Die Krypto-Börse Bitget hat einen Hack über 351.6 Mio. USD bestätigt, der Teile ihrer Hot- und Warm-Wallets traf. Das Unternehmen vermutet eine nordkoreanische Hackergruppe hinter dem Angriff und hat Auszahlungen bis auf Weiteres ausgesetzt.
Bitget ist eine zentralisierte Krypto-Börse, bei der Kunden Guthaben hinterlegen, damit handeln und Mittel auf eigene Adressen abziehen. Die Bestände verteilt die Plattform auf drei Stufen: ständig vernetzte Hot-Wallets für den laufenden Betrieb, Warm-Wallets als Puffer und Cold-Wallets ohne Internetverbindung. Je näher eine Stufe am Tagesgeschäft liegt, desto grösser ist folglich ihre Angriffsfläche. Am 24.09.2026 um 18:31 UTC meldeten Bitgets Sicherheitssysteme unautorisierte Abflüsse aus den beiden vernetzten Ebenen. Wenige Stunden später bestätigte CEO Gracy Chen den Vorfall auf X. On-Chain-Analysten schätzten den Abfluss zunächst auf 180 Mio. USD. Die bestätigte Summe fiel hingegen rund doppelt so hoch aus. Sie verteilt sich auf sieben Chains: Ethereum, das XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Smart Chain und Base.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Backend-Manipulation statt gestohlener Schlüssel
Ursprünglich wollte Chen vor Abschluss der Untersuchung nicht über den Angriffsvektor spekulieren. Inzwischen zeichnet sich der Ablauf ab. Der Angreifer verschaffte sich Zugang zu einem kritischen Backend-System der Wallet-Infrastruktur. Dort fälschte er Transferdaten und brachte Bitgets regulären Autorisierungsprozess so dazu, die Abflüsse freizugeben. Einen Diebstahl von privaten Schlüsseln schliesst die Börse aus.
Für die Einordnung ist dieser Unterschied zentral. Mit einem gestohlenen Schlüssel kann ein Angreifer Transfers selbst signieren. Im Fall von Bitget blieb die Signatur jedoch bei der Börse. Die Freigabe lief somit über die üblichen Kontrollen, nur die Daten dahinter stammten vom Angreifer. Selbst eine gut abgesicherte Schlüsselverwahrung schützt deshalb nicht, wenn das vorgelagerte System falsche Transferdaten liefert. Nicht zuletzt für institutionelle Kunden gewinnt die Prüfung interner Freigabeprozesse damit an Gewicht.
Bitgets Cold-Wallets blieben nach Angaben der Börse unberührt und sind weiterhin sicher. Der Angriff traf nur einen Teil der Hot- und Warm-Ebene. Betroffen sind unter anderem ETH, XRP, USDT, USDC, AVAX und BNB. Eine Börse mit vielen unterstützten Chains muss auf jeder davon vernetzte Bestände für Auszahlungen vorhalten, was die Zahl der Angriffspunkte erhöht. Den grössten Verlust auf einer einzelnen Chain meldete Bitget beim XRP Ledger. Bei den Stablecoins USDT und USDC können zudem die Emittenten betroffene Guthaben einfrieren.
Von 170 auf 351.6 Mio. USD
Die ersten Meldungen sprachen von mehr als 170 Mio. USD, die von Bitget-Wallets an eine nicht identifizierte Adresse flossen. Diese frühen On-Chain-Analysen deckten zunächst nur einen Teil der betroffenen Chains ab. Erst die chain-übergreifende Auswertung ergab schliesslich die 351.6 Mio. USD, die Chen bestätigte. Ein Widerspruch zwischen beiden Zahlen besteht folglich nicht.
Gleichzeitig versuchte der Angreifer, die Beute gegen ein Einfrieren abzusichern. Eine neu erstellte Wallet, deren Adresse mit „0xe410“ beginnt, tauschte innerhalb weniger Minuten rund 19.67 Mio. USD in USDT0 gegen 7'111 ETH. Dafür nahm sie einen Aufschlag von rund 5% über dem Marktpreis in Kauf, was rechnerisch knapp 1 Mio. USD entspricht. Die Geschwindigkeit wog offenbar schwerer als der Preis. Denn im Gegensatz zu Stablecoins kann bei ETH niemand ein Guthaben nachträglich sperren.
Ganz ging die Rechnung trotzdem nicht auf. In ihrem Zwischenbericht nach zwölf Stunden meldete die Börse, einige betroffene Chain-Foundations hätten Adressen des Angreifers eingefroren. Chain-Foundations sind die Organisationen hinter einzelnen Netzwerken und können teils Adressen auf ihrer Chain sperren. Welche Chains das betrifft und um welche Beträge es geht, nennt Bitget jedoch nicht. Wie viel der 351.6 Mio. USD tatsächlich festsitzt, lässt sich daher nicht beziffern.
Auszahlungsstopp und die Reserven dahinter
Für Kunden wiegt vorerst der Auszahlungsstopp am schwersten, der seit dem Vorfall gilt. Einzahlungen und Handel laufen hingegen normal weiter. Ein festes Datum für die Wiederaufnahme nennt Bitget nicht. Das Unternehmen will Fristen erst kommunizieren, wenn es sie garantiert einhalten kann. Guthaben lassen sich somit auf der Plattform handeln, aber nicht auf eine eigene Wallet oder zu einer anderen Börse abziehen.
Finanziell sieht sich die Börse abgesichert. Ihr User Protection Fund, eine Reserve für Kundenschäden, hält nach eigenen Angaben mehr als 464 Mio. USD und deckt den gesamten Schaden ab. Rechnerisch übersteigt also allein der Fonds die Schadenssumme um mehr als 110 Mio. USD. Zudem beziffert Bitget seine eigenen Vermögenswerte auf über 1 Mrd. USD.
"Bitget hat mehrere Marktzyklen durchlaufen. Wir werden uns dem nicht entziehen. Über jeden Dollar und jede Entscheidung legen wir transparent und vollständig Rechenschaft ab." - Gracy Chen, CEO, Bitget
Mehr Klarheit soll ein vollständiger Vorfallbericht mit Ursachenanalyse bringen. Bitget hat ihn für spätestens 24 Stunden nach der ersten Sicherheitsmitteilung zugesagt. Erst dieser Bericht soll klären, wie der Angreifer überhaupt Zugang zum Backend-System erhielt. Die bisherigen Angaben zum Ablauf stammen aus Chens Beiträgen auf X und dem Zwischenbericht nach zwölf Stunden.
Parallelen zu Bybit und Ronin
Den Verdacht gegen Nordkorea stützt Bitget auf zwei Indizien. Ermittler identifizierten IP-Adressen, die mit VPN-Diensten in Verbindung stehen, welche nordkoreanische Hacker zuvor genutzt hatten. Ausserdem ähnelt das Angriffsmuster früheren Operationen mit Nordkorea-Bezug. Dennoch handelt es sich um eine vorläufige Einschätzung des Unternehmens. Weder eine Regierungsbehörde noch eine On-Chain-Sicherheitsfirma hat die Zuschreibung bislang bestätigt.
Vergleichsweise gut belegt ist der Bybit-Hack vom Februar 2025, bei dem rund 1.5 Mrd. USD abflossen, mehr als viermal so viel wie bei Bitget. Das FBI und seine Meldestelle IC3 ordneten ihn Nordkorea zu und führen die Aktivität unter dem Namen „TraderTraitor“. Frühere US-Warnungen und Sicherheitsforscher rechnen diese Bezeichnung der Lazarus-Gruppe zu. Einfallstor war ein Angriff auf die Lieferkette der Multisig-Plattform Safe{Wallet}. Über manipulierte Software brachten die Angreifer die legitimen Unterzeichner dazu, den Abfluss freizugeben, was dem Bitget-Fall am nächsten kommt. Bitget hatte Bybit damals unterstützt. Nun bot Bybit-CEO Ben Zhou seinerseits Hilfe an und aktualisiert die Plattform LazarusBounty, um die gestohlenen Gelder zu verfolgen.
