Bitcoin Depot zählt zu den größten Betreibern von Bitcoin-Geldautomaten und verwaltet nach eigenen Angaben weltweit mehr als 25.000 Automaten sowie sogenannte BDCheckout-Standorte. Für das Jahr 2025 verzeichnete das Unternehmen einen Umsatz von 615 Millionen Dollar.
In seiner Meldung an die US-Börsenaufsicht SEC schildert das Unternehmen, dass am 23. März ein unbefugter Dritter Zugang zu bestimmten IT-Systemen erlangt habe. Nach der Entdeckung habe man umgehend die Notfallprotokolle aktiviert, externe Sicherheitsfachleute hinzugezogen und die Strafverfolgungsbehörden informiert.
Trotz der eingeleiteten Maßnahmen gelang es den Angreifern, Zugangsdaten zu Abwicklungskonten für digitale Vermögenswerte zu stehlen und rund 50,903 Bitcoin aus den vom Unternehmen kontrollierten Wallets abzuziehen – ein Wert von etwa 3,665 Millionen Dollar zum Zeitpunkt der Meldung. Bitcoin Depot geht nach eigener Einschätzung davon aus, dass sich der Vorfall auf die Unternehmensumgebung beschränkte und die Kundenplattformen, Systeme, Daten und Geschäftsbereiche nicht betroffen waren.
Das Unternehmen verfügt zwar über eine Versicherung gegen Cyberangriffe, weist jedoch darauf hin, dass diese möglicherweise nicht alle aus dem Angriff resultierenden Verluste abdeckt. Am 6. April stufte Bitcoin Depot den Vorfall als wesentlich ein – mit Blick auf mögliche Folgen wie Reputationsschäden sowie rechtliche, regulatorische und Reaktionskosten. Eine Gewähr dafür, dass die Versicherung sämtliche Verluste ersetze, gebe es nicht.
Bereits zuvor hatte Bitcoin Depot fast 26.000 Personen über eine Datenschutzverletzung aus dem Jahr 2024 informiert. Bei diesem Angriff hatten Täter in die Systeme eingedrungen und persönliche Daten der Betroffenen entwendet, darunter vollständige Namen, Adressen, Geburtsdaten, Führerscheinnummern, E-Mail-Adressen und Telefonnummern.
Ein ähnlicher Fall war im Dezember 2024 bekannt geworden, als der US-amerikanische Bitcoin-Automatenbetreiber Byte Federal eine Datenschutzverletzung offenlegte, von der 58.000 Kunden betroffen waren.