Quellen-Tabelle

Google zahlte 2012 eine Rekordstrafe von 22,5 Millionen US-Dollar an die FTC wegen Umgehung der Cookie-Blockade im Safari-Browser trotz gegenteiliger Zusicherungen. Die FTC wertete dies als Verstoß gegen eine frühere Vergleichsvereinbarung von Oktober 2011 im Google-Buzz-Fall. Die Kommission stimmte am 09.08.2012 mit 4 zu 1 Stimmen für die Einigung.

Der Vergleich enthielt kein Schuldeingeständnis von Google. Wie viele Safari-Nutzer konkret betroffen waren, geht aus der Pressemitteilung nicht hervor.

Die FTC gab am 15.08.2017 einen Vergleich mit Uber bekannt. Die Behörde warf Uber vor, Nutzer getäuscht zu haben, indem das Unternehmen behauptete, den internen Mitarbeiterzugriff auf Standortdaten streng zu kontrollieren. Konkret nannte die FTC das interne Tool God View, mit dem Mitarbeiter Echtzeit-Standorte von Fahrern und Kunden einsehen konnten. Uber verpflichtete sich zu einem umfassenden Datenschutzprogramm und unabhängigen Audits über 20 Jahre.

Der Vergleich von 2017 sah keine Geldstrafe vor. Die FTC erweiterte diesen Vergleich 2018, nachdem bekannt wurde, dass Uber einen Datenschutzvorfall aus 2016 während des laufenden Verfahrens verschwiegen hatte, dieser spätere Vergleich ist nicht Gegenstand dieser Quelle.

Verizon und Yahoo gaben am 21.02.2017 bekannt, den vereinbarten Kaufpreis für Yahoos Kerngeschäft um 350 Millionen US-Dollar zu senken, von rund 4,83 auf etwa 4,48 Milliarden US-Dollar. Grund waren die zuvor bekannt gewordenen Datenlecks bei Yahoo mit rund 500 Millionen bzw. über einer Milliarde betroffenen Konten. In der geänderten Vereinbarung teilen sich Verizon und Yahoo bestimmte rechtliche Haftungsrisiken aus den Datenlecks.

Eine genaue, offiziell bestätigte Berechnungsgrundlage für die Summe von 350 Millionen Dollar ist nicht dokumentiert. Der endgültige Abschluss der Transaktion erfolgte erst im Juni 2017.

Der California Consumer Privacy Act trat am 01.01.2020 in Kraft. Das Gesetz gewährt Verbrauchern in Kalifornien ein Auskunftsrecht, ein Löschrecht und ein Widerspruchsrecht gegen den Verkauf ihrer personenbezogenen Daten. Es gilt für Unternehmen mit mehr als 25 Millionen US-Dollar Jahresumsatz oder mit Kauf/Verkauf der Daten von mindestens 50.000 Verbrauchern.

Wie viele Beschwerden oder Bußgelder es im ersten Jahr nach Inkrafttreten gab, wird hier nicht beziffert. Die spätere Verschärfung durch die California Privacy Rights Act ab 2023 ist nicht Gegenstand dieser Quelle.

Die Verordnung (EU) 2024/1183 vom 11.04.2024 ändert die bisherige eIDAS-Verordnung und schafft den Rechtsrahmen für die European Digital Identity Wallet. Sie trat am 20.05.2024 in Kraft und verpflichtet alle EU-Mitgliedstaaten, bis Ende 2026 mindestens eine EUDI-Wallet bereitzustellen. Ab 2027 müssen öffentliche Stellen und bestimmte private Unternehmen die Wallet zur Identifizierung akzeptieren.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.

Am 09.10.2024 gab eine Koalition von Generalstaatsanwälten zahlreicher US-Bundesstaaten einen Vergleich mit Marriott wegen der Starwood-Datenpannen bekannt. Marriott zahlt insgesamt 52 Millionen US-Dollar. Der Vergleich betrifft den Starwood-Datenbruch von 2014 bis 2018 mit rund 131,5 Millionen betroffenen US-Datensätzen sowie eine weitere Kompromittierung 2018 bis 2020. Marriott verpflichtet sich zu einem CISO, Verschlüsselung und Mehrfaktor-Authentifizierung.

Die genaue Zahl der beteiligten Jurisdiktionen wird unterschiedlich angegeben. Der Vergleich ist rechtlich eigenständig und nicht mit der ICO-Buße von 2020 oder dem separaten FTC-Vergleich zu verwechseln.

Die Bundesnetzagentur erklärte im Februar 2017 die vernetzte Kinderpuppe My Friend Cayla wegen ihrer Aufnahmefunktion zu einem verbotenen Spionagegerät und stufte sie als unerlaubte Sendeanlage ein. Grund war eine ungesicherte Bluetooth-Verbindung zum Mikrofon. Besitz, Herstellung und Vertrieb der Puppe wurden für illegal erklärt. Das Verwaltungsgericht Köln wies einen Eilantrag des Vertreibers im Mai 2017 zurück.

Wie viele der verkauften Puppen tatsächlich vernichtet wurden, ist offen, die Behörde verzichtete auf Kontrollen in Privathaushalten. Ob strafrechtliche Ermittlungsverfahren gegen einzelne Vertreiber durchgeführt wurden, ist nicht dokumentiert.

Mattel kündigte 2015 mit Hello Barbie eine internetfähige, sprachgesteuerte Puppe an, die per Mikrofon Kindergespräche aufzeichnet und über WLAN an Cloud-Server des Partners ToyTalk überträgt, wo sie ausgewertet werden. Die Organisation Campaign for a Commercial-Free Childhood kritisierte, sensible Daten über Kinder könnten für Marketingzwecke missbraucht werden. ToyTalk erklärte, gesammelte Daten würden nicht für Werbung genutzt.

Der Artikel dokumentiert nur die Ankündigung vor dem Marktstart im Herbst 2015. Spätere Sicherheitslücken und eine im Dezember 2015 eingereichte Sammelklage wegen COPPA-Verstößen sind nicht Gegenstand dieser Quelle.

Der Erste Senat des Bundesverfassungsgerichts entschied am 06.11.2019 in zwei zeitgleich verkündeten Beschlüssen über den Prüfungsmaßstab für Verfassungsbeschwerden. In Recht auf Vergessen I (1 BvR 16/13, Klage gegen ein Online-Pressearchiv wegen jahrzehntealter Mordberichterstattung) bekräftigte das Gericht, dass es innerstaatliches Recht mit unionsrechtlichem Gestaltungsspielraum primär an den Grundrechten des Grundgesetzes prüft. In Recht auf Vergessen II (1 BvR 276/17, Streit einer Geschäftsführerin mit Google um einen Suchmaschinenlink zu einem TV-Beitrag) legte das Gericht erstmals fest, dass es bei unionsrechtlich vollständig vereinheitlichtem Recht stattdessen die Charta der Grundrechte der EU als Prüfungsmaßstab heranzieht.

Diese Quelle ist die Pressemitteilung Nr. 84/2019 zu Recht auf Vergessen II. Nach welchen trennscharfen Kriterien im Einzelfall zwischen gestaltungsoffenem und vollständig vereinheitlichtem Unionsrecht abzugrenzen ist, bleibt offen. Wie viele spätere Verfassungsbeschwerden sich seither ausdrücklich auf die EU-Grundrechtecharta stützen, ist nicht beziffert.

Nachdem PayPal im Dezember 2010 wegen der Veröffentlichung von US-Depeschen durch WikiLeaks das Spendenkonto der Plattform gesperrt hatte, führte das Kollektiv Anonymous unter dem Namen Operation Payback DDoS-Angriffe gegen die PayPal-Server durch. Die Angriffe dauerten laut Anklage vom 6. bis 10. Dezember 2010. Am 19.07.2011 gab das US-Justizministerium die Festnahme von 14 mutmaßlichen Beteiligten sowie mehr als 35 Durchsuchungen bekannt, begleitet von weiteren Festnahmen in Großbritannien und den Niederlanden.

Die Pressemitteilung bezieht sich ausschließlich auf die Anklage im Zusammenhang mit PayPal. Angriffe gegen Visa, Mastercard und weitere Zahlungsdienstleister sind hier nicht mit einer Anklage belegt. Eine Anklage stellt rechtlich nur eine Vorwurfserhebung dar, es gilt die Unschuldsvermutung. Der individuelle Tatbeitrag der Beschuldigten wird nicht beziffert.

Nachdem HBGary-Federal-Chef Aaron Barr angekündigt hatte, Anführer von Anonymous identifiziert zu haben, hackte die Gruppe Anfang Februar 2011 die Server der Sicherheitsfirma und veröffentlichte mehr als 70.000 interne E-Mails. Die Mails zeigten, dass HBGary Federal zusammen mit Palantir Technologies und Berico Technologies im Auftrag der Kanzlei Hunton & Williams eine Kampagne gegen WikiLeaks vorbereitet hatte, mit Desinformation und Druck auf Journalisten. Dieselbe Kanzlei hatte die drei Firmen zudem beauftragt, gewerkschaftsnahe Organisationen wie ThinkProgress und SEIU ins Visier zu nehmen. Aaron Barr trat nach der Veröffentlichung als CEO zurück.

Bank of America und die US Chamber of Commerce bestritten, die Vorschläge in Auftrag gegeben zu haben. Ob die geplanten Maßnahmen tatsächlich umgesetzt wurden, ist nicht abschließend geklärt. Eine strafrechtliche Verfolgung der Kanzlei oder Auftraggeber ist nicht dokumentiert.

Ende Dezember 2011 drangen Aktivisten von Anonymous unter dem Namen der Operation Antisec in die Server der US-Sicherheitsberatung Stratfor ein und erbeuteten nach eigenen Angaben mehr als 200 Gigabyte Daten, darunter Kreditkartendaten und interne E-Mails von Kunden und Mitarbeitern. Eine heise online vorliegende Liste umfasste rund 4.000 Einträge vertraulicher Geschäftskunden, darunter die Deutsche Bank, DHL und der Spiegel. Die Angreifer erklärten, mit den erbeuteten Kreditkartendaten mehr als eine Million US-Dollar an Hilfsorganisationen spenden zu wollen.

Der Artikel nennt kein exaktes Einbruchsdatum und keine belastbare Gesamtzahl der betroffenen Konten. Spätere Berichte und die US-Anklage nannten deutlich höhere, teils schwankende Zahlen, die hier nicht überprüft wurden. Die spätere Verurteilung von Jeremy Hammond und die Rolle des FBI-Informanten Hector Monsegur sind nicht Gegenstand dieses Artikels.

Die Hackergruppe LulzSec griff im Mai und Juni 2011 innerhalb weniger Wochen mehrere hochrangige Ziele an, darunter Sony Pictures, den US-Sender PBS und die FBI-Partnerorganisation InfraGard. Bei Sony Pictures erbeuteten die Angreifer per SQL-Injection Nutzerdaten, bei PBS schleusten sie eine gefälschte Meldung ein und veröffentlichten eine Mitarbeiterdatenbank, bei InfraGard legten sie Zugangsdaten offen. LulzSec bezeichnete diese Angriffsserie als 50 Tage Lulz und kündigte Ende Juni 2011 die Auflösung der Gruppe an.

Wie viele Nutzerkonten bei Sony Pictures betroffen waren, ist umstritten, die Angaben schwanken je nach Quelle stark. Die genaue Mitgliederzahl der bei InfraGard offengelegten Accounts wird unterschiedlich beziffert. Die Identität aller beteiligten Hacker war zum Zeitpunkt dieser Berichterstattung nicht bekannt.

Zwischen dem 17. und 19.04.2011 verschaffte sich ein unbefugter Angreifer Zugang zum Sony PlayStation Network und dem Musikdienst Qriocity. Sony schaltete die Dienste am 20.04.2011 ab und informierte erst rund eine Woche später öffentlich über den Datendiebstahl. Nach Sony-Angaben wurden persönliche Daten von rund 77 Millionen Nutzerkonten entwendet, darunter Namen, Adressen, Geburtsdaten, Login-Daten und Passwörter, möglicherweise auch Kreditkartennummern. Das PlayStation Network blieb je nach Land bis zum 14.05.2011 abgeschaltet, der Gesamtausfall dauerte 23 Tage.

Die genaue Identität der Angreifer wurde nie offiziell festgestellt, Spekulationen über eine Verbindung zu Anonymous blieben unbestätigt. Wie viele der möglicherweise betroffenen Kreditkartendaten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. Schätzungen zu den Sony entstandenen Kosten schwanken je nach Quelle stark.

Der Chaos Computer Club analysierte im Oktober 2011 eine als Quellen-TKÜ eingesetzte staatliche Späh-Software und deckte gravierende Sicherheitsmängel auf. Die Software konnte beliebigen Schadcode nachladen, Kommandos zwischen Steuerserver und Trojaner waren teils unverschlüsselt und Screenshots sowie Audiodaten nur unzureichend verschlüsselt. Zudem ermöglichte sie Zugriffe auf Mikrofon, Kamera, Tastatur und Dateisystem und ging damit weit über die gesetzlich erlaubte Telekommunikationsüberwachung hinaus. Betroffen waren laut Bericht unter anderem Bayern und Schleswig-Holstein, wo die Software als Bayerntrojaner beziehungsweise 0zapftis bekannt wurde.

Wie viele Personen insgesamt mit der Software überwacht wurden, geht aus dem Artikel nicht hervor. Offen bleibt, welche weiteren Landesbehörden die Software bereits eingesetzt hatten. Der Hersteller wird in diesem Artikel nicht genannt.

Die britische Datenschutzbehörde ICO verhängte am 05.10.2016 eine Geldbuße von 400.000 Pfund gegen den Telekommunikationsanbieter TalkTalk, die bis dahin höchste von der ICO verhängte Strafe. Ursache war ein Cyberangriff vom Oktober 2015, bei dem Angreifer über SQL-Injection-Schwachstellen auf drei Webseiten personenbezogene Daten von 156.959 Kunden zugriffen, in 15.656 Fällen einschließlich Bankkontonummern und Bankleitzahlen. Die verwundbaren Seiten stammten aus der 2009 übernommenen Tiscali-Infrastruktur, TalkTalk hatte zwei frühere Angriffswarnungen im Juli und September 2015 nicht ausreichend beachtet.

Das Alter und die Identität des Haupttäters bleiben in der Berichterstattung uneinheitlich. Verhaftet wurde zunächst ein 15-Jähriger aus County Antrim, später bekannte sich ein 17-Jähriger aus Norwich vor Gericht schuldig, ob es sich um dieselbe Person handelt, ist unklar. Die genaue Höhe des von TalkTalk ursprünglich genannten Gesamtschadens wird an anderer Stelle unterschiedlich beziffert.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Der Chaos Computer Club kritisierte die deutsche Corona-Kontaktverfolgungs-App Luca am 13.04.2021 wegen mehrerer Sicherheitslücken, darunter eine fehlerhafte SMS-Validierung und die Möglichkeit, über gescannte QR-Codes die zentral gespeicherte Standorthistorie einzelner Nutzer auszulesen. Nach dem Sturz eines Mannes vor einer Mainzer Gaststätte in der Nacht vom 29. auf den 30.11.2021, der später an seinen Verletzungen starb, forderte die Mainzer Polizei vom Gesundheitsamt die über Luca erfassten Kontaktdaten der Gaststättenbesucher an. Das Gesundheitsamt übermittelte die Daten von 21 Personen, die daraufhin als Zeugen befragt wurden, obwohl § 28a Abs. 4 Satz 3 Infektionsschutzgesetz eine Nutzung nur zur Kontaktnachverfolgung erlaubt. Die Staatsanwaltschaft Mainz räumte die Rechtswidrigkeit im Nachhinein ein.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.

Auf dem vom Chaos Computer Club veranstalteten Remote-Kongress rC3 präsentierten Sicherheitsforscher Ende Dezember 2020 zahlreiche Schwachstellen in der deutschen Gesundheits-IT, wenige Tage vor dem geplanten Start der elektronischen Patientenakte (ePA) am 01.01.2021. Sie fanden unter anderem 29 ungeschützt im Internet erreichbare Konnektoren der Telematikinfrastruktur, unzureichend abgesicherte Server bei medizinischen Versorgungszentren und offene GUS-Boxen. Ein Forscher warnte, man hätte die ePA per Man-in-the-Middle-Angriff auslesen können, wäre sie bereits im Einsatz gewesen. Der ePA-Start erfolgte zunächst nur in wenigen Testpraxen in Berlin und Westfalen-Lippe.

Wie viele Versicherte die ePA in den ersten Monaten aktivierten, ist hier nicht dokumentiert, der Artikel entstand vor dem offiziellen Start. Ob die demonstrierten Schwachstellen die produktive ePA-Umgebung selbst betrafen oder nur angrenzende Systeme, bleibt offen. Die Vortragenden waren Sicherheitsforscher auf dem CCC-Kongress, keine offiziellen CCC-Sprecher.

In der Neujahrsnacht 2013/2014 veröffentlichte eine anonyme Gruppe unter dem Namen SnapchatDB Nutzernamen und Telefonnummern von rund 4,6 Millionen Snapchat-Nutzern. Die letzten beiden Ziffern jeder Telefonnummer wurden unkenntlich gemacht. Das Sicherheitsunternehmen Gibson Security hatte Snapchat bereits im August 2013 privat auf eine Schwachstelle in der Find-Friends-Funktion hingewiesen und die Lücke nach monatelangem Schweigen im Dezember 2013 öffentlich dokumentiert. Snapchat hatte die Schwachstelle zuvor als rein theoretisch eingestuft und nicht behoben.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.

Der Bundestag verabschiedete am 28.06.2012 während des EM-Halbfinales Deutschland gegen Italien in einer sehr kurzen Abstimmung ohne Aussprache eine Neufassung des Meldegesetzes. Im Innenausschuss war die im Regierungsentwurf vorgesehene Einwilligungspflicht für die Weitergabe von Namen und Adressen an Werbefirmen kurz zuvor in eine bloße Widerspruchslösung umgewandelt worden. Nach massivem öffentlichem Protest, unter anderem einer Petition mit mehreren zehntausend Unterzeichnern, rief der Bundesrat den Vermittlungsausschuss an. Bundestag und Bundesrat billigten Ende Februar bzw. am 01.03.2013 einen Kompromiss, der die Einwilligung wieder zur Pflicht machte.

Ob die kurzfristige Änderung im Innenausschuss gezielte Lobbyeinflussnahme war, ist nicht abschließend geklärt. Die berichteten Unterzeichnerzahlen der Protestpetition schwanken je nach Quelle. Wie wirksam die 2013 beschlossene Lösung nach Inkrafttreten 2015 in der Praxis durchgesetzt wurde, ist nicht belegt.

Die US-Auskunftei Equifax gab im September 2017 ein Datenleck bekannt, von dem rund 147 Millionen Menschen betroffen waren, hauptsächlich in den USA. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie bei etwa 145,5 Millionen Personen Sozialversicherungsnummern und bei rund 209.000 Personen Kreditkartendaten. Ursache war eine bereits am 07.03.2017 von Apache veröffentlichte und gepatchte kritische Schwachstelle in der Software Apache Struts (CVE-2017-5638), die Equifax auf einem internen Portal nicht schloss, obwohl die eigene Sicherheitsabteilung eine Patch-Frist von 48 Stunden angeordnet hatte. Angreifer nutzten die Lücke ab dem 10.03.2017 aus und exfiltrierten zwischen Mai und Juli 2017 unentdeckt Daten. Im Juli 2019 einigte sich Equifax mit FTC, CFPB sowie 48 US-Bundesstaaten auf einen Vergleich von bis zu 700 Millionen US-Dollar.

Die genaue Identität der Angreifer ist nicht abschließend geklärt, das US-Justizministerium erhob 2020 Anklage gegen vier mutmaßliche Mitglieder der chinesischen Volksbefreiungsarmee, dies stammt aus einer separaten Ermittlung. Die Zahl von 147 Millionen Betroffenen ist eine später revidierte Schätzung, die ursprüngliche Meldung nannte 143 Millionen. Der Gesamtwert des Vergleichs von 700 Millionen Dollar ist ein Maximalbetrag, tatsächlich zahlte Equifax mindestens 575 Millionen Dollar garantiert.

Nach der Veröffentlichung der Ashley-Madison-Nutzerdaten im August 2015 durch die Gruppe The Impact Team setzte die Betreiberfirma Avid Life Media am 24.08.2015 eine Belohnung von 500.000 kanadischen Dollar für Hinweise zur Identifizierung der Täter aus. Mit der Ermittlung befasst waren der Toronto Police Service, die Royal Canadian Mounted Police, die Ontario Provincial Police sowie FBI und Department of Homeland Security. Ashley-Madison-CEO Noel Biderman äußerte öffentlich den Verdacht, hinter dem Hack stecke eine Person mit internem Zugang, ohne dass dieser Verdacht je zu einer Anklage führte. Laut einer Rückschau von Krebs on Security vom 26.07.2022 war trotz der Belohnung bis dahin niemand angeklagt worden, die Identität von The Impact Team blieb ungeklärt.

Ob die Belohnung jemals ausgezahlt wurde, ist nicht dokumentiert. Die These eines internen Täters stammt aus öffentlichen Äußerungen des CEO und wurde nie durch eine Anklage belegt. Unklar bleibt, ob eine Einzelperson oder eine Gruppe verantwortlich war. Die Behörden kommunizierten nach 2015 keine öffentlichen Zwischenstände mehr.

Das Bezirksgericht Tokio verurteilte den ehemaligen Mt.-Gox-Chef Mark Karpelès am 15.03.2019 wegen Manipulation von Firmenaufzeichnungen zu zwei Jahren und sechs Monaten Freiheitsstrafe auf Bewährung. Vom schwerwiegenderen Vorwurf der Untreue, der Veruntreuung von rund 340 Millionen Yen an Kundengeldern, sprach das Gericht ihn frei, obwohl die Staatsanwaltschaft zehn Jahre Haft gefordert hatte. Mt.Gox war unter Karpelès seit 2011 zur weltweit größten Bitcoin-Börse gewachsen und hatte 2014 in Tokio Insolvenz angemeldet, nachdem rund 850.000 Bitcoin von Kunden und Firmenkonten verschwunden waren.

Die genaue Ursache des ursprünglichen Bitcoin-Verlusts blieb im Strafprozess ungeklärt, das Gericht traf keine Feststellung zu Hackerangriff, technischem Fehler oder interner Manipulation. Die anfangs gemeldete Verlustsumme von rund 850.000 Bitcoin wurde in späteren Berichten auf rund 650.000 Bitcoin nach unten korrigiert, da rund 200.000 Bitcoin in einer älteren Wallet wiederentdeckt wurden.

Am 08.02.2022 verhaftete das FBI in Manhattan das Ehepaar Ilya Lichtenstein und Heather Morgan und beschlagnahmte rund 94.636 Bitcoin, die aus dem Bitfinex-Hack von 2016 stammten, zu diesem Zeitpunkt etwa 3,6 Milliarden US-Dollar wert. Laut Anklage hatte Lichtenstein 2016 mittels fortgeschrittener Hacking-Techniken das Netzwerk der Kryptobörse Bitfinex kompromittiert und über 2.000 betrügerische Transaktionen ausgelöst, durch die insgesamt 119.754 Bitcoin abflossen. Im August 2023 bekannten sich beide schuldig, im November 2024 wurde Lichtenstein zu fünf Jahren, Morgan zu 18 Monaten Haft verurteilt.

Wie genau Lichtenstein technisch in das Bitfinex-Netzwerk eindrang, bleibt unklar, die Anklageschrift nennt nur allgemein fortgeschrittene Hacking-Tools. Der beschlagnahmte Anteil deckte nicht die gesamte Beute ab. Ob und in welchem Umfang die beschlagnahmten Bitcoin vollständig an Bitfinex zurückgehen, war Anfang 2025 noch Gegenstand eines Gerichtsverfahrens.