So funktioniert es
eXch arbeitete als sofortiger, verwahrender Krypto-Swap. Nutzer wählten ein Paar, schickten ihre Mittel an eine pro Swap erzeugte Einzahlungsadresse und erhielten den Zielwert wenige Minuten später. Kein Konto, keine E-Mail, kein Passwort — nur eine Swap-ID und eine optionale Rückzahlungsadresse. Der Dienst lebte im Clearnet auf exch.cx und über einen .onion-Spiegel und unterstützte Bitcoin, Lightning, Ethereum (mit ERC-20s) und Monero. Die Preise kamen aus interner Liquidität sowie aus dem Pass-through zu KYC-freien Partnerdesks.
Intern war die Plattform ein verwahrender Betreiber. eXch übernahm während des Swap-Fensters die eingehenden Mittel und signierte die Auszahlung selbst; zwischen Bestätigung und Auszahlung hatte der Nutzer keine On-Chain-Kontrolle über seine Einzahlung. Der Support lief ausschließlich per E-Mail — nach Aussage der Nutzer langsam, bei festhängenden Swaps aber meist zuverlässig.
KYC und Privatsphäre
Konstruktionsbedingt erhob eXch bei der Anmeldung nichts, weil es keine Anmeldung gab. Das Formular fragte nur nach einer Eingangsadresse, einer Ausgangsadresse und einer optionalen Rückzahlungsadresse. Kein KYC, auf keiner Stufe. Die vom Betreiber erklärte AML-Politik lehnte das Einfrieren oder Weitergeben von Mitteln auf Drittanforderung ab, und on chain hielt die Plattform diese Linie selbst bei prominenten Diebstahlszuordnungen ein.
Genau diese Haltung kostete das Projekt am Ende den Kopf. Weil eXch eingehende Einzahlungen nicht filterte — auch nicht, nachdem Bybit die mit dem Hack vom 21. Februar 2025 verknüpften Adressen öffentlich markiert hatte — flossen innerhalb weniger Wochen rund 200 Millionen US-Dollar der von Lazarus erbeuteten 1,46 Milliarden über die Plattform. Ermittler von Elliptic und TRM Labs verfolgten anschließend ein geschätztes Lebensvolumen von 1,9 Milliarden US-Dollar durch eXch, mit erheblicher Berührung zum FixedFloat-Hack vom Februar 2024, sanktionierten Wallets und CSAM-bezogenen Mitteln.
Stärken und Grenzen
Für Privacy-Maximalisten erfüllte eXch genau das, was die Bewertung belohnt: keine Anmeldung, keine E-Mail, .onion-Zugang, native Unterstützung für XMR neben BTC und LN sowie ein Betreiber, der einer Gegenpartei keinen Transaktionsgraphen aushändigte. Übliche Paare wickelte er in Minuten ab, nicht in Stunden. Die Bearbeitung festhängender Swaps war für das KYC-freie Segment ungewöhnlich verlässlich.
Die Schwächen waren strukturell und wurden zum Genickbruch. eXch war verwahrend und closed source, ohne veröffentlichten Reservennachweis und ohne externes Audit. Die Betreiber führten das Projekt über eine Briefkastenfirma in Belize, Private Project Facilitators LTD, mit administrativem Kontakt in der Schweiz, Hosting in Frankreich und Servern in Deutschland — eine Geometrie, die der Frankfurter Staatsanwaltschaft und dem BKA jede gewünschte Zuständigkeit gab. Am 30. April 2025, einen Tag vor dem von eXch selbst angekündigten Ende zum 1. Mai, beschlagnahmten die deutschen Behörden die Server, rund 34 Mio. Euro / 38 Mio. US-Dollar in Token und 8 TB operativer Daten. TRM Labs stellte später fest, dass die Betreiber nach der Beschlagnahmung weiterhin einen begrenzten API-Zugang für Partner offen hielten, auch für CSAM-bezogene Flüsse.
Fazit
eXch war das sauberste KYC-freie Nutzererlebnis der Privacy-Szene — und eine Wäscheschiene für das nordkoreanische Waffenprogramm. Die Clearnet-Domain ist tot, die Betreiber sind auf der Flucht, und jede Nachfolgespiegelung ist per Definition derselbe Kreis, der nach der Beschlagnahmung für CSAM-Kunden online blieb. Note: D (4,2/10). Vertrauen: SCAM.
eXch bediente die Privacy-Szene gut – und die Lazarus-Gruppe besser. Die Clearnet-Domain ist offline, die Betreiber sind auf freiem Fuß, und jeder Nachfolgespiegel trägt dasselbe verwahrende Gegenpartei-Risiko plus eine bestätigte kriminelle Vorgeschichte. Note: D (4,2/10). Vertrauen: SCAM.
