Twee incidenten bepaalden de cryptoschade in september

De inbraak bij Bitget en het exploit van het Liquid Network waren samen goed voor circa $708 miljoen aan cryptoverliezen in september. PeckShield schatte het totaal op $766,5 miljoen, verdeeld over 55 grote incidenten; CertiK kwam met 97 incidenten uit op $768,4 miljoen. Meer dan $270 miljoen van de Liquid-gerelateerde middelen werd later teruggegeven.

De maandtotalen zijn schattingen van afzonderlijke beveiligingsbedrijven en verschillen dus enigszins. De bedragen voor Bitget ($388 miljoen) en Liquid ($320 miljoen) zijn afgerond; samen verklaren ze waarom het merendeel van de gemelde schade bij twee grote incidenten lag. De inbraak bij Bitget en de latere afhandeling van opnames zijn ook van belang voor de inschatting van het risico voor klanten.

De Bitget-inbraak en het opnameplan vormen daarmee een belangrijk deel van het septemberbeeld. De brutobedragen mogen niet worden gelezen als definitief nettoverlies: volgens de bron werd meer dan $270 miljoen van het Liquid-bedrag later teruggegeven.

Twee grote incidenten bepaalden de maand

Zowel PeckShield als CertiK meldde een duidelijke stijging ten opzichte van augustus. Naast Bitget en Liquid noemde de primaire berichtgeving verliezen bij Safe Wallet van $7,8 miljoen, DCENT van $6 miljoen en Duelbits van $5,9 miljoen. Die bedragen waren aanzienlijk kleiner dan de twee grootste incidenten.

De verschillen tussen de totalen weerspiegelen de afzonderlijke tellingen van de beveiligingsbedrijven: PeckShield registreerde 55 grote incidenten, terwijl CertiK er 97 telde. CertiK meldde daarnaast dat zijn dashboard voor 2026 tot dan toe 656 beveiligingsincidenten en een totaalverlies van $2,68 miljard liet zien. September was volgens beide partijen daarmee een sterke uitschieter binnen het jaar.

Beveiliging bij grote infrastructuurpartijen staat centraal

De twee grootste incidenten troffen verschillende onderdelen van de cryptosector: een gecentraliseerde beurs en het Liquid Network. De schade was daardoor niet gelijkmatig verdeeld over tientallen kleinere DeFi-incidenten. CertiK vatte de veranderlijkheid van het dreigingsbeeld in een verklaring samen: “September was a stark reminder of how quickly the threat landscape can shift,”.

Bitget meldde volgens de berichtgeving dat een kwetsbaarheid in een beveiligingsproduct van een derde partij was misbruikt om interne inloggegevens met hoge bevoegdheden te verkrijgen. Vervolgens zouden frauduleuze opnameopdrachten in de wallet-backend zijn ingevoerd. Dat is Bitgets verklaring voor de aanval; de beschikbare informatie maakt de oorzaak niet definitief onafhankelijk vastgesteld.

De rol van derden maakt ook de reactie op de gestolen middelen relevant. Bij de afhandeling werd onder meer geld via andere infrastructuur geleid; in een afzonderlijke situatie werd een beperkt bedrag bevroren nadat het via NEAR Intents was gerouteerd. De beschikbare berichtgeving over bevroren Bitget-gelden via NEAR Intents laat zien dat zulke interventies niet automatisch het volledige gestolen bedrag veiligstellen.

Forensische onderzoeken blijven voorlopig

SlowMist dateerde de vroegste kwaadaardige activiteit volgens de berichtgeving op 31 augustus. De firma en Mandiant brachten aanvullende bevindingen naar buiten, maar omschreven die als voorlopig; de betrokken leveranciers werden niet bij naam genoemd en aangeduid als Product A en Product B.

Mandiant meldde onder meer dat een webshell was ingezet, waarna de aanvaller zich naar een productieserver verplaatste en een aangepaste opnametool gebruikte. Bitget zei dat klantensaldi niet waren afgeschreven en dat het User Protection Fund het verlies zou opvangen. De beurs pauzeerde opnames tijdelijk en hervatte die daarna gefaseerd.

De volgende belangrijke informatie betreft de definitieve forensische conclusies en de verdere afhandeling van de gestolen middelen. Ook de verwerking van Bitget-gelden via THORChain kwam ter sprake, nadat Bitget had gevraagd adressen te blokkeren. De septembercijfers maken vooral duidelijk hoe zwaar een beperkt aantal incidenten kan wegen; ze zeggen op zichzelf niet hoeveel van het brutoverlies uiteindelijk onherstelbaar is.