SIM-Swapping ist ein Angriff, bei dem ein Betrüger den Mobilfunkanbieter davon überzeugt, die Nummer des Opfers auf eine SIM-Karte zu übertragen, die er selbst kontrolliert — und damit sofort Zugriff auf alle SMS-Codes für Login und Passwort-Reset erhält. Für den Kunden eines Exchangers bedeutet das: Das an die Nummer gebundene Konto kann binnen Minuten in fremde Hände geraten. Hier zeigen wir, warum das Krypto-Exchanger härter trifft als andere Geschäfte — und was die Lücke wirklich schließt.
Was technisch passiert
Eine Telefonnummer gehört einem eigentlich nicht wirklich — sie ist nur eine beim Anbieter gemietete Kennung, und genau dort liegt das Problem. Angreifer sammeln persönliche Daten aus geleakten Datenbanken oder sozialen Netzwerken, kontaktieren dann den Support des Anbieters, geben sich als Opfer aus und behaupten, das Telefon verloren zu haben. Prüft der Anbieter zu oberflächlich, wandert die Nummer auf eine neue SIM, und der echte Besitzer verliert einfach das Netz — oft das erste Warnsignal.
Warum Exchanger besonders im Visier stehen
Ein Exchanger-Konto hängt meist an zwei kritischen Stellen an der Telefonnummer — Login und Auszahlungsbestätigung, also genau dort, wo ein Angreifer ansetzen muss. Viele Plattformen, vor allem kleinere, nutzen SMS noch immer als einzigen zweiten Faktor, weil es günstig zu integrieren ist. Das ist kein Fehler eines einzelnen Anbieters, sondern eine strukturelle Abkürzung, auf die ein großer Teil der Branche zurückgreift.
So sieht der Angriff in der Praxis aus
Stellen Sie sich einen Stammkunden vor, der seit Jahren wöchentlich USDT gegen Bargeld tauscht, immer mit derselben Nummer. Eines Morgens verliert das Telefon plötzlich das Netz. Am Abend ist bereits eine Auszahlung an eine brandneue Adresse durchgegangen — der Support sah einen gültigen SMS-Code und hat genehmigt. Das ist kein Ausnahmefall, sondern der typische Ablauf, den Support-Teams, die das erlebt haben, immer wieder beschreiben.
Was SIM-Swapping tatsächlich stoppt
- SMS nicht mehr als einzigen Faktor nutzen — eine TOTP-App (Google Authenticator, Authy) oder ein Hardware-Schlüssel funktioniert völlig unabhängig von der SIM-Karte.
- Whitelist für Auszahlungsadressen mit Wartezeit, bevor eine neu hinzugefügte Adresse aktiv wird.
- Benachrichtigung per E-Mail und Push bei jeder Änderung von Nummer oder E-Mail im Konto — eine SMS-Änderung nie nur per SMS bestätigen.
- Auszahlungslimit für kürzlich geänderte Kontaktdaten oder neu hinzugefügte Adressen.
- Manuelle Support-Prüfung bei jeder Kontaktänderung, die mit einer großen ausstehenden Auszahlung zusammenhängt.
Fehler, die Exchanger immer noch machen
- SMS als einzigen 2FA-Faktor behandeln, "weil es für den Kunden einfacher ist".
- Adressänderung und Auszahlung in derselben Sitzung zulassen.
- Nummernänderungen am Konto nicht protokollieren oder melden.
- "Vertrauenswürdigen" Kunden ein großzügiges Limit ohne zusätzliche Prüfung einräumen.
Fazit
SIM-Swapping ist kein exotischer Einzelfall, sondern ein Routineangriff, der das schwächste Glied ausnutzt — das Telefonnetz, nicht Ihre Plattform. Die Lücke zu schließen ist technisch nicht schwer — schwer ist die Disziplin, SMS als einzigen Faktor aufzugeben und sensible Änderungen bewusst zu verzögern. Wer einen eigenen Krypto-Exchanger betreibt oder starten will und eine Infrastruktur sucht, die Auszahlungssicherheit von Anfang an mitdenkt, findet einen Ansatz bei iEXExchanger.
