Schauen Sie, im Oktober 2026 haben Krypto-Casinos dieselbe Lektion zweimal in neunzehn Tagen gelernt. Am 13. Oktober leerten Angreifer Gamdoms Hot Wallets über fünf Chains in weniger als einer Stunde. Am 24. September ging Duelbits dunkel, nachdem seine eigenen Hot Wallets leergeräumt wurden. Zusammen kosteten die beiden Vorfälle zwischen 7 und 11 Millionen US-Dollar, je nachdem, wessen Zahlen man vertraut. Beide Betreiber sagten dieselben vier Worte: Nutzergelder sind sicher. Keiner hat einen Post-Mortem veröffentlicht.
Die Schlagzeilen-Zahlen sind weniger wichtig als das Muster. Dies waren keine Smart-Contract-Exploits oder cleveren Protokoll-Bugs. Es waren Angriffe auf die langweilige Infrastruktur, die jedes Krypto-Casino betreibt, um sofortige Auszahlungen zu ermöglichen. Wenn Sie ein Guthaben bei einem Offshore-Krypto-Casino halten, ist diese Infrastruktur das, was zwischen Ihrem Geld und der Wallet von jemand anderem steht.
Was beim Gamdom-Hack geschah
Der Drain begann am 13. Oktober gegen 15:50 UTC. Innerhalb etwa einer Stunde schickten Gamdoms Hot Wallets auf Ethereum, Solana, BNB Chain, Tron und dem XRP Ledger jeweils eine große Zahlung an eine einzelne Angreifer-Adresse auf der jeweiligen Chain. Gamdoms erster öffentlicher Beitrag um 18:45 UTC beschrieb die Seite als offline und versprach eine schnelle Rückkehr.
Die Erklärung kam am nächsten Tag. Mitarbeiter, die einen scheinbaren Server-Festplattenfehler untersuchten, fanden eine unbefugte Verbindung auf einem Automatisierungsserver, der Maschine, die Auszahlungen ohne menschliches Eingreifen signiert und ausführt. Gründer Felix Römer bestätigte eine Kompromittierung des Hot-Wallet-Systems, sagte, der Drain sei gestoppt worden, und sagte, verbleibende Vermögenswerte seien in Cold Storage verschoben worden. Seine Verlustzahl: knapp über 3 Mio. USD. Dennoch zählte der On-Chain-Ermittler vxdb mehr. Nach dieser Zählung entkam der Angreifer mit 4,208 Millionen US-Dollar.
| Netzwerk | Geschätzter abgezogener Betrag |
|---|---|
| EVM-Chains (Ethereum, BNB Chain, Polygon, Arbitrum, Optimism) | Etwa 2,2 Millionen US-Dollar |
| Solana | Etwa 965.000 US-Dollar |
| Bitcoin | Etwa 668.000 US-Dollar |
| Tron | Etwa 375.000 US-Dollar |
| Gesamt (vxdb-Schätzung) | 4,208 Millionen US-Dollar |
| Gamdoms eigene Zahl | Knapp über 3 Millionen US-Dollar |
Die Lücke von 1,2 Millionen US-Dollar wurde nicht erklärt. Interne Transfers zwischen den eigenen Wallets eines Betreibers können externe Schätzungen aufblähen, sodass vxdb möglicherweise zu hoch zählt. Gamdom zählt möglicherweise auch zu niedrig. Ohne eine veröffentlichte Aufschlüsselung des Casinos kann niemand außerhalb des Unternehmens sagen, was zutrifft.
Gamdom ging am 16. Oktober um 12:34 UTC wieder online, nach mehr als zwei Tagen Ausfallzeit. Es kam mit einem täglichen Leaderboard über 45.000 US-Dollar, einem 20%igen Einzahlungsbonus für bestehende Nutzer und einem zweiten Relaunch-Wochen-Wettbewerb zurück. Das ist eine sehr casino-typische Art, sich zu entschuldigen. Die Leute bitten, mehr einzuzahlen.
Der Angreifer tauschte Stablecoins in DAI und das sagt Ihnen etwas
Das interessanteste Detail in der On-Chain-Spur ist nicht die Größe des Diebstahls. Es ist, was in den ersten Minuten geschah. Eine frische Ethereum-Wallet sammelte etwa 1,2 Millionen US-Dollar von drei der Hot Wallets und tauschte sofort die USDT und USDC in DAI. Eine zweite Wallet, die auch die BNB-Chain-Zahlung erhielt, sammelte etwa 870.000 US-Dollar in DAI, viel davon über eine Bridge.
Hand aufs Herz, dieser Tausch ist Absicht. Tether und Circle können USDT und USDC auf Vertragsebene einfrieren, und beide haben das schon für gehackte Gelder getan. DAI hat keinen Emittenten mit einem Einfrier-Knopf. Bis zum frühen 14. Oktober hielten die beiden Wallets rund 2 Millionen US-Dollar, und etwa 1,8 Millionen US-Dollar in DAI plus 87 ETH haben sich seitdem kaum bewegt. Die Tron- und XRP-Empfänger verhielten sich anders und leiteten Gelder innerhalb von 80 Minuten weiter. Natürlich, die Erkenntnis für Spieler: Die Stablecoin-Einfrierfunktion, die Casinos und Regulierer gerne als Sicherheitsnetz anführen, funktioniert nur, wenn jemand sie in den ersten Minuten betätigt. Ein kompetenter Angreifer konvertiert, bevor jemand bei Tether den Alarm gelesen hat.
Was beim Duelbits-Hack geschah
Duelbits hatte das schon durchgemacht. Am 24. September meldeten Sicherheitsforscher verdächtige Abflüsse aus seinen Hot Wallets auf Ethereum, BNB Chain und Tron. Erste Schätzungen bezifferten die Verluste auf 4,2 Millionen US-Dollar. Spätere Analysen, die Bitcoin- und Solana-Aktivitäten einbezogen, hoben die Zahl auf etwa 5,9 Millionen US-Dollar. Mitgründer Joe gab sie mit rund 7 Millionen US-Dollar an, was höher ist als jede externe Schätzung.
SlowMist klassifizierte die Ursache als Kompromittierung des privaten Schlüssels einer Hot Wallet und nicht als Protokoll-Bug. Duelbits nahm die Seite offline, sagte, Nutzergelder seien sicher, und ging am 27. September mit wieder live geschalteten Ein- und Auszahlungen online. Die Relaunch-Erklärung behauptete rund 8 Millionen US-Dollar über Hot- und Cold-Wallets. Bis zum 8. Oktober bot der Betreiber dem mutmaßlichen Inhaber der Gelder öffentlich ein Kopfgeld für deren Rückgabe an.
Dies war nicht Duelbits' erstes Mal. Im Februar 2024 meldete CertiK, dass etwa 4,6 Millionen US-Dollar aus den Hot Wallets desselben Casinos entnommen worden waren. Zwei Drains ähnlicher Größe in weniger als drei Jahren sind kein Pech. Es ist ein Architekturproblem.
Wie die Casino-Hacks von 2026 im Vergleich zu früheren abschneiden
Die Recherche von CryptoCasino.Vegas hat die wichtigsten öffentlich gemeldeten Hot-Wallet-Vorfälle bei Krypto-Casinos und ihren Zahlungsabwicklern in einer Übersicht zusammengefasst. Die Zahlen verwenden die Spanne zwischen Betreiberaussagen und On-Chain-Schätzungen, wo sie voneinander abweichen. Schauen Sie,
| Plattform | Datum | Gemeldeter Verlust | Angriffstyp | Ausfallzeit |
|---|---|---|---|---|
| Stake | September 2023 | Etwa 41 Millionen US-Dollar | Hot-Wallet-Schlüssel, vom FBI der nordkoreanischen Lazarus Group zugeschrieben | Stunden (Auszahlungen pausiert) |
| Duelbits | Februar 2024 | Etwa 4,6 Millionen US-Dollar | Hot-Wallet-Kompromittierung | Nicht öffentlich detailliert |
| Duelbits | 24. September 2026 | 4,2 Millionen bis 7 Millionen US-Dollar | Verdacht auf Kompromittierung privater Schlüssel | Etwa 3 Tage |
| Gamdom | 13. Oktober 2026 | 3 Millionen bis 4,2 Millionen US-Dollar | Unbefugter Zugriff auf Auszahlungs-Automatisierungsserver | Etwa 2 Tage |
Der breitere Markt ist nicht beruhigend. TRM Labs zählte 207 Krypto-Diebstahlsvorfälle im Wert von 972 Millionen US-Dollar in der ersten Hälfte von 2026 und stellte fest, dass Infrastruktur- und operative Kompromittierungen etwa 76% der gestohlenen Gelder ausmachten. CertiK meldete für Q3 2026 Verluste von 1,28 Milliarden US-Dollar, 56,2% mehr als im Vorquartal, mit 773,4 Millionen US-Dollar allein im September. Casinos sind einfach eine weitere Betreiberklasse, die große, immer online befindliche Wallets betreibt.
Sind Ihre Gelder sicher, wenn ein Krypto-Casino gehackt wird?
„Nutzergelder sind sicher“ bedeutet etwas Engeres, als es klingt. Spielerguthaben bei einem custodialen Casino sind ein Datenbankeintrag. Die Coins dahinter liegen in Betreiber-Wallets, vermischt. Wenn eine Hot Wallet leergeräumt wird, ändert sich kein individuelles Spielerguthaben. Der Betreiber absorbiert das Loch aus seiner eigenen Treasury und bedient weiterhin Auszahlungen, sofern er kann.
Ehrlich gesagt, dieser Vorbehalt ist die ganze Geschichte. Ein Casino mit tiefen Cold-Reserven kann einen Verlust von 4 Millionen US-Dollar verkraften und weitermachen. Ein dünnerer Betreiber könnte Auszahlungen monatelang still verlangsamen, während er Liquidität wieder aufbaut. Von außen sehen beide identisch aus, bis Sie versuchen, auszuzahlen. Wallet-Tracker verzeichneten am 12. Oktober rund 10,5 Millionen US-Dollar in Gamdoms überwachten Hot Wallets und am Tag danach etwa 76.000 US-Dollar. Das beweist nicht die Größe des Diebstahls, aber es zeigt, wie viel an einem gewöhnlichen Tag bei einem großen Betreiber in Hot Storage liegen kann.
Und die Ausfallzeit ist ein echter Kostenfaktor, selbst wenn nichts verloren geht. Zwei bis drei Tage lang konnten Spieler bei beiden Casinos nichts auszahlen. Wenn Sie ein großes Guthaben und einen Grund hatten, es zu bewegen, war dieses Zeitfenster nicht Ihre Wahl.
Was Krypto-Casino-Spieler jetzt tun sollten
Behandeln Sie ein Casino-Guthaben als temporär. Das sicherste Krypto-Casino-Guthaben ist das, das Sie nach Ihrer Session abgehoben haben. Hot Wallets existieren, damit Auszahlungen schnell sind. Nutzen Sie diese Geschwindigkeit.
Achten Sie darauf, wie Betreiber nach einem Vorfall sprechen. Ein veröffentlichter Post-Mortem, Reserve-Adressen und eine klare Verlustzahl sind gute Zeichen. Ein Relaunch-Bonus ohne technische Erklärung ist es nicht.
Fragen Sie nach einem Reserve-Nachweis, bevor Sie größere Beträge parken. Sehr wenige Krypto-Casinos veröffentlichen Wallet-Adressen oder Guthaben-Snapshots. Diejenigen, die es tun, geben Ihnen etwas zum Überprüfen. Der Rest gibt Ihnen ein Versprechen.
Verlassen Sie sich nicht auf Stablecoin-Einfrierungen. Der Gamdom-Angreifer war innerhalb von Minuten in DAI. Einfrierbare Stablecoins schützen Emittenten mehr als Sie. Außerdem brauchen automatisierte Auszahlungen per Definition eine Hot Wallet. CryptoCasino.Vegas bietet ebenfalls sofortige automatisierte Auszahlungen an, weshalb die nützliche Frage für jeden Betreiber nicht ist, ob eine Hot Wallet existiert, sondern wie wenig zu jedem Zeitpunkt darin liegt und wie schnell die Automatisierung abgeschaltet werden kann. Gamdom und Duelbits haben die Antwort beide auf die teure Art erfahren. Spieler sollten es nicht auf dieselbe Weise erfahren müssen.
