieser Angaben. Dieser Teil unserer Analyse ist abgeschlossen, und alle Betroffenen haben heute eine persönliche E-Mail von uns erhalten, in der genau dargelegt wird, was auf sie zutrifft.
Was betroffen war: weitere Details#
In unserem ersten Beitrag wurden drei Dinge als «nicht betroffen» aufgeführt: Bitcoin-Adressen, die Kundendatenbank einschliesslich KYC-Daten und die Transaktionshistorie. Das war recht allgemein formuliert. Die entscheidende Unterscheidung liegt zwischen unseren Systemen und den Daten selbst: Keines dieser Systeme wurde kompromittiert, und das gilt nach wie vor, aber Daten dieser Art waren in der offengelegten Korrespondenz enthalten.
Die Bitcoin unserer Kunden waren zu keinem Zeitpunkt gefährdet. Eine Bitcoin-Adresse ist kein Zugang zu Geldern, sondern eine öffentliche Information auf der Blockchain, und für den Transfer von Bitcoin sind private Schlüssel erforderlich, die die Gerät unserer Kunden nie verlassen. Was sich durch die Offenlegung ändert, ist, dass eine Adresse mit einem Namen und bei einigen Kunden auch mit einer Postadresse und einem Betrag verknüpft werden kann.
Wurden die Daten missbraucht?#
Nach aktuellem Stand haben wir keine Hinweise darauf, dass die betroffenen Informationen missbraucht wurden. Das spiegelt den heutigen Stand wider und ist keine Garantie.
Bin ich betroffen?#
Wenn du zu den 291 gehörst, hast du heute eine persönliche E-Mail von uns erhalten, in der genau aufgeführt ist, was in deinem Fall betroffen war. Wenn du keine solche E-Mail erhalten hast, gilt für dich nichts ausser dem, was wir am 21. August beschrieben haben.
Was wir tun#
- Jeder betroffene Kunde wurde heute direkt und persönlich kontaktiert.
- Der Vorfall wurde dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet, und wir haben Anzeige bei der Polizei erstattet.
- Die forensische Untersuchung ist abgeschlossen.
- Wir haben bereits eine Reihe von Massnahmen ergriffen und arbeiten an weiteren Verbesserungen beim Umgang mit und der Übermittlung solcher Informationen. Wir werden in den nächsten Wochen mehr dazu mitteilen.
Was jetzt am wichtigsten ist#
Da Details aus der Support-Korrespondenz kopiert wurden, kann eine Nachricht, die sich auf diesen Vorfall bezieht, überzeugender wirken als eine gewöhnliche. Wenn du in einer E-Mail, einem Anruf oder einer Nachricht aufgefordert wirst, schnell zu handeln oder etwas zu «überprüfen», wende dich bitte selbst an den offiziellen Kanal der Organisation, anstatt die dort angegebenen Links oder Nummern zu nutzen.
Und Pocket Bitcoin wird dich niemals nach deiner Seed-Phrase fragen.
Wie geht es weiter?#
Alle weiteren Updates werden hier veröffentlicht. Wir sind uns bewusst, dass ein Vorfall wie dieser das Vertrauen erschüttert, das ihr in uns gesetzt habt, und denjenigen, deren Daten offengelegt wurden, gilt unser aufrichtiges Bedauern.
Das Pocket Bitcoin-Team
Häufig gestellte Fragen#
Wie passt das zu dem, was ihr am 21. August geschrieben habt?#
Am 21. August haben wir euch mitgeteilt, was wir zu diesem frühen Zeitpunkt wussten, und angekündigt, dass wir im Verlauf der Untersuchung weitere Informationen nachreichen würden. Dieses Update ist diese Nachmeldung. Inzwischen ist klar geworden, dass Daten aus der an unsere Partnerbanken weitergeleiteten Korrespondenz von 291 Kunden betroffen waren, darunter bei einigen auch ihre KYC-Daten und/oder eine für ihre Transaktion verwendete Bitcoin-Adresse. Unsere Systeme selbst (Kundendatenbank mit KYC-Daten, Transaktionsdatenbank) wurden nicht kompromittiert; die Daten wurden durch diese kopierte Korrespondenz offengelegt. Um beide Beiträge konsistent zu halten, haben wir dem ersten Beitrag datierte Anmerkungen hinzugefügt.
Warum hattet ihr diese Dokumente überhaupt?#
Als reguliertes Unternehmen sind wir verpflichtet, die Identität und bei bestimmten Transaktionen die Herkunft der Gelder zu überprüfen, bevor ein Kauf oder Verkauf stattfinden kann.
Im Rahmen des Compliance-Prozesses, den wir einhalten müssen, leiten wir bestimmte Informationen an die Partnerbank weiter, die eine Zahlung abwickelt. Diese Korrespondenz wurde in unserem Support-System gespeichert, das von dem Vorfall betroffen war. Wir überprüfen und verbessern derzeit den Umgang mit dieser Art von Informationen.
Sind meine Bitcoin betroffen?#
Nein. Pocket Bitcoin ist nicht-verwahrend. Deine privaten Schlüssel verlassen niemals dein Gerät, und wir haben niemals Zugriff auf dein Guthaben.
Kann jemand sehen, wie viel Bitcoin ich besitze, und sollte ich sie verschieben?#
Wenn deine Adresse offengelegt wurde, kann jemand, der sie hat, den Betrag und die Historie dieser Adresse in der Blockchain einsehen. Deine Bitcoin-Adresse ist von Natur aus öffentlich; neu ist jedoch, dass sie mit deinem Namen in Verbindung gebracht werden kann. Das Verschieben von Guthaben macht nicht rückgängig, was bereits in der Blockchain steht, trennt aber deine zukünftigen Aktivitäten von der offengelegten Adresse. So oder so kann niemand deine Bitcoin mit den offengelegten Informationen bewegen.
Wie sieht’s mit den Beträgen aus?#
Unsere Transaktionsdatenbank wurde nicht kompromittiert. Wo jedoch Unterlagen zur Herkunft der Gelder oder Korrespondenz über eine Zahlung betroffen waren, waren oft auch Beträge darin enthalten. Für alle ausserhalb dieser Gruppe waren keine Kauf- oder Verkaufsdaten betroffen.
Wird es weitere Fälle geben?#
Nein. Die Analyse der an Partnerbanken weitergeleiteten Korrespondenz ist abgeschlossen, und alle in dieser Gruppe wurden am 30. August kontaktiert.
Ist meine zukünftige Kommunikation mit Pocket sicher?#
Ja. Die Sicherheitslücke, die diesem Vorfall zugrunde lag, wurde geschlossen, und wir haben seitdem weitere Sicherheitsmassnahmen eingeführt. Daher werden alle E-Mails oder Chat-Nachrichten, die du uns ab sofort sendest, über unsere gesicherten Systeme abgewickelt und sind von diesem Vorfall nicht betroffen. Kauf und Verkauf sind davon unberührt und funktionieren wie gewohnt.
Kann ich euch bitten, meine Dokumente zu löschen?#
Teilweise. Wir sind gesetzlich verpflichtet, bestimmte Compliance-Unterlagen für einen festgelegten Zeitraum aufzubewahren und dürfen sie innerhalb dieser Frist nicht löschen. Für alles, was darüber hinausgeht, schreib uns einfach, und wir prüfen, was für dein Konto gilt.
An wen wende ich mich bei Fragen?#
Wenn du eine persönliche E-Mail von uns erhalten hast, antworte direkt darauf. Unsere Telefonleitungen sind im Moment stärker ausgelastet als sonst, daher geht es per E-Mail meist schneller.