Fetch.ai-Brücke ausgeraubt: Was FET-, AGIX- und NTX-Halter jetzt prüfen müssen

Wer FET, AGIX oder NTX hält, muss gerade zwei Dinge auseinanderhalten: Die Token in deiner eigenen Wallet sind nicht angegriffen worden. Angegriffen wurde die Brücke, über die alte AGIX-Bestände in FET umgewandelt werden. Genau diese Umwandlung steht seit dem 19. September still, und wer sie noch vor sich hat, kommt im Moment nicht durch.

Am Abend des 19. September 2026 wurde der Vertrag TokenConversionManagerV3 auf Ethereum vollständig von seiner FET-Liquidität geleert. In den Stunden danach prägte dieselbe Adresse Hunderte Millionen neuer Token dreier weiterer Projekte. Der Reihe nach, mit den Zahlen, die belegbar sind, und mit dem, was daraus für dich als Anleger in Deutschland folgt.

Was am 19. September im TokenConversionManagerV3 passiert ist

Der TokenConversionManagerV3 ist die Ethereum-Seite der offiziellen SingularityNET-Brücke. Eine Token-Brücke ist ein Vertrag, der Token auf der einen Kette einsammelt und dafür auf der anderen Kette eine entsprechende Menge freigibt. Diese Brücke verband Ethereum mit Cardano und diente zugleich dazu, alte AGIX-Bestände in FET zu tauschen.

Laut den vorliegenden Ketten-Auswertungen ging um 20:21:47 UTC in Block 26.013.913 ein einziger Aufruf der Funktion conversionIn durch, der 8.721.530,40 FET an eine Adresse unter Kontrolle des Angreifers auszahlte. Der Gegenwert wird je nach Quelle mit rund 1,53 bis 1,55 Millionen US-Dollar angegeben. Keine halbe Stunde später, um 20:50:11 UTC, folgte die Prägung von 408,53 Millionen NTX, dem Token des Projekts NuNet, mit einem berichteten Gegenwert von etwa 462.730 US-Dollar.

Wichtig für die Einordnung: Hier wurde kein Wallet geknackt und keine Seed Phrase abgegriffen. Der Angreifer hat eine gültige Autorisierungssignatur benutzt. Die Analysefirma SlowMist kommt zu dem Ergebnis, dass die Signierschlüssel der Infrastruktur kompromittiert waren.

Warum eine einzige Signatur reichte: die Lücke in conversionIn()

Der technische Kern ist schnell erzählt und lohnt das Verständnis, weil er sich bei Brücken wiederholt. Die Funktion conversionIn() akzeptierte nach der Auswertung von SlowMist die Signatur eines einzigen externen Kontos als alleinige Autorisierung. Ein externes Konto, im Fachjargon Externally Owned Account oder EOA, ist eine normale Adresse mit genau einem privaten Schlüssel dahinter. Wer diesen Schlüssel hat, ist für den Vertrag die legitime Gegenseite.

Dazu kam ein zweiter Punkt, der den Schaden erst groß gemacht hat: Die Gegenfunktion conversionOut() prüft eine Betragsgrenze, conversionIn() tat das nicht. Es gab also keine Obergrenze, die einen einzelnen Aufruf gedeckelt hätte. Ein kompromittierter Schlüssel plus eine fehlende Betragsprüfung ergeben zusammen einen Abfluss in einem einzigen Schritt.

Der Vergleich zu früheren Fällen liegt nahe. Bei den beiden Perp-DEX-Vorfällen auf Arbitrum im Sommer war am Ende ebenfalls die Frage entscheidend, wer die Schlüssel hält, und nicht die Frage, ob ein Protokoll sich dezentral nennt. Eine einzelne Vertrauensannahme genügt, damit ein sonst sauber gebautes System in einem Schritt fällt.

Unautorisiert geprägte Token: 408 Mio. NTX, 260 Mio. AGIX, 53,8 Mio. WMTx

Am 20. September weitete sich der Vorfall aus. Nach der Beobachtung von PeckShield prägte dieselbe Adresse zusätzlich 260 Millionen AGIX und 53,838 Millionen WMTx auf Ethereum. WMTx ist der Token von World Mobile Chain; das Projekt hat bestätigt, dass über die SingularityNET-Brücke WMTx ohne Autorisierung geprägt wurde.

PeckShield bezifferte die Bestände des Angreifer-Clusters am 20. September auf rund 16,77 Millionen US-Dollar. Die Aufteilung nach dieser Auswertung: etwa 198,3 Millionen AGIX im Gegenwert von rund 14,42 Millionen US-Dollar, 649 Ether im Gegenwert von rund 1,67 Millionen US-Dollar sowie 33,538 Millionen WMTx im Gegenwert von rund 627.350 US-Dollar. Eine Auswertung von Bitquery kam am selben Tag auf rund 2,3 Milliarden unautorisiert erzeugte Einheiten über AGIX, NTX, CGV und WMTx zusammen.

Der Unterschied zwischen den beiden Zahlen ist kein Widerspruch, sondern eine Frage der Messgröße. Die 16,77 Millionen sind ein Marktwert zu einem Zeitpunkt, die 2,3 Milliarden sind eine Stückzahl. Und eine Stückzahl aus dem Nichts heißt für jeden bestehenden Halter dasselbe: Der Anteil, den sein Bestand am Gesamtangebot hat, ist über Nacht kleiner geworden.

Was Fetch.ai gestoppt hat: AGIX-zu-FET-Umwandlung und Ethereum-Brücke

Fetch.ai hat nach eigener Darstellung zwei Schalter umgelegt. Erstens wurde die Umwandlung von AGIX in FET bis auf Weiteres pausiert. Zweitens wurde die Ethereum-seitige Brücke vorsorglich angehalten, verbunden mit der Aussage, es gebe keinen Hinweis darauf, dass der eigene Vertrag selbst verwundbar sei. In Abstimmung mit SingularityNET wurden betroffene Wallets und Verträge deaktiviert.

Für dich bedeutet das konkret: Wenn du noch alte AGIX-Bestände hältst und den Tausch in FET vor dir herschiebst, kannst du ihn im Moment nicht ausführen. Ein Termin, wann die Umwandlung wieder öffnet, ist nicht genannt. Wer die Frist bisher als unbegrenzt behandelt hat, sollte den Vorgang ab jetzt beobachten statt ihn liegen zu lassen.

Bist du betroffen? So prüfst du Wallet und Börse in fünf Schritten

Die ehrliche Antwort für die große Mehrheit lautet: vermutlich nicht direkt. Betroffen im engeren Sinn ist die Brücken-Liquidität, nicht dein Bestand. Trotzdem gibt es fünf Dinge, die sich in wenigen Minuten klären lassen.

1. Prüfe, was du überhaupt hältst. FET, AGIX, NTX, WMTx und CGV sind die Token, um die es geht. Liegt keiner davon in deinem Bestand, ist der Fall für dich eine Lehrstunde und kein Vorgang.
2. Prüfe offene Umwandlungen. Hast du AGIX, die noch nicht in FET getauscht sind, ist dieser Weg derzeit geschlossen.
3. Prüfe den Status bei deiner Börse. Handelsplätze setzen Ein- und Auszahlungen einzelner Token nach solchen Vorfällen regelmäßig aus. Das steht in der Statusmeldung des Anbieters, nicht im Kursfenster.
4. Widerrufe alte Freigaben. Wenn du dem Brückenvertrag jemals eine unbegrenzte Token-Freigabe erteilt hast, gehört sie überprüft. Das ist unabhängig von diesem Vorfall gute Praxis.
5. Erwarte jetzt Phishing. Nach jedem größeren Vorfall folgen gefälschte Erstattungsformulare und angebliche Support-Kanäle. Kein seriöses Projekt fordert dich per Direktnachricht auf, eine Seed Phrase einzugeben oder eine Wallet zur Erstattung zu verbinden.

Kursreaktion bei FET, NTX und WMTx: was die Zahlen hergeben

Die Kurse haben sehr unterschiedlich reagiert, und dieser Unterschied ist lehrreich. FET notierte zum Zeitpunkt des Abflusses nahe 0,18 US-Dollar und wurde am 20. September mit 0,172 US-Dollar angegeben, ein Minus von rund fünf Prozent binnen 24 Stunden. Bei NTX fiel die Bewegung dramatisch aus: Die Angaben reichen von 65 Prozent bis rund 95 Prozent Minus, je nach Zeitfenster und Quelle, mit einem berichteten Allzeittief von 0,00004075 US-Dollar am 20. September. WMTx verlor nach denselben Auswertungen rund 43 Prozent.

Der Grund für die Spreizung liegt in der Mechanik. Bei FET wurde vorhandene Liquidität abgezogen, das Angebot blieb gleich. Bei NTX wurden neue Token erzeugt, das Angebot wuchs schlagartig. Ein Abfluss kostet Vertrauen, eine unautorisierte Prägung kostet Vertrauen und verwässert zusätzlich jeden bestehenden Anteil. Deshalb trifft es kleinere Token in solchen Fällen härter als den Hauptwert eines Ökosystems.

Kaufweg in Deutschland: FET, MiCA und regulierte Handelsplätze

Wer aus Deutschland handelt, kauft diese Token seit dem Auslaufen der MiCA-Übergangsfrist über zugelassene Anbieter. MiCA ist die EU-Verordnung über Märkte für Kryptowerte; wer hier Kunden bedienen will, braucht eine CASP-Zulassung. Für dich heißt das praktisch, dass die Auswahl an Handelsplätzen kleiner und die Statuskommunikation im Regelfall verbindlicher geworden ist. Welche Häuser eine Zulassung tragen, siehst du in unserer Übersicht der regulierten Kryptobörsen.

Zwei Dinge sind beim Kaufweg auseinanderzuhalten. Ob ein Token auf einer regulierten Börse handelbar ist, sagt nichts über die Sicherheit der Brücken aus, die sein Projekt betreibt. Und ein pausierter Ein- oder Auszahlungsverkehr ist kein Zeichen dafür, dass deine Börse angegriffen wurde, sondern in aller Regel eine Vorsichtsmaßnahme, solange unautorisiert geprägte Einheiten im Umlauf sein könnten.

Steuer in Deutschland: Haltefrist, Verlust und Verlustverrechnung bei FET

Nach aktuellem deutschen Recht sind Kryptowerte im Privatvermögen private Veräußerungsgeschäfte nach Paragraf 23 EStG. Daraus folgen drei Punkte, die in dieser Lage praktisch werden.

Verkaufst du innerhalb eines Jahres nach Anschaffung mit Verlust, ist dieser Verlust steuerlich verwertbar, allerdings nur gegen Gewinne aus anderen privaten Veräußerungsgeschäften desselben Jahres, gegen den Vortrag oder im Rücktrag. Hältst du die Token länger als ein Jahr, ist ein Gewinn steuerfrei, und spiegelbildlich ist der Verlust dann steuerlich unbeachtlich. Die Freigrenze für Gewinne aus privaten Veräußerungsgeschäften liegt bei 1.000 Euro im Kalenderjahr; wird sie überschritten, ist der gesamte Gewinn steuerpflichtig.

Wer jetzt darüber nachdenkt, einen Verlust zu realisieren und kurz darauf zurückzukaufen, sollte die Nebenwirkungen kennen: Der Rückkauf setzt die Haltefrist für die neuen Stücke neu in Gang. Wer also kurzfristig zurückkaufen will, verschiebt damit den Zeitpunkt, ab dem ein späterer Gewinn wieder steuerfrei wäre. Und unabhängig davon gilt: Dokumentiere Anschaffungszeitpunkte und Stückzahlen sauber, denn die Nachweislast liegt bei dir.

Verwahrung nach dem Brückenhack: was Self-Custody hier wirklich schützt

Aus diesem Vorfall lässt sich eine unbequeme Lehre ziehen. Eine Hardware-Wallet hätte hier niemanden geschützt, der über die Brücke getauscht hat, denn nicht die Nutzerschlüssel waren das Ziel, sondern die Signierschlüssel der Infrastruktur. Self-Custody schützt deinen Bestand, solange er bei dir liegt. In dem Moment, in dem du Token in einen fremden Vertrag gibst, gilt das Sicherheitsniveau dieses Vertrags und nicht mehr deines.

Praktisch heißt das: Trenne Bestände, die du hältst, von Beständen, die du gerade bewegst. Eine Hardware-Wallet für den Langfristbestand und eine separate Adresse für Interaktionen mit Verträgen kosten wenig Aufwand und begrenzen den Schaden auf das, was du tatsächlich aufs Spiel gesetzt hast. Für die tägliche Interaktion reicht häufig eine sauber eingerichtete Software-Wallet, solange dort nur kleine Beträge liegen.

Bridge-Risiko einordnen: was dieser Fall über Token-Brücken zeigt

Brücken sind seit Jahren der anfälligste Teil der Token-Landschaft, und der Grund ist strukturell. Eine Brücke muss auf der einen Seite etwas einsammeln und auf der anderen etwas freigeben. Dazwischen sitzt eine Instanz, die diesen Vorgang autorisiert. Je schmaler diese Instanz ist, desto größer der Hebel, wenn sie fällt. Eine einzelne Signatur ohne Betragsgrenze ist das denkbar schmale Ende dieser Skala.

Für die Bewertung eines Projekts heißt das, eine Frage zu stellen, die selten im Marketing steht: Wer darf eine Auszahlung autorisieren, wie viele Schlüssel sind dafür nötig, und gibt es eine Obergrenze pro Vorgang? Wo die Antwort „ein Schlüssel, keine Obergrenze" lautet, ist das ein Risiko, das unabhängig von der Qualität der übrigen Technik besteht. Das ist keine Aussage über die Seriosität der Beteiligten, sondern eine über Architektur.

Ebenso wichtig ist die Frage nach dem Danach. Projekte, die unautorisiert geprägte Einheiten identifizieren und einfrieren können, begrenzen den Schaden. Projekte, die das nicht können, tragen ihn dauerhaft im Umlauf. Diese Unterscheidung wird sich in den kommenden Wochen an den drei betroffenen Token ablesen lassen.

Fetch.ai-Exploit prüfen: Was du daraus mitnimmst

1. Kläre deinen eigenen Bestand, bevor du auf den Kurs schaust. Prüfe, ob du FET, AGIX, NTX, WMTx oder CGV hältst, ob eine Umwandlung bei dir offen ist und ob dein Handelsplatz Ein- und Auszahlungen ausgesetzt hat. Wo du in Deutschland zugelassen handelst, zeigt der Vergleich der Kryptobörsen.
2. Trenne Langfristbestand von Vertragsinteraktion. Was du jahrelang halten willst, gehört auf eine Adresse, die keine Freigaben an fremde Verträge erteilt hat. Welche Geräte das abdecken, steht im Hardware-Wallet-Vergleich.
3. Entscheide steuerlich bewusst, nicht hektisch. Prüfe vor einem Verkauf, ob deine Stücke innerhalb oder außerhalb der Jahresfrist liegen, und was ein Rückkauf mit der Frist macht. Eine saubere Aufzeichnung dieser Zeitpunkte nimmt dir später die Diskussion mit dem Finanzamt ab; Werkzeuge dafür findest du unter den Krypto-Steuer-Tools.

Quellen zum Vorfall: die Auswertung der Prägungen und der Cluster-Bestände bei The Crypto Times sowie die Darstellung der kompromittierten Signierschlüssel und der offiziellen Stellungnahme bei Cryptopolitan.

(Stand: 23. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)