Ihre eigene Krypto-Börse: Kundengelder in Hot und Cold Wallets verwahren, Auszahlungen prüfen und die EU-Regeln erfüllen

Legen Sie fest, wie Kundengelder verwahrt werden, bevor Sie die Handelsoberfläche entwerfen. Halten Sie den größten Teil der Kryptowerte Ihrer Kunden in Cold Wallets, deren Schlüssel nie auf einen Computer mit Internetverbindung gelangen, und verlangen Sie für jede Übertragung aus ihnen die Freigabe mehrerer Personen. Eine kleine Hot Wallet zahlt die alltäglichen Auszahlungen aus und wird aus dem Cold Storage mit geplanten Übertragungen mit Obergrenze aufgefüllt. Jede Auszahlung durchläuft Prüfungen, bevor jemand sie signiert. In der EU braucht die Börse außerdem eine Zulassung nach MiCA und muss mit den Übertragungen Angaben zum Absender und zum Empfänger weitergeben.

Was braucht eine Krypto-Börse außer einer Matching Engine?

Die Matching Engine führt Kauf- und Verkaufsaufträge zusammen. Um sie herum betreibt eine Börse mehrere weitere Systeme:

• Ein internes Ledger, das festhält, wie viel von jedem Coin jedem Kunden gehört, und sich mit jedem Trade, jeder Einzahlung und jeder Auszahlung ändert
• Die Verarbeitung von Einzahlungen: eine Adresse für jeden Kunden und Software, die jede Blockchain beobachtet und eine Einzahlung gutschreibt, sobald sie genug Bestätigungen hat
• Die Wallets, in denen die Coins selbst liegen: Hot, Warm und Cold Wallets, die unten erklärt werden
• Die Verarbeitung von Auszahlungen: die Prüfungen, das Signieren und das Senden jeder Übertragung an das Netzwerk
• Identitäts- und Geldwäscheprüfungen für die Kunden und für die Adressen, an die sie senden und von denen sie empfangen

Ein Trade zwischen zwei Kunden ändert nur das Ledger. Coins bewegen sich auf einer Blockchain nur, wenn ein Kunde einzahlt oder auszahlt. Die Coins auf den Adressen der Börse müssen deshalb abdecken, was laut Ledger den Kunden gehört. Fragen Sie den Anbieter, der die Börse baut, wie dieser Abgleich jeden Tag läuft und was passiert, wenn die Zahlen nicht übereinstimmen.

Wie viel gehört in Hot Wallets und wie viel in Cold Wallets?

Eine Hot Wallet hält ihre Schlüssel auf einem Server mit Internetverbindung und kann deshalb Auszahlungen ohne einen Menschen signieren. Diese Geschwindigkeit ist zugleich ihr Risiko: Wer den Server übernimmt, kann ebenfalls signieren. Eine Cold Wallet hält ihre Schlüssel offline, und eine Übertragung braucht in der Regel die Freigabe mehrerer Personen. Eine Warm Wallet liegt dazwischen: In einer verbreiteten Einrichtung ist sie online, aber ein Mensch gibt jede Übertragung frei.

Halten Sie in der Hot Wallet nur, was ein normaler Tag mit Auszahlungen braucht, und füllen Sie sie aus dem Cold Storage mit geplanten Übertragungen mit fester Obergrenze auf. Kein Verhältnis passt für jede Börse. Es hängt davon ab, wie viel die Kunden abheben und wie schnell sie ihre Coins erwarten, also lassen Sie es den Anbieter aus Ihren erwarteten Volumen berechnen.

MiCA ist die EU-Verordnung über Kryptowerte: die Verordnung (EU) 2023/1114, gelesen am 27. Oktober 2026 wie die anderen Quellen dieses Artikels. Sie beschreibt das Ziel und überlässt den Weg der Firma. Ihr Artikel 75 verlangt von einer Firma, die Kryptowerte von Kunden verwahrt, eine Verwahrstrategie. Diese Strategie muss „das Risiko eines Verlusts der Kryptowerte der Kunden, der mit diesen Kryptowerten verbundenen Rechte oder der Zugangsmittel zu den Kryptowerten aufgrund von Betrug, Cyberbedrohungen oder Fahrlässigkeit minimieren“. Derselbe Artikel verlangt, dass „die Kryptowerte ihrer Kunden in der Distributed-Ledger-Technologie getrennt von ihren eigenen Kryptowerten gehalten werden“. Die eigenen Coins der Börse und die ihrer Kunden liegen also auf verschiedenen Adressen.

Was hat der Diebstahl bei Bybit über Cold Wallets gezeigt?

Am 21. Februar 2025 führte die Krypto-Börse Bybit nach eigener Darstellung „eine routinemäßige Übertragung von einer unserer Ethereum-Multisig-Cold-Wallets auf eine Warm Wallet“ durch. Eine Multisig-Wallet braucht mehrere Schlüssel, um eine Übertragung freizugeben. Die Freigebenden signierten etwas, das wie eine normale Übertragung aussah, doch die Transaktion änderte die Logik der Wallet selbst und gab den Angreifern die Kontrolle über sie. Bybit bezifferte den Verlust auf 1,46 Milliarden US-Dollar. Das FBI bezifferte ihn auf rund 1,5 Milliarden US-Dollar und machte Nordkorea dafür verantwortlich.

Die von Bybit veröffentlichte Chronologie des Vorfalls verweist auf vorläufige Berichte von Sygnia Labs und Verichains. Sie verwiesen auf „bösartigen JavaScript-Code auf der Plattform von Safe{Wallet}“, dem externen Dienst, den die Unterzeichner nutzten, und fanden keine Schwachstelle in der eigenen Infrastruktur von Bybit. Die Freigaben stoppten den Diebstahl nicht, weil den Unterzeichnern nicht das angezeigt wurde, was sie tatsächlich signierten.

Für eine neue Börse betrifft die Lehre, wie Freigaben funktionieren, und nicht nur, wie viele es gibt:

• Jede freigebende Person prüft die Details einer Übertragung auf einem Gerät, das die Weboberfläche nicht kontrolliert, etwa auf dem Display eines Hardware-Signiergeräts
• Eine Übertragung aus dem Cold Storage hat eine Obergrenze, sodass eine einzelne freigegebene Transaktion keine ganze Wallet leeren kann
• Jemand überwacht die Cold Wallets rund um die Uhr und kann Auszahlungen anhalten

Wie sollte eine Auszahlung geprüft werden, bevor sie signiert wird?

Ein Auszahlungsantrag sollte Prüfungen in der Software durchlaufen, bevor irgendein Schlüssel ihn signiert:

• Das Guthaben des Kunden im Ledger deckt den Betrag und die Netzwerkgebühr
• Der Betrag liegt innerhalb des Tageslimits des Kunden und des Limits für eine einzelne Übertragung
• Die Adresse steht auf der Liste gespeicherter Adressen des Kunden, oder für eine neue Adresse gilt eine Wartezeit
• Die Adresse wird mit Listen sanktionierter und risikoreicher Adressen abgeglichen
• Die Angaben, die die Regeln für Übertragungen verlangen, werden erfasst und mit der Übertragung gesendet

Kleine Auszahlungen, die alle Prüfungen bestehen, kann die Hot Wallet automatisch signieren. Größere gehen an Menschen, die sie aus der Warm oder Cold Wallet freigeben. Nachdem die Übertragung gesendet wurde, wartet das System auf Bestätigungen im Netzwerk und markiert die Auszahlung erst dann im Ledger als abgeschlossen.

Was verlangt die EU-Travel Rule von einer Börse?

Die Verordnung (EU) 2023/1113, oft Travel Rule genannt, gilt „ab dem 30. Dezember 2024“. Sie verlangt, dass die Börse des Kunden, der Kryptowerte sendet, Angaben zu beiden Seiten weitergibt. Zum Absender gehören „der Name des Originators“ sowie seine Blockchain-Adresse und seine Kontonummer. Dazu gehört auch „die Anschrift des Originators einschließlich des Landes, die Nummer eines amtlichen persönlichen Dokuments und die Kundennummer oder alternativ Geburtsdatum und Geburtsort des Originators“. Zum Empfänger gehören der Name, die Blockchain-Adresse und die Kontonummer.

Die Angaben müssen „vor oder gleichzeitig mit dem Transfer der Kryptowerte“ übermittelt werden, sie müssen aber nicht in der Blockchain-Transaktion selbst enthalten sein. Börsen tauschen sie über eigene Nachrichtendienste aus, also muss der Anbieter Ihre Börse an diese Dienste anbinden.

Für Auszahlungen an eine Wallet, die der Kunde selbst kontrolliert und die die Verordnung selbst gehostete Adresse nennt, gilt eine weitere Regel. Sie betrifft „einen Transfer eines Betrags von mehr als 1.000 EUR an eine selbst gehostete Adresse“. Bei einem solchen Transfer muss die Börse „angemessene Maßnahmen ergreifen, um zu beurteilen, ob diese Adresse im Eigentum oder unter der Kontrolle des Originators steht“. Ein gängiger Weg ist, den Kunden die Kontrolle über die Adresse nachweisen zu lassen, etwa indem er mit ihr eine kurze Nachricht signiert.

Welche Lizenz braucht eine Krypto-Börse in der EU?

Nach MiCA ist der Betrieb einer Handelsplattform für Kryptowerte eine Krypto-Dienstleistung, und eine Firma braucht eine Zulassung als Anbieter von Krypto-Dienstleistungen. Diese Dienstleistung fällt in die höchste der drei Kapitalklassen in Anhang IV der Verordnung, mit einer Mindestkapitalanforderung von 150.000 EUR.

Firmen, die solche Dienstleistungen vor dem 30. Dezember 2024 nach nationalem Recht erbrachten, durften im Rahmen einer Übergangsregelung weitermachen. Sie galt „bis zum 1. Juli 2026 oder bis zur Erteilung oder Verweigerung einer Zulassung“, je nachdem, was früher eintrat. Dieses Datum ist vorbei. Eine Börse, die Kunden in der EU haben will, sollte die Zulassung von Anfang an einplanen.

MiCA prägt auch die Software. Artikel 75 verlangt:

• Eine Verwahrvereinbarung mit jedem Kunden
• Ein Register der Positionen jedes Kunden
• Eine Aufstellung der Positionen „mindestens alle drei Monate“
• Verfahren, um den Kunden ihre Kryptowerte „so bald wie möglich“ zurückzugeben

Die Firma haftet für Verluste aus Vorfällen, die ihr zuzurechnen sind, und diese Haftung ist „auf den Marktwert des verlorenen Kryptowerts zum Zeitpunkt des Verlusts begrenzt“. Artikel 70 ergänzt eine Regel für Kundengeld in Euro oder anderen Währungen. Sofern die Firma nicht selbst eine Bank, ein Zahlungsinstitut oder ein E-Geld-Institut ist, muss dieses Geld bis zum Ende des folgenden Geschäftstags „bei einem Kreditinstitut oder einer Zentralbank“ hinterlegt werden.

Außerhalb der EU hängen die Regeln vom Land ab, und dieser Artikel ist keine Rechtsberatung. Fragen Sie in jedem Markt, den Sie bedienen wollen, einen Anwalt, bevor Sie entscheiden, wo Sie sich registrieren.

Eigene Wallets oder ein Verwahrdienstleister?

Es gibt drei verbreitete Einrichtungen:

• Eigene Wallets: Sie kontrollieren jeden Schritt und jeden Kostenpunkt und tragen das ganze Risiko, die Prüfungen und die Menschen, die die Schlüssel bewachen
• Ein Verwahrdienstleister: Schlüssel aufbewahren und signieren ist seine Aufgabe, aber jede Auszahlung hängt von seinen Systemen und seinen Gebühren ab
• Beides: Hot Wallets im eigenen Haus für die Geschwindigkeit und Cold Storage bei einem Dienstleister für den größten Teil der Kundengelder

Nach MiCA muss ein Dienstleister, der Kryptowerte von Kunden für eine Börse verwahrt, selbst zugelassen sein. Artikel 75 erlaubt einer Firma nur Dienstleister, die „gemäß Artikel 59 zugelassen“ sind, und die Firma muss ihre Kunden darüber informieren, dass sie einen nutzt.

Bei einer White-Label-Börse fragen Sie, welche Einrichtung der Anbieter nutzt und wer die Schlüssel hält. Hält sie der Anbieter, hängen die Coins Ihrer Kunden von einem Unternehmen ab, das Sie nicht kontrollieren.

Was sollten Sie eine Firma fragen, die Wallets für eine Börse baut?

• Wo werden die Schlüssel erzeugt und aufbewahrt, und wie viele Personen geben eine Übertragung aus jeder Wallet frei?
• Wie prüft jede freigebende Person, was sie signiert, ohne sich auf die Weboberfläche zu verlassen?
• Wie wird das Ledger mit den Guthaben auf jeder Blockchain abgeglichen, und wie oft?
• Was passiert mit den Guthaben der Kunden, wenn sich eine Blockchain spaltet oder ein Token durch eine neue Version ersetzt wird?
• Wie gelangen die Angaben nach der Travel Rule zu anderen Börsen, und was passiert, wenn sie fehlen?
• Können Sie den Auszahlungsablauf in einem System zeigen, das heute läuft?

Die Frage nach der Spaltung einer Blockchain ist wegen MiCA wichtig. Kunden haben Anspruch auf alle Kryptowerte, die durch eine solche Änderung neu entstehen, im Verhältnis zu ihren Positionen, sofern ihre Vereinbarung mit der Börse nichts anderes vorsieht.

Wo passt amBrain ins Bild?

amBrain, das diesen Blog herausgibt, beschreibt diesen Teil seiner Arbeit in einer Zeile: „amBrain baut Krypto-Börsen: Matching Engine, Wallets, Ein- und Auszahlungen.“ amBrain entwickelt seit 2019 Software und arbeitet in drei Formaten: vollständige Umsetzung, ein dediziertes Team oder in Ihr Team eingebettete Entwickler. Zum Eigentum lautet sein Satz: „Der Kunde behält das volle Eigentum an Produkt und Code, ausgenommen unsere wiederverwendbaren Komponenten.“

Dieser Artikel ist keine Case Study und beschreibt keine Arbeit für Kunden. Er sagt nicht, welche Börsen amBrain gebaut hat, für wen oder wie deren Wallets eingerichtet sind, und er nennt keine Preise oder Zeitpläne. Er ist auch keine Rechtsberatung. Wenn amBrain auf Ihrer Shortlist steht, stellen Sie ihm dieselben Fragen wie jeder anderen Firma.