Candy sperrt die Website nach SOL-Abflüssen

Candy schreibt am 12. Oktober auf X, aus Candy-Wallets sei weiteres SOL abgezogen worden. Die Seite candy.io bleibt gesperrt, während das Team untersucht. Candy bittet Nutzer, SOL in eine neue Wallet zu schicken, die nie mit Candy verknüpft war.

Im ersten Post am selben Tag nennt Candy ein Problem bei einigen Nutzern und eine vorsorgliche Sperre der Seite. Anlaufstelle ist fan-help@candy.io. Beim Aufruf von candy.io am 12. Oktober stand dort ein Hinweis, die Seite sei wegen Wartung vorübergehend offline.

Zum Verschieben nennt Candy die Phantom-App oder die Erweiterung, mit derselben Anmeldung wie bei Candy. Danach soll eine neue Wallet entstehen, die nie mit Candy verknüpft war. Candy schreibt nie als Erstes per Direktnachricht und fragt nicht nach Seed-Phrase, Private Key oder Passwort. Einen Link zum Prüfen oder Sichern der Wallet schickt Candy nicht. Solche Nachrichten sind Betrug, schreibt Candy.

Hinweis: Dies ist Berichterstattung, keine Anlageberatung. Ein Angebot, verlorene Beträge zurückzuholen, ist das nicht.

Umfang laut DC3, geprüft auf der Chain

Candy nennt in beiden Posts weder eine Zahl noch eine Empfängeradresse noch eine Ursache. DC3 schreibt am selben Tag, seit etwa 19 Uhr Eastern Time am 11. Oktober sei SOL aus von Candy bereitgestellten Wallets auf eine Adresse geflossen: HLwZCJB8YU6Yvq8HNMMNNrLCo1xammz95bCa3jm2k75c. Laut DC3 sind es rund 1.500 Wallets und mehr als 400 SOL. Die erste Welle hat laut DC3 etwa ein Dutzend der größten Guthaben geleert. Die größere Welle begann gegen 6 Uhr Eastern Time am 12. Oktober. Bis zu diesem Post war laut DC3 nur SOL bewegt worden.

Die Abbuchungen waren laut DC3 mit dem Schlüssel der jeweiligen Wallet signiert. DC3 schreibt, diese Schlüssel lägen bei der Plattform, und das deute auf einen unbefugten Zugriff hin.

Eine Wallet, deren Schlüssel nur der Inhaber kennt, ist Selbstverwahrung. Bei einer eingebetteten oder von einer Plattform verwalteten Wallet hängt der Zugang an dieser Plattform. Die Plattform kann signieren, oder sie hält den Schlüssel. Lädt man denselben Schlüssel in eine andere App, bleibt die Adresse dieselbe. Wer eine neue Adresse will, braucht eine neue Wallet. DC3 schreibt das für die Candy-Wallets so: Ein Import nach Phantom betrifft denselben Schlüssel, und der Schlüssel einer Wallet lässt sich nicht austauschen.

Abfrage der Mainnet-RPC

Am 12. Oktober lieferte getSignaturesForAddress auf der öffentlichen Mainnet-RPC für die von DC3 genannte Adresse 1.547 erfolgreiche Transaktionen, keine mit Fehler. Die älteste liegt am 11. Oktober um 23:02 Uhr UTC, die jüngste am 12. Oktober um 11:22 Uhr UTC. Nach Stunde UTC waren es 13 Transaktionen ab 23 Uhr am 11. Oktober, eine um 1 Uhr, dann 109 ab 9 Uhr, 394 ab 10 Uhr und 1.030 ab 11 Uhr am 12. Oktober.

Fünf Stichproben, darunter die älteste und die jüngste Transaktion, sind SOL-Transfers von anderen Adressen auf diese Adresse. Eine Abbuchung von dort war in den Stichproben nicht dabei. getBalance bei Slot 456.146.498 ergab 425.991.862.592 Lamports, also 425,991862592 SOL. Die Abfrage zählt Transaktionen, nicht eindeutige Absender.

Was zu beobachten ist

• Die Ursache, Candy untersucht und hat sie nicht genannt
• Ob Candy die Zählung und die Adresse von DC3 bestätigt
• Ob SOL die Adresse nach der Abfrage verlassen hat

Quellen

• Candy — Security-Update, 12. Oktober 2026, 13:55 Uhr MESZ · Erster Post, 12. Oktober 2026, 2:22 Uhr MESZ
• DC3 — Post, 12. Oktober 2026, 16:25 Uhr MESZ
• candy.io — aufgerufen am 12. Oktober 2026, Hinweis auf Wartung, candy.io/terms nicht lesbar
• Öffentliche Mainnet-RPC — getSignaturesForAddress, fünf getTransaction, getBalance, 12. Oktober 2026, Slot 456.146.498

Update, 13. Oktober 2026: In der Nacht gingen genau 420 SOL von der Sammeladresse an eine neue Adresse. Candy bereitet eine Erstattung des abgezogenen SOL vor und schreibt, geminte NFTs seien gesperrt. Candy bereitet Erstattung vor, 420 SOL verlassen die Sammeladresse