Bitgets Schutzfonds soll Folgen des 387,5-Millionen-Hacks abfedern

Die Krypto-Börse Bitget beziffert den Schaden des Hacks vom 24. September mittlerweile auf 387,5 Millionen Dollar. Laut eigenen Angaben wurden dabei weder private Schlüssel noch Nutzerabhebungen kompromittiert, sondern ein Backend-System der Wallet-Infrastruktur, das gefälschte Transaktionsdaten in den regulären Freigabeprozess einspeiste – eine mögliche Beteiligung Nordkoreas gilt bislang als unbestätigter Verdacht.

Bitget meldet 387,5 Millionen Dollar Schaden

Bitgets Sicherheitssysteme registrierten die unautorisierten Transfers am 24. September um 18:31 UTC, ausgehend von einigen Hot- und Warm-Wallets der Börse. Blockchain-Ermittler schätzten den Abfluss innerhalb einer Stunde zunächst auf rund 183 Millionen Dollar, bei der öffentlichen Bestätigung durch die Börse lag die Summe bereits bei 351,6 Millionen Dollar und wurde später auf 387,5 Millionen Dollar revidiert.

Die größte einzelne Position im Abfluss waren rund 103 Millionen XRP im Wert von etwa 157 Millionen Dollar. CEO Gracy Chen erklärte in einem Livestream und mehreren Posts auf X, die Angreifer hätten ein zentrales Backend-System der Wallet-Infrastruktur kompromittiert und darüber gefälschte Transaktionsdaten eingeschleust, um den internen Autorisierungsprozess zur Freigabe scheinbar routinemäßiger Auszahlungen zu bewegen. „They did not forge user withdrawal requests, nor did they obtain our private keys of the cold wallet and any hot, warm wallet,“ sagte Chen dazu. Die genauen Eindringmethoden würden weiterhin technisch untersucht.

Warum Nordkorea unter Verdacht steht

Chen verweist auf identifizierte IP-Adressen, die zu den VPN-Mustern einer bestimmten DPRK-Gruppe passen sollen, und beschreibt das Vorgehen als sehr ähnlich zu früheren Operationen nordkoreanischer Hacker. Auch die On-Chain-Signaturen würden zu Techniken passen, die staatlich verbundenen nordkoreanischen Gruppen zugeschrieben werden – zugleich betont sie, dass die Identität der Angreifer nicht bestätigt und keine technischen Beweise veröffentlicht seien.

Als Referenzpunkt dient der Bybit-Hack vom Februar 2025 über 1,4 Milliarden Dollar, den das FBI wenige Wochen später der als Lazarus Group beziehungsweise TraderTraitor bekannten nordkoreanischen Einheit zuordnete. Chainalysis beziffert den nordkoreanischen Kryptoertrag für 2025 auf mehr als 2 Milliarden Dollar. Wie zuletzt die Binance-Untersuchung wegen mutmaßlicher Iran-Sanktionsverstöße zeigte, geraten große Börsen bei mutmaßlich staatsnahen Akteuren zunehmend unter Compliance-Druck.

Reaktionen, Schutzfonds und offene Fragen

Der Abfluss wurde nach Chens Angaben gestoppt, weitere unautorisierte Transfers seien nicht mehr möglich. Der User Protection Fund der Börse umfasst mehr als 464 Millionen Dollar und soll den vollständigen Verlust abdecken, sodass Kundenkontostände intakt bleiben, auch wenn die Mittel selbst verloren sind.

Einzahlungen und Handel liefen während des Vorfalls weiter, lediglich Auszahlungen wurden vorsorglich pausiert. „The possibility of private key leakage can be ruled out“ sagte Chen laut eigenen Angaben, betonte aber, dass die vollständige technische Untersuchung mit Mandiant und SlowMist noch andauere. Ein Incident-Report mit Ursachenanalyse soll folgen, sobald die Systeme abgesichert sind.

Was der Hack für Kunden und Börsensicherheit bedeutet

Für Bitget-Kunden bleibt es zunächst bei eingeschränkten Auszahlungen, während Guthaben laut Börsendarstellung durch den Protection Fund gedeckt sind. Der Vorfall rückt erneut die Frage in den Vordergrund, wie Krypto-Verwahrer nicht nur private Schlüssel, sondern auch die Backend-Autorisierung ihrer Wallet-Infrastruktur absichern – ein Punkt, den auch die geplanten SEC-Regeln zur Krypto-Verwahrung adressieren sollen.

Ein unmittelbarer Preiseffekt auf Bitcoin oder andere Assets lässt sich aus dem vorliegenden Material nicht ableiten. Der eigentliche Markteffekt dürfte sich vor allem im Vertrauens- und Verwahrungsrisiko zentralisierter Börsen zeigen, das durch den größten Hack des Jahres erneut sichtbar wird.