Backend-Angriff auf die Börse Bitget

Am 24. September 2026 wurde der Kryptobörse Bitget rund 351,6 Millionen US-Dollar entwendet — eine Zahl, die später auf etwa 387,5 Millionen US-Dollar beziffert wurde —, nachdem Angreifer das Backend ihrer Wallet-Infrastruktur kompromittiert und Auszahlungstransaktionen über acht Blockchains gefälscht hatten. Es wurde der größte Krypto-Diebstahl des Jahres 2026.

Was geschah

Bitgets Sicherheitssysteme meldeten am 24. September um 18:31 UTC nicht autorisierte Transfers aus mehreren Hot Wallets. Statt Private Keys zu stehlen oder die Verschlüsselung der Börse zu brechen, nutzte der Angreifer eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters aus, um sich hochprivilegierte Zugangsdaten für Bitgets internes Netzwerk zu verschaffen, und fälschte damit Transaktionsdaten, die die legitime Autorisierungspipeline der Plattform durchliefen und automatisch genehmigt wurden, ohne Alarm auszulösen. Die betrügerischen Auszahlungen erfolgten in zwei zeitlich abgestimmten Wellen und begannen mit bewusst kleinen Testtransaktionen — einem Transfer von 0,184 ETH aus einer Ethereum-Hot-Wallet und 193 TRX aus einer Tron-Hot-Wallet —, die jeweils unterhalb der Risikokontroll-Schwellenwerte der Börse lagen. CEO Gracy Chen erklärte, Hot- und Warm-Wallets seien betroffen gewesen, während die Offline-Cold-Storage sicher blieb. Ermittler brachten den Einbruch mit Nordkoreas Lazarus-Gruppe in Verbindung und verwiesen auf IP-Adressen von VPN-Diensten, die die Gruppe zuvor genutzt hatte, auf Wallet-Cluster mit Bezug zu früheren Diebstählen sowie auf das schnelle Muster der Vermögensumwandlung, das folgte; keine Regierung hat die Zuschreibung offiziell bestätigt.

Konsequenzen

Bitget erklärte, alle Nutzergelder seien 1:1 durch den User Protection Fund von 464 Millionen US-Dollar sowie über 1 Milliarde US-Dollar an Unternehmensvermögen gedeckt, und hielt Einzahlungen und Handel am Laufen, während Auszahlungen pausiert wurden, um die betroffenen Systeme zu härten. Vier Tage später wurden die Auszahlungen schrittweise wieder aufgenommen, beginnend mit Bitcoin am 28. September. Die gestohlenen Mittel erwiesen sich als schwer zurückzuholen: Der Angreifer wandelte rund 100 Millionen US-Dollar in ETH um und verschob etwa 83 Millionen US-Dollar in XRP außer Reichweite — da XRP das native Asset des XRP Ledger ist, kann Ripple es nicht einfrieren, anders als die vom Emittenten kontrollierten Stablecoins, die Tether und Circle auf die Sperrliste setzen konnten. Chen forderte THORChain öffentlich auf, Transaktionen mit den Adressen des Angreifers abzulehnen, und argumentierte: „Dezentralisierung ist ein Designprinzip, kein Schutzschild für die Erleichterung bekannter gestohlener Gelder", doch das Netzwerk lehnte ab, und mehrere Millionen Dollar flossen darüber in Bitcoin. Bitget bot eine Prämie von 5 % für das Einfrieren gestohlener Gelder und weitere 5 % für deren Wiederbeschaffung. Kundenabflüsse drückten den Schutzfonds derweil unter 200 Millionen US-Dollar.

Warum es wichtig ist

Bitget reiht sich in eine düstere Ahnengalerie von Börsen-Hacks ein — von Bybit und WazirX bis DMM Bitcoin und Phemex —, bei denen die Schwachstelle nie die Blockchain war, sondern die operative Infrastruktur drumherum. Der Angriff unterstreicht ein prägendes Thema des Jahres 2026: Die größten Verluste stammen zunehmend nicht aus Smart-Contract-Fehlern, sondern aus kompromittierter Infrastruktur und Zugangsdaten — dieselbe Fehlerklasse, die Wochen zuvor beim Seed-Generierungs-Exploit von Coldcard eine Rolle spielte. Er entfachte auch die Debatte darüber neu, ob „unaufhaltsame" Plattformen wie THORChain und erlaubnisfreie Assets wie XRP eingreifen sollten — oder überhaupt können —, wenn gestohlenes Geld durch sie fließt.