Manipulierte Freigaben im Bitget-Hack kosten 387,5 Millionen

Der Krypto-Börse Bitget wurden bei einem Hack am 24. September insgesamt 387,5 Millionen Dollar entwendet – mehr als ursprünglich gemeldet. Bitget hatte den Schaden zunächst mit 351,6 Millionen Dollar beziffert und die Summe im Laufe der Aufarbeitung nach oben korrigiert. Besonders bemerkenswert: Laut Bitget stahlen die Angreifer keine privaten Schlüssel, sondern manipulierten offenbar interne Freigabeprozesse, sodass gefälschte Transaktionsdaten wie legitime Auszahlungen aussahen. Ob tatsächlich Nordkorea hinter dem Angriff steckt, ist trotz erster Verdachtsmomente weiterhin ungeklärt – Strafverfolgungsbehörden ermitteln.

Wie der Angriff ablief

Bitgets Sicherheitssysteme registrierten die unautorisierten Abflüsse aus Hot Wallets um 18:31 UTC am 24. September. Schon innerhalb einer Stunde zählten On-Chain-Ermittler rund 183 Millionen Dollar in Stablecoins, Ethereum und weiteren Assets, die aus als Bitget zugeordneten Wallets abflossen. Die Vermögenswerte wurden anschließend über mindestens fünf Blockchains an Adressen unter Kontrolle der Angreifer verschoben.

Den größten Einzelposten machte mit rund 103 Millionen XRP im Wert von etwa 157 Millionen Dollar aus. Ein pseudonymer Blockchain-Analyst dokumentierte zudem eine frisch angelegte Wallet, die binnen sechs Minuten 19,67 Millionen Dollar in USDT0 gegen 7.111 ETH tauschte – über die dezentralen Börsen UniswapX und 1inch Fusion und rund fünf Prozent über Marktpreis. Bitget erklärte, der Abfluss sei mittlerweile gestoppt, weitere unautorisierte Transfers seien nicht mehr möglich.

Kundengelder bleiben laut Bitget unangetastet: Der User Protection Fund der Börse hält mehr als 464 Millionen Dollar und soll den gesamten Verlust abdecken. Einzahlungen und Handel liefen während des Vorfalls durchgehend weiter, lediglich Auszahlungen wurden vorsorglich eingefroren – ein Vorgehen, das auch bei den Verwahrungs- und Sicherheitsmaßnahmen von Bitget eine zentrale Rolle spielt.

Kein gestohlener Schlüssel, sondern gefälschte Freigaben

Bitget-CEO Gracy Chen erläuterte den Mechanismus in einem Livestream und mehreren Posts auf X. "They did not forge user withdrawal requests, nor did they obtain our private keys of the cold wallet and any hot, warm wallet," sagte sie. Stattdessen sollen die Angreifer ein Backend-System innerhalb der Wallet-Infrastruktur kompromittiert und darüber Transaktionsdaten gefälscht haben, sodass der interne Autorisierungsprozess die Auszahlungen als regulär einstufte – ein Missbrauch der Prüfsysteme selbst, nicht des Tresors.

Nordkorea als Hauptverdächtiger

Chen brachte den Angriff mit vorsichtiger Formulierung in Verbindung mit Pjöngjang. "We've identified some IP addresses that match the VPN choices by a certain DPRK group," erklärte sie und ergänzte, das Muster ähnele stark früherem Vorgehen des nordkoreanischen Teams. Auch die On-Chain-Signaturen sollen zu Techniken staatlich verbundener nordkoreanischer Hackergruppen passen – bestätigt ist die Täterschaft laut Bitget aber nicht, öffentliche technische Beweise fehlen bislang.

Chen gab an, selbst schon einmal von derselben Gruppe angegriffen worden zu sein und dabei rund 80.000 Dollar aus einer privaten Wallet verloren zu haben. Die als Lazarus Group beziehungsweise TraderTraitor bekannten Akteure gelten als verantwortlich für die größten Krypto-Diebstähle der Branche, darunter der Bybit-Hack über 1,4 Milliarden Dollar im Februar 2025, den das FBI Wochen später offiziell Nordkorea zuschrieb. Chainalysis beziffert die nordkoreanische Beute allein für 2025 auf mehr als 2 Milliarden Dollar.

Was als Nächstes passiert

Bitget ermittelt derzeit gemeinsam mit den Sicherheitsfirmen Mandiant und SlowMist und hat einen vollständigen Abschlussbericht samt Ursachenanalyse angekündigt, sobald die technische Aufarbeitung abgeschlossen ist. Auszahlungen bleiben bis zur Bekanntgabe eines konkreten Plans am Folgetag pausiert. Parallel prüfen Strafverfolgungsbehörden die mutmaßliche Nordkorea-Spur – ein abschließendes Urteil steht noch aus.

Auf Google News folgen

Jetzt abonnieren