Der börsennotierte Blockchain-Kreditgeber Figure bestätigt Datenverletzung bei Kunden

Kurzfassung

• Figure bestätigte einen Datenverstoß und erklärte, dass ein Mitarbeiter in einem Social-Engineering-Angriff getäuscht wurde.
• Die gestohlenen Dateien sollen laut einem Bericht Namen, Adressen, Geburtsdaten und Telefonnummern enthalten.
• Der börsennotierte Kreditgeber bietet betroffenen Personen eine kostenlose Bonitätsüberwachung an.

Figure Technology bestätigte am Freitag, dass es zu einem Datenschutzvorfall gekommen ist, nachdem ein Mitarbeiter Ziel eines Social-Engineering-Angriffs wurde. Die Hackergruppe ShinyHunters beanspruchte die Verantwortung und erklärte, dass Figure sich weigerte, ein Lösegeld zu zahlen, und dass sie 2,5 Gigabyte gestohlener Daten veröffentlichten. TechCrunch, das zuerst über den Vorfall berichtete, sagte, dass es einige der Dateien geprüft habe, die vollständige Namen, Heimadressen, Geburtsdaten und Telefonnummern der Kunden enthielten. „Wir haben kürzlich festgestellt, dass ein Mitarbeiter social engineering-attackiert wurde, was einem Akteur erlaubte, eine begrenzte Anzahl von Dateien über dessen Konto herunterzuladen“, sagte Figure in einer Erklärung, die an Decrypt weitergegeben wurde. „Wir haben schnell reagiert, um die Aktivitäten zu blockieren, und eine forensische Firma beauftragt, um zu untersuchen, welche Dateien betroffen sind.“ 

Social Engineering bezeichnet Situationen, in denen Angreifer Mitarbeiter durch betrügerische E-Mails, Anrufe oder Nachrichten manipulieren, um Zugriff auf Unternehmenssysteme zu erlangen, oft indem sie sie dazu verleiten, Zugangsdaten preiszugeben oder unautorisierte Anfragen zu genehmigen. Ein Bericht von Chainalysis aus Januar sagte, dass im letzten Jahr Kryptowährungen im Wert von über 17 Milliarden US-Dollar durch KI-gestützte Betrugsmaschen gestohlen wurden. Datenverstöße blieben auch 2025 weit verbreitet, wobei Regulierungsbehörden mehr als 8.000 Benachrichtigungen im Zusammenhang mit über 4.000 einzelnen Vorfällen registrierten, die mindestens 374 Millionen Menschen betrafen, so ein Bericht der Privacy Rights Clearinghouse vom Dezember 2025. Gegründet im Jahr 2018, ist Figure ein in New York ansässiger Kreditgeber, der seine Kreditplattform auf der Provenance-Blockchain betreibt und sich auf Home Equity Lines of Credit spezialisiert hat. Figure ging im September 2025 unter dem Ticker FIGR an die Börse und sammelte bei einem IPO 787,5 Millionen US-Dollar ein, was das Unternehmen auf etwa 5,3 Milliarden US-Dollar bewertete.

Während der Sprecher sich weigerte, weitere Details zu nennen, berichtete ein Mitglied von ShinyHunters TechCrunch, dass der Vorfall Teil einer größeren Kampagne gegen Unternehmen sei, die auf den Single Sign-On-Anbieter Okta angewiesen sind. Zu den weiteren mutmaßlichen Opfern gehörten die Harvard University und die University of Pennsylvania. Figure erklärte, dass es mit Partnern und betroffenen Parteien kommuniziert und zusätzliche Sicherheitsmaßnahmen umsetzt. „Wir bieten allen Personen, die eine Benachrichtigung erhalten, eine kostenlose Bonitätsüberwachung an“, sagte das Unternehmen. „Wir überwachen Konten kontinuierlich und haben starke Schutzmaßnahmen zum Schutz der Gelder und Konten unserer Kunden.“ Die Nachricht vom Datenverstoß kommt, während Figure am Freitag die Einführung eines vorgeschlagenen sekundären öffentlichen Angebots von bis zu 4.230.000 Aktien seiner Series A Blockchain Common Stock ankündigte, mit Plänen, bis zu 30 Millionen US-Dollar an Class A-Aktien von Underwritern zurückzukaufen. Die Aktie von Figure schloss den Tag mit einem Plus von 3,57 % bei einem Kurs von 35,29 US-Dollar, obwohl sie im letzten Monat um 37 % gefallen ist.