Kraken Falle 2026: Social Engineering — was Geschädigte wissen sollten

Am 31. März 2026 machte der Blockchain-Forensiker ZachXBT öffentlich, dass ein KYC-verifizierter Nutzer der Handelsplattform kraken[.]com durch eine Kraken Falle — einen Social-Engineering-Angriff — einen Verlust von 18,2 Millionen US-Dollar erlitten hatte. Nach Darstellung von ZachXBT flossen die Mittel über THORChain auf 47 Empfänger-Adressen ab, teilweise in XMR konvertiert. Wer bei kraken[.]com Kapital hält oder verloren hat, sollte die eigene rechtliche Position unverzüglich prüfen lassen.

Viele Betroffene fragen derzeit: Haftet kraken[.]com für Verluste durch die Kraken Falle? Bestehen Ansprüche nach § 675u BGB oder nach MiCAR? Und wie lässt sich die THORChain-Spur für eine Rückforderung nutzen? Dieser Beitrag beantwortet diese Fragen aus der Perspektive des deutschen Kapitalmarkt- und Zahlungsdiensterechts.

Wovor warnt die FCA in Bezug auf die Kraken Falle?

Die britische Financial Conduct Authority (FCA) hat kraken[.]com als regulierten Krypto-Dienstleister für den britischen Markt zugelassen. Für den deutschen Markt verfügt kraken[.]com über eine Registrierung bei der BaFin als Kryptoverwahrer. Deshalb gilt: Anders als bei unregulierten Offshore-Plattformen greifen bei kraken[.]com die Schutzvorschriften eines regulierten Anbieters — gleichzeitig schärft das die Sorgfaltspflichten der Plattform erheblich.

Nach Art. 70 MiCAR sind Krypto-Asset-Dienstleister verpflichtet, angemessene Sicherheitsvorkehrungen zu treffen, um Kundenvermögen vor unbefugtem Zugriff zu schützen. Zudem ergibt sich aus § 675u BGB ein direkter Erstattungsanspruch bei nicht autorisierten Zahlungsvorgängen. Die Frage, ob der Abfluss von 18,2 Millionen USD durch die Kraken Falle als nicht autorisierter Zahlungsvorgang gilt, ist der Kern der rechtlichen Auseinandersetzung — deshalb empfiehlt sich eine sorgfältige rechtliche Prüfung.

Welche Erlaubnislücke zeigt die Kraken Falle 2026?

kraken[.]com ist eine regulierte Plattform, jedoch zeigt die Kraken Falle eine Schutzlücke im Bereich der Account-Sicherheit. Die Täter nutzten eine gefälschte Support-Hotline, leiteten das Opfer auf die Phishing-Domain kraken-secure-verify[.]com weiter und erbeuteten 2FA-Token sowie API-Keys. Deshalb stellt sich die Frage, ob kraken[.]com seine Sorgfaltspflicht nach § 675l BGB und Art. 70 MiCAR vollständig erfüllt hat.

Für deutsche Anleger bedeutet das: Ein Schadensersatzanspruch gegen kraken[.]com setzt voraus, dass der Plattform Organisationsverschulden nachgewiesen wird — etwa unzureichende Warnung vor bekannten Phishing-Domains. Folglich ist die Dokumentation aller Kommunikation mit kraken[.]com rund um den Angriff unverzichtbar. Zudem können Banken, die Einzahlungen an kraken[.]com abwickelten, für unzureichende Identitätsprüfung herangezogen werden.

Was stellt die Plattform zur Kraken Falle fest — und was nicht?

kraken[.]com hat die Kraken Falle und den Vorfall nicht offiziell kommentiert, soweit öffentlich bekannt ist. ZachXBT hat die On-Chain-Spur öffentlich dokumentiert und die Mittelflüsse über THORChain in BTC und XMR nachgewiesen. Jedoch handelt es sich dabei um eine forensische Analyse ohne behördliche Verbindlichkeit. Was die Plattform hingegen nicht feststellt, ist die Frage der eigenen Haftung — diese ist durch zivilrechtliche Klärung zu ermitteln.

Dennoch ist die forensische Dokumentation durch ZachXBT für Geschädigte wertvoll: Sie belegt den Zeitpunkt des Abflusses, die Wallet-Adressen der Täter und die Konvertierungsschritte. Somit ist die Grundlage für eine gerichtsfeste Schadensdarstellung vorhanden. Betroffene sollten diese öffentlich zugänglichen Analysen daher als ergänzende Belege sichern und in die eigene Dokumentation aufnehmen.

Welche forensischen Ansatzpunkte ergeben sich bei der Kraken Falle?

Die On-Chain-Spur der Kraken Falle ist außergewöhnlich detailliert dokumentiert. Die abgeflossenen Mittel wurden auf 47 Empfänger-Adressen verteilt, über THORChain in BTC konvertiert und teilweise in XMR verschleiert. Für Betroffene empfiehlt sich folgendes Vorgehen: Sichern Sie alle Account-Aktivitätslogs bei kraken[.]com, inklusive Login-Zeitstempel, API-Key-Aktivierungen und Abhebungsanfragen.

Eine weiterführende Übersicht zu Durchsetzungsstrategien bietet kryptoschaden.de. Zudem finden Sie bei anwalt.de zur Blockchain-Forensik eine Erläuterung, wie THORChain-Transaktionen gerichtsfest ausgewertet werden. Deshalb sollten diese Schritte so früh wie möglich eingeleitet werden, da Exchange-Logs nach kurzer Frist gelöscht werden können.

Was bedeutet die Kraken Falle für Personen mit Kontakt zu kraken[.]com?

Wer Kapital bei kraken[.]com verloren hat oder einen ungewöhnlichen Abfluss festgestellt hat, sollte unverzüglich handeln. Zunächst sollten alle Zugangsdaten sofort geändert und die API-Keys deaktiviert werden. Zudem empfiehlt sich eine vollständige Sicherung aller Kontodaten, Transaktionshistorie und Support-Kommunikation. Gleichzeitig sollte Strafanzeige erstattet werden.

Darüber hinaus gilt: Wer von Dritten kontaktiert wird, die die abgeflossenen Mittel gegen eine Vorauszahlung zurückholen wollen, sollte dies als Folgebetrug einordnen. Stattdessen empfiehlt sich die unmittelbare anwaltliche Begleitung. Auf anwalt.de zur Rückforderung von Kryptowerten wird erläutert, welche zivilrechtlichen Ansprüche gegen kraken[.]com und gegen die Täter konkret bestehen. Folglich erhöht eine frühzeitige anwaltliche Begleitung die Chancen auf Rückforderung erheblich.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern