Zilliqa Hardfork am 2. September 2026: Was mit deinen ZIL bei der Migration passiert

Wenn du ZIL auf einer Krypto-Börse liegen hast und seit Wochen weder einzahlen noch auszahlen kannst, dann ist der 2. September 2026 der Tag, an dem sich das ändern soll. Zilliqa zieht an diesem Tag bei Blockhöhe 34.844.968, geschätzt gegen 12:58 UTC, einen Hardfork, der die ZIL-Guthaben von zehn Börsen aus den alten Wallets in neue Adressen umbucht. Danach wollen die beteiligten Häuser Ein- und Auszahlungen wieder öffnen. Du selbst musst dafür nichts tun.

Hältst du deine ZIL dagegen im eigenen Wallet im alten Netz, betrifft dich ein zweiter, größerer Vorgang, für den es bis heute kein Datum gibt: Jeder Halter auf der alten Seite muss später migrieren, auch wer nie bestohlen wurde. Auslöser von beidem ist kein geplantes Upgrade, sondern ein Signierfehler in der Zilliqa-Ledger-App. Nach Zilliqas eigener Aufstellung sind dadurch 683.130.969,66 ZIL aus 6.772 Konten abgeflossen.

Dieser Text ordnet die zwei Ebenen: was am 2. September tatsächlich passiert, und was danach offen bleibt.

Was ein Hardfork ist und was am 2. September 2026 bei Zilliqa passiert

Ein Hardfork ist eine Regeländerung an einer Blockchain, die alte und neue Software unvereinbar macht: Ab einem festgelegten Block gilt ausschließlich das neue Regelwerk, und wer nicht mitzieht, fällt aus dem Netz. Ausgelöst wird er nicht von einer Uhrzeit, sondern von der Blockhöhe, also der laufenden Nummer des zuletzt geschriebenen Blocks. Jede Zeitangabe dazu ist eine Hochrechnung.

Der Fork, um den es hier geht, verändert am Protokoll selbst wenig. Seine Aufgabe ist eine Umbuchung. Die ZIL-Bestände, die zehn zentrale Börsen für ihre Kunden in den alten, Schnorr-basierten Wallets halten, werden auf neue Wallet-Adressen im Zilliqa-EVM-Netz geschrieben. Diese Zieladressen stellt jede Börse selbst bereit und bestätigt sie vorab. Eine Schnorr-Signatur ist dabei das Unterschriftsverfahren des alten Zilliqa-Netzes, mit dem eine Transaktion beweist, dass sie vom Inhaber des Kontos stammt.

Wichtig für die Einordnung: Dieser Fork ist eine Verwaltungsmaßnahme für Börsenguthaben. Er ist kein Netzwerk-Upgrade, das dir neue Funktionen bringt, und er ist keine Wiederherstellung gestohlener Mittel. Wie ein regulärer, geplanter Hardfork abläuft und woran Halter, Trader und Delegatoren dabei denken müssen, haben wir am Beispiel des BNB-Pasteur-Hardforks als Checkliste beschrieben. Der Unterschied zum Zilliqa-Fall liegt im Anlass, nicht in der Mechanik.

Was Zilliqa ist und warum das Netz zwei Seiten hat

Zilliqa ist eine Layer-1-Blockchain, also eine eigenständige Kette mit eigenem Konsens und eigener Münze, und startete mit einem technischen Alleinstellungsmerkmal: Sharding. Sharding bedeutet, dass ein Netzwerk seine Knoten in Gruppen aufteilt, die Transaktionen parallel verarbeiten, statt dass jeder Knoten jede Transaktion prüft. Das hebt den Durchsatz, macht das Protokoll aber deutlich komplexer. ZIL ist die native Münze dieses Netzwerks und bezahlt dort die Transaktionsgebühren.

Mit dem Umbau zu Zilliqa 2.0 kam die EVM-Kompatibilität dazu, und seither betreibt das Projekt zwei Umgebungen nebeneinander. Dieser Wechsel lief bereits vor dem Vorfall. Der Vorfall hat ihn beschleunigt und unumkehrbar gemacht: Das Mainnet, also das produktive Hauptnetz im Unterschied zu einem Testnetz, soll künftig ausschließlich aus der EVM-Seite bestehen, die alte Seite wird stillgelegt statt repariert.

Warum deine ZIL auf der Börse seit Wochen festhängen

Am 20. Juli 2026 hat Zilliqa alle Transaktionen auf der alten Netzseite angehalten. Seitdem bewegt sich dort nichts mehr, weder dein Guthaben noch das eines Angreifers. Genau diese Pause ist der Grund, warum Börsen ZIL-Ein- und Auszahlungen ausgesetzt haben. Die Häuser können auf der alten Seite technisch nicht mehr arbeiten.

Der Fehler steckte in acht Bytes

Jede Schnorr-Signatur verbraucht eine Nonce, also eine frische Zufallszahl, die genau einmal benutzt und nie wiederverwendet werden darf. Die Zilliqa-Ledger-App erzeugte diese Zahl korrekt und kopierte sie anschließend falsch in den Signaturpuffer. Dabei behielt die App acht Füllbytes aus Nullen und verwarf acht Bytes echten Zufall. Damit lagen die obersten 64 Bit jeder Nonce fest auf null.

Die Folge beschreibt Zilliqas Post-mortem präzise: Jede so erzeugte Signatur verrät rund 64 Bit über den privaten Schlüssel, und aus vier oder mehr Signaturen desselben Kontos lässt sich der Schlüssel auf gewöhnlicher Hardware in Sekunden rekonstruieren. Gebraucht werden dazu nur Daten, die ohnehin öffentlich in der Blockchain stehen. Niemand wurde getäuscht, kein Gerät wurde gehackt, keine Wiederherstellungsphrase wurde gestohlen. Die Information floss durch die Transaktionen selbst ab.

Wer die App geschrieben hat

Hier lohnt eine genaue Zuschreibung, weil der Name Ledger im Spiel ist. Nach Darstellung von Zilliqa stammt die ursprüngliche Implementierung der betroffenen Anwendung von Zilliqa selbst, der Defekt war in jeder veröffentlichten Version enthalten, und die Korrektur wurde von einem Zilliqa-Entwickler geschrieben und als Pull Request bei Ledger eingereicht. Deine Wiederherstellungsphrase war zu keinem Zeitpunkt betroffen, und Guthaben, die du auf demselben Gerät auf anderen Blockchains hältst, sind nach dieser Darstellung nicht gefährdet. Der Fehler reicht in genau einen Signaturweg und keinen Schritt weiter.

Die Zahlen, und warum sie Untergrenzen sind

Nachgewiesen sind 683.130.969,66 ZIL aus 66 Transaktionen. 6.772 Konten gelten als nachweislich offengelegt, 51 davon wurden vollständig geleert. Zilliqa bezeichnet beide Werte ausdrücklich als Untergrenzen, die durch Beweis und nicht durch Schätzung entstanden sind. 73,9 Prozent der zuordenbaren alten Adressen sind nach derselben Aufstellung bauartbedingt sicher, weil sie nie über die betroffene App signiert haben.

Die Zeitleiste erklärt, warum das so lange unbemerkt blieb. Der erste nachgewiesene Diebstahl fällt auf den 4. März 2026. Gemeldet wurde die Ausnutzung am 19. Juli 2026 von der Börse KuCoin, nachdem diese auffällige Abflüsse aus einem eigenen Cold Wallet gesehen hatte. Einen Tag später waren die alten Transaktionen abgeschaltet. Dass niemand früher Alarm schlug, hat einen technischen Grund: Bei diesem Verfahren leitet sich der Prüfwert aus der Nachricht ab, sodass die übliche Suche nach doppelten Werten, mit der viele Ketten routinemäßig nach Signaturfehlern fahnden, hier ins Leere läuft.

Welche zehn Börsen im ersten Hardfork-Stapel stehen

Im ersten Stapel, den der Fork am 2. September abarbeitet, stehen nach der Ankündigung des Zilliqa-Teams zehn Handelsplätze:

• KuCoin
• Binance.US
• MEXC
• OKCoin
• Bitvavo
• Korbit
• WhiteBit
• Bitrue
• CoinSpot
• CoinSwitch

Für dich als deutschsprachigen Anleger ist vor allem Bitvavo relevant, weil die Börse den deutschen Markt bedient. Steht dein Handelsplatz nicht auf dieser Liste, heißt das nicht, dass er ausgeschlossen wäre. Zilliqa spricht ausdrücklich vom ersten Stapel und nennt für weitere Häuser bislang kein Datum.

Was du nach dem Fork erwarten kannst, ist keine Schaltsekunde. Die Börsen des ersten Stapels wollen Ein- und Auszahlungen auf Zilliqa EVM wieder aufnehmen, sobald ihre eigene Umstellung und die Integrationstests abgeschlossen sind. Zilliqa schreibt dazu selbst, dass die Zeitpläne zwischen den Häusern abweichen können. Plane also mit Tagen, nicht mit Minuten, und prüfe die Statusseite deines eigenen Anbieters, statt dich auf einen allgemeinen Termin zu verlassen.

Legacy Zilliqa oder Zilliqa EVM: auf welcher Seite deine ZIL liegen

Die ganze Sache lässt sich nur verstehen, wenn du eine Unterscheidung mitnimmst. Zilliqa betreibt zwei Seiten. Legacy Zilliqa ist die ältere, nicht EVM-kompatible Seite mit ihren eigenen Konten, ihren Schnorr-Signaturen und der dafür gebauten Ledger-Anwendung. Zilliqa EVM, auch Zilliqa 2.0 genannt, ist die neuere Seite, die dieselbe Ausführungsumgebung wie Ethereum nutzt.

EVM steht für Ethereum Virtual Machine und bezeichnet die standardisierte Laufzeitumgebung, in der Smart Contracts ausgeführt werden. Eine Kette, die EVM-kompatibel ist, kann Verträge und Adressformate aus dem Ethereum-Umfeld direkt übernehmen. Erkennbar ist der Unterschied am Adressformat: Alte Zilliqa-Adressen beginnen mit zil1, EVM-Adressen mit 0x.

Der Vorfall betrifft ausschließlich die alte Seite. Wer nur auf Zilliqa EVM unterwegs war, ist davon nicht berührt. Das gilt auch für gestaktes ZIL: Liegt es im Staking auf der EVM-Seite, läuft es weiter. Steht es in einem alten Staking-Vertrag, ist es zusammen mit allem anderen auf der alten Seite pausiert und braucht später den Wiederherstellungsweg. Betroffen sind übrigens nicht nur ZIL-Überweisungen, sondern jede Art von Transaktion, auch das Bewegen von ZRC-2-Token. ZRC-2 ist der Token-Standard des alten Zilliqa-Netzes und entspricht in seiner Funktion ungefähr dem, was ERC-20 auf Ethereum leistet.

Für dich folgt daraus eine praktische Frage, die du vor dem 2. September beantworten solltest: Liegt dein Bestand bei einer Börse, im eigenen Software-Wallet oder auf einem Hardware-Gerät? Nur der erste Fall wird durch diesen Fork erledigt. Wenn du bei dieser Gelegenheit ohnehin darüber nachdenkst, wie du deine Bestände künftig verwahrst, hilft unser Vergleich der Krypto-Hardware-Wallets beim Sortieren der Kriterien.

Die englischen Begriffe, die dir auf der offiziellen Seite begegnen

Zilliqa kommuniziert ausschließlich auf Englisch, und wer dort nachliest, stolpert über Begriffe, deren deutsche Entsprechung nicht immer auf der Hand liegt. Diese Zuordnung hilft: hard fork ist der Hardfork, block height die Blockhöhe, exchange balances sind die Börsenguthaben, deposits und withdrawals stehen für Ein- und Auszahlungen, legacy bezeichnet die alte Netzseite und recovery das geplante Wiederherstellungsverfahren. Im Adress-Checker und im Post-mortem tauchen zusätzlich accounts für Konten und vulnerability für die Schwachstelle auf.

Bist du betroffen? Was der Zilliqa-Adress-Checker leisten kann

Seit dem 11. August 2026 stellt Zilliqa einen Adress-Checker bereit. Du gibst eine alte Zilliqa-Adresse ein, und das Werkzeug prüft deren öffentliche Signaturhistorie auf Spuren des Fehlers. Eine Wallet-Verbindung ist dafür nicht nötig, und weder Seed-Phrase noch privater Schlüssel werden abgefragt. Nach Angaben des Betreibers wird ausschließlich die Adresse an den Server geschickt, dort beantwortet und nicht gespeichert.

Als betroffen kommst du in Betracht, wenn du die Zilliqa-Ledger-App jemals zum Signieren benutzt hast, gleich wofür: für das Senden von ZIL, für ZRC-2-Token und NFTs oder fürs Staken. Kritisch wird es ab etwa vier so signierten Transaktionen, weil an diesem Punkt die Rekonstruktion des Schlüssels praktisch möglich wird. Auf die App-Version kommt es nicht an, weil jede Version den Defekt trug.

Nicht betroffen bist du nach derselben Aufstellung, wenn einer dieser Punkte auf dich zutrifft:

• Du hast nie ein Ledger-Gerät mit Zilliqa verwendet.
• Du hast ein Ledger-Gerät benutzt, aber nie die Zilliqa-Anwendung darauf.
• Du warst ausschließlich auf der EVM-Seite unterwegs.
• Du hast nur über die Software-SDKs signiert, also über zilliqa-js, gozilliqa-sdk oder pyzil.
• Du stakst über das offizielle Staking-Portal von Zilliqa.

Warum ein sauberer Befund kein Freibrief ist

Diese Grenze nennt Zilliqa selbst, und sie gehört in jede Darstellung des Falls: Signaturen, die außerhalb der Kette erzeugt wurden, hinterlassen dort keine Spur. Der Checker sieht sie folglich nicht. Ein unauffälliges Ergebnis bedeutet also, dass keine Belastung gefunden wurde, und nicht, dass keine existiert. Behandle den Befund als Hinweis und nicht als Unbedenklichkeitsbescheinigung, und beantworte zusätzlich für dich die Frage, ob du die App jemals verwendet hast.

Der zweite Punkt ist unangenehmer. Die Offenlegung ist dauerhaft. Signaturen, die einmal in der Kette stehen, lassen sich nicht zurückziehen. Eine korrigierte App schützt deshalb neue Schlüssel und ändert nichts an Schlüsseln, die bereits signiert haben. Ein Konto, das einmal offengelegt wurde, muss am Ende stillgelegt und sein Inhalt auf eine frische Adresse gebracht werden. Genau das ist die Aufgabe des Migrationswerkzeugs, das noch aussteht.

Was du vor dem 2. September konkret tun kannst

Die ehrliche Antwort lautet: wenig, aber dieses Wenige lohnt sich. Vier Dinge sind heute möglich.

Erstens prüfst du deine alten Adressen im Checker und notierst dir das Ergebnis mit Datum. Wenn später ein Wiederherstellungsverfahren startet, ist eine eigene Aufzeichnung mehr wert als Erinnerung. Zweitens klärst du, wo dein Bestand tatsächlich liegt, und trennst Börsenguthaben von Selbstverwahrung. Drittens suchst du die Statusseite deines Handelsplatzes und prüfst, ob er im ersten Stapel steht. Viertens lässt du die Finger von jedem Werkzeug, das dir jemand privat schickt.

Was du nicht tun solltest, ist ebenso klar: Versuche nicht, alte Bestände über Umwege zu bewegen. Es geht ohnehin nicht, solange die Pause läuft, und jeder Dienst, der dir das Gegenteil verspricht, arbeitet nicht in deinem Interesse.

Was der Hardfork am 2. September nicht löst

Der Fork bringt zehn Börsen zurück ins Geschäft. Drei größere Fragen bleiben danach offen, und keine davon trägt bislang ein festes Datum.

Da ist erstens das Migrationswerkzeug für Selbstverwahrer. Es befand sich nach dem Statusbericht vom 11. August 2026 in einer externen Sicherheitsprüfung, deren Bericht Anfang September erwartet wird. Erst danach will Zilliqa einen Starttermin nennen. Zweitens das Wiederherstellungsverfahren für Halter betroffener Konten: Geplant ist ein Weg, bei dem du den Besitz eines Kontos nachweist, ohne deine Seed-Phrase preiszugeben. Wie dieser Nachweis genau aussieht, ist noch in Arbeit. Drittens ein aktualisiertes Tokenomics-Modell, das die Bestände der stillgelegten Seite abbilden soll.

Zilliqa selbst schreibt zu dieser Liste, dass bewusst kein Datum daran hängt. Als Leser solltest du das weder als Beruhigung noch als Alarm lesen, sondern als das, was es ist: eine offene Position. Der 2. September beendet die Sperre für einen Teil der Halter und lässt den anderen Teil weiter warten.

Warum die Blockhöhe 34.844.968 kein festes Datum ist

Termine, die an einer Blockhöhe hängen, verschieben sich, wenn das Netz schneller oder langsamer läuft als angenommen. Deshalb haben wir nachgemessen, statt die Angabe zu übernehmen. Am 29. August 2026 stand das Mainnet von Zilliqa bei Blockhöhe 34.541.838. Bis zum Zielblock 34.844.968 fehlten damit 303.130 Blöcke.

Bei der Blockzeit von rund einer Sekunde, mit der Zilliqa 2.0 arbeitet, entspricht das etwa dreieinhalb Tagen. Gerechnet vom Messzeitpunkt landet man damit am 2. September 2026, also genau auf dem angekündigten Tag. Die Uhrzeit gegen 12:58 UTC ist die unsicherste Größe in dieser Rechnung. Verschiebungen von einigen Stunden sind normal, ein Sprung um Tage wäre es nicht.

Praktisch heißt das: Wenn du am 2. September nachmittags noch keine Freigabe siehst, ist das kein Anlass zur Sorge. Erst wenn der Zielblock überschritten ist und deine Börse nach mehreren Tagen weiter schweigt, lohnt eine Nachfrage beim Support.

Warum Betrüger genau solche Fristen lieben

Ein Termin, an dem Tausende auf die Freigabe ihres Geldes warten, ist für Betrüger eine Steilvorlage. Zilliqa warnt auf der eigenen Statusseite ausdrücklich vor Nachahmern, die Hilfe bei der angeblichen Wiederherstellung anbieten, und nennt zwei Regeln, die du dir merken solltest: Das Team schreibt niemanden zuerst an, und es fragt unter keinen Umständen nach Seed-Phrase, privatem Schlüssel oder Wiederherstellungsphrase.

Daraus folgt eine simple Haltung für die kommenden Wochen. Jedes Wiederherstellungsformular, jeder Migrations-Link und jedes Werkzeug, das dich privat erreicht, gilt als feindlich, auch wenn es offiziell aussieht oder von einem vermeintlichen Moderator kommt. Verwende ausschließlich das, was über die offiziellen Kanäle des Projekts angekündigt wurde, und prüfe die Adresse der Seite im Browser, bevor du irgendetwas eingibst.

Was dieser Fall über Fristen bei Krypto-Börsen lehrt

Der Zilliqa-Fall ist ungewöhnlich in seiner Ursache und völlig gewöhnlich in seiner Wirkung. Ein Guthaben liegt bei einem Dritten, ein technischer Vorgang legt es still, und der Halter erfährt es zuletzt. Dasselbe Muster kennst du von Migrationsfristen einzelner Token und von Handelseinstellungen, bei denen ein Bestand nach einem Stichtag nicht mehr bewegt werden kann. Wir haben die wiederkehrenden Termine, an denen Guthaben auf Börsen unter Zeitdruck geraten, in einer eigenen Übersicht zu Fristen bei Krypto-Börsen gesammelt.

Die Lehre daraus ist unbequem, weil sie Arbeit macht. Guthaben auf einer Börse ist eine Forderung gegen ein Unternehmen und kein Besitz an der Kette. Solange alles läuft, ist der Unterschied theoretisch. An einem Tag wie diesem wird er praktisch, denn ob und wann du wieder herankommst, entscheidet der Handelsplatz und nicht du. Wer größere Bestände hält, verteilt sie deshalb sinnvollerweise über mehrere Wege, und wer eine Börse auswählt, schaut neben den Gebühren auf Sitz, Aufsicht und Kommunikationsverhalten im Störfall.

Zilliqa-Hardfork prüfen: Was du daraus mitnimmst

1. Kläre bis zum 1. September, wo dein ZIL liegt. Steht dein Handelsplatz im ersten Stapel, musst du nichts tun und wartest die Freigabe ab. Steht er nicht darauf, plane längere Wartezeit ein. Wer bei dieser Gelegenheit vergleichen will, wo er künftig handelt, findet die Kriterien in unserem Vergleich der besten Krypto-Börsen.
2. Prüfe deine alten Adressen im Checker und schreib das Ergebnis mit Datum auf. Ein sauberer Befund ist kein Freibrief, aber eine dokumentierte Ausgangslage für den Fall, dass ein Wiederherstellungsverfahren startet. Wenn dich der Vorfall dazu bringt, deine Verwahrung zu überdenken, hilft der Vergleich der Software-Wallets bei der Auswahl.
3. Warte auf den Audit-Bericht zum Migrationswerkzeug, bevor du migrierst. Solange kein offizieller Starttermin steht, ist jedes angebotene Werkzeug ein Risiko. Wer sein Gegenparteirisiko grundsätzlich senken will, sortiert seine Handelsplätze nach Aufsicht und Sitz, wofür unsere Übersicht der regulierten Krypto-Börsen den Rahmen liefert.

Die beiden Primärquellen zum Nachlesen: die offizielle Statusseite von Zilliqa zum Vorfall mit Adress-Checker und Maßnahmenplan sowie die Meldung zum Hardfork-Termin mit Blockhöhe und Börsenliste.

(Stand: 29. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)