Rhea Finance: Hack April 2026 – was Geschädigte wissen sollten

Der Rhea Finance Hack vom April 2026 verursachte einen Schaden von 18,4 Millionen US-Dollar auf einer Lending-Plattform des NEAR-Protocol-Ökosystems. Tether sicherte rund 9 Millionen US-Dollar durch Einfrierung von 3,29 Millionen USDT in einem Angreifer-Wallet. Für europäische Geschädigte bestehen konkrete zivilrechtliche Anspruchsgrundlagen — vorausgesetzt, die Beweissicherung beginnt sofort.

Wer nach „Rhea Finance Hack Entschädigung“, „Rhea Finance NEAR Protocol Betrug“ oder „Rhea Finance Geld zurück“ sucht, findet hier die rechtlich relevanten Hintergründe. Nach Darstellung des Post-Mortems lag der tatsächliche Schaden mit 18,4 Millionen US-Dollar deutlich über dem zunächst kommunizierten Wert von 7,6 Millionen. Das ist ein Hinweis auf die Bedeutung unabhängiger forensischer Analyse.

Was bedeutet der Rhea Finance Hack für Geschädigte im NEAR-Ökosystem?

Zwischen dem 13. und 15. April 2026 bereitete ein unbekannter Angreifer einen technisch aufwendigen Exploit vor. Er richtete 423 Intermediär-Wallets ein, deployte gefälschte Token-Pools auf Ref Finance und erstellte manipulierte Token-Verträge. Diese logistische Dimension belegt folglich keine spontane, sondern eine planmäßige Ausnutzung — deshalb begründet sie nach § 263a StGB den Betrugsvorsatz mit großer Eindeutigkeit.

Der eigentliche Exploit nutzte einen Bug im Slippage-Schutz der Margin-Trading-Funktion. Bei sequenziellen Swaps zählte das System den Wert desselben Tokens doppelt; dadurch konnte der Angreifer weit mehr Mittel abziehen, als ihm zustand. Der Fehler lag zudem im Protokollcode selbst — die Plattformbetreiber haben daher die fehlerhafte Software bereitgestellt und gewartet. Folglich ergeben sich daraus zivilrechtliche Haftungsansprüche unabhängig von der strafrechtlichen Verfolgung des Angreifers.

Welche Erlaubnislücke zeigt der Hack bei Rhea Finance?

Rhea Finance operierte als DeFi-Lending-Protokoll ohne MiCAR-Konformität. Art. 60 MiCAR verpflichtet seit Dezember 2024 Anbieter von Krypto-Dienstleistungen an EU-Bürger zur Zulassung als CASP. Plattformen, die diese Anforderung ignorieren und dennoch Leistungen an EU-Nutzer erbringen, handeln ohne die erforderliche Erlaubnis — das eröffnet Schadensersatzansprüche nach § 823 BGB i.V.m. Art. 60 MiCAR. Zudem kommen Ansprüche aus § 826 BGB in Betracht, wenn nachgewiesen wird, dass den Betreibern die Protokollschwachstelle bekannt war oder hätte bekannt sein können.

Folglich ist die Haftungsfrage nicht auf den unbekannten Angreifer beschränkt. Zudem steht die Frage im Raum, ob Geschädigte aus der Einfrierung durch Tether ein eigenes Herausgaberecht ableiten können. Das hängt jedoch von der Koordination mit Strafverfolgungsbehörden und einer möglichen Einziehungsanordnung nach § 111e StPO ab.

Was stellt das Post-Mortem fest — und was nicht bei Rhea Finance?

Das Post-Mortem stellt fest, dass ein Doppelzählungsfehler ausgenutzt wurde und dass der Schaden auf 18,4 Millionen US-Dollar korrigiert wurde. Es stellt ferner fest, dass Tether 3,29 Millionen USDT eingefroren hat. Was das Post-Mortem hingegen nicht feststellt, ist die Identität des Angreifers sowie eine verbindliche Entschädigungszusage — das bleibt Gegenstand laufender forensischer und rechtlicher Prozesse.

Nach Darstellung der Protokoll-Analyse handelte der Angreifer über mindestens zwei Tage planmäßig und mit hoher technischer Kompetenz. Deshalb ist die Beurteilung als zufälliger Exploit rechtlich nicht haltbar; vielmehr liegt organisiertes Handeln mit Schädigungsabsicht vor. Das stützt deliktische Ansprüche nach § 823 BGB sowie nach § 826 BGB — vorsätzliche sittenwidrige Schädigung — gleichzeitig.

Welche forensischen Ansatzpunkte ergeben sich beim Rhea Finance Hack?

Blockchain-Tracing ist das zentrale Werkzeug: Die 423 Intermediär-Wallets des Angreifers sind on-chain sichtbar und können auf Exchange-Adressen oder Mixer-Dienste zurückverfolgt werden. Sobald ein Wallet einer bekannten Exchange zugeordnet ist, lässt sich dort über den AML-Compliance-Prozess eine gerichtliche Herausgabepflicht geltend machen.

Tether hat bereits einen Teil der Mittel eingefroren; dieser Teil ist deshalb für eine Einziehungsanordnung nach § 111e StPO angreifbar, sofern Behörden koordiniert vorgehen. Die Übersicht der Scam-Broker-Warnungen auf kryptoschaden.de zeigt, dass ähnliche DeFi-Exploits häufig über denselben Kreis von Intermediär-Diensten abgewickelt werden.

Außerdem empfiehlt sich eine sofortige Sicherung aller Transaktionsdaten: Wallet-Adressen, Transaktions-Hashes und Zeitstempel sind gerichtsfest zu sichern.

Wer die ersten Stunden richtig nutzt, verbessert seine Ausgangslage erheblich. Der Beitrag „Erste Stunden nach Erkennen eines Krypto-Betrugs“ enthält daher konkrete Handlungsempfehlungen.

Was bedeutet der Hack für Personen mit Verlusten bei Rhea Finance?

Betroffene sollten keine weiteren Transaktionen vornehmen. Recovery-Scam-Angebote, die eine Vorabzahlung für eine Entschädigung versprechen, sind ebenfalls abzulehnen. Stattdessen empfiehlt sich die Kooperation mit Strafverfolgungsbehörden sowie die Einleitung eines zivilrechtlichen Verfahrens gegen die Plattformbetreiber. Letztere haften, weil sie eine fehlerhafte Software betrieben haben; deshalb ist die Haftungsfrage losgelöst vom Ermittlungserfolg gegen den Angreifer selbst.

Die Rückforderung von Kryptowerten ist möglich, aber zeitkritisch — eingefrorene Wallets und Einziehungsanordnungen haben begrenzte Zeitfenster. Der Beitrag „Rückforderung von Kryptowerten bei unerlaubten Anbietern“ erläutert die wesentlichen Anspruchsgrundlagen und Verfahrensschritte. Somit gilt: schnelles, dokumentiertes Handeln ist die Voraussetzung dafür, dass eine Rückführung überhaupt möglich ist.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern