Backend-Angriff auf die Börse Bitget

Am 24. September 2026 wurde der Kryptobörse Bitget rund 351,6 Millionen US-Dollar entwendet — eine Zahl, die später auf etwa 387,5 Millionen US-Dollar beziffert wurde —, nachdem Angreifer das Backend ihrer Wallet-Infrastruktur kompromittiert und Auszahlungstransaktionen über acht Blockchains gefälscht hatten. Es wurde der größte Krypto-Diebstahl des Jahres 2026.

Was geschah

Bitgets Sicherheitssysteme meldeten am 24. September um 18:31 UTC nicht autorisierte Transfers aus mehreren Hot Wallets. Statt Private Keys zu stehlen oder die Verschlüsselung der Börse zu brechen, nutzte der Angreifer eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters aus, um sich hochprivilegierte Zugangsdaten für Bitgets internes Netzwerk zu verschaffen, und fälschte damit Transaktionsdaten, die die legitime Autorisierungspipeline der Plattform durchliefen und automatisch genehmigt wurden, ohne Alarm auszulösen. Die betrügerischen Auszahlungen erfolgten in zwei zeitlich abgestimmten Wellen und begannen mit bewusst kleinen Testtransaktionen — einem Transfer von 0,184 ETH aus einer Ethereum-Hot-Wallet und 193 TRX aus einer Tron-Hot-Wallet —, die jeweils unterhalb der Risikokontroll-Schwellenwerte der Börse lagen. CEO Gracy Chen erklärte, Hot- und Warm-Wallets seien betroffen gewesen, während die Offline-Cold-Storage sicher blieb. Ermittler brachten den Einbruch mit Nordkoreas Lazarus-Gruppe in Verbindung und verwiesen auf IP-Adressen von VPN-Diensten, die die Gruppe zuvor genutzt hatte, auf Wallet-Cluster mit Bezug zu früheren Diebstählen sowie auf das schnelle Muster der Vermögensumwandlung, das folgte; keine Regierung hat die Zuschreibung offiziell bestätigt.

Konsequenzen

Bitget erklärte, alle Nutzergelder seien 1:1 durch den User Protection Fund von 464 Millionen US-Dollar sowie über 1 Milliarde US-Dollar an Unternehmensvermögen gedeckt, und hielt Einzahlungen und Handel am Laufen, während Auszahlungen pausiert wurden, um die betroffenen Systeme zu härten. Vier Tage später wurden die Auszahlungen schrittweise wieder aufgenommen, beginnend mit Bitcoin am 28. September. Die gestohlenen Mittel erwiesen sich als schwer zurückzuholen: Der Angreifer wandelte rund 100 Millionen US-Dollar in ETH um und verschob etwa 83 Millionen US-Dollar in XRP außer Reichweite — da XRP das native Asset des XRP Ledger ist, kann Ripple es nicht einfrieren, anders als die vom Emittenten kontrollierten Stablecoins, die Tether und Circle auf die Sperrliste setzen konnten. Chen forderte THORChain öffentlich auf, Transaktionen mit den Adressen des Angreifers abzulehnen, und argumentierte: „Dezentralisierung ist ein Designprinzip, kein Schutzschild für die Erleichterung bekannter gestohlener Gelder", doch das Netzwerk lehnte ab, und mehrere Millionen Dollar flossen darüber in Bitcoin. Bitget bot eine Prämie von 5 % für das Einfrieren gestohlener Gelder und weitere 5 % für deren Wiederbeschaffung. Kundenabflüsse drückten den Schutzfonds derweil unter 200 Millionen US-Dollar. Anfang Oktober trübten sich die Aussichten auf eine Wiederbeschaffung ein: Bitget erklärte, nur rund 1,1 Millionen US-Dollar der gestohlenen Gelder eingefroren zu haben, und Chen sagte gegenüber CNBC, sie rechne nicht damit, viel zurückzuholen, unter Verweis auf die schlechte Bilanz früherer Wiederbeschaffungen nach Börsen-Hacks. Bybit-CEO Ben Zhou — der die Hilfe erwiderte, die Bitget nach Bybits eigenem Angriff 2025 geleistet hatte — sagte zu, das Geld über Bybits LazarusBounty-Plattform zu verfolgen. Bitget erklärte, den Schutzfonds inzwischen mit eigenem Kapital wieder über 300 Millionen US-Dollar aufgefüllt zu haben und den Verlust selbst zu tragen, statt ihn an die Nutzer weiterzugeben. Am 1. Oktober veröffentlichte die Blockchain-Analysefirma Chainalysis eine formelle Zuschreibung, die den Diebstahl mit nordkoreanischen Akteuren in Verbindung brachte, die 23 ausgehenden Transfers über Ethereum (49,7 %), das XRP Ledger (40,8 %), Zcash (7,6 %) und Tron (1,8 %) innerhalb von rund drei Stunden nachverfolgte und anmerkte, dass der Bitget-Verlust die mit der DVRK verbundenen Krypto-Diebstähle für 2026 über 1 Milliarde US-Dollar steigen ließ.

Warum es wichtig ist

Bitget reiht sich in eine düstere Ahnengalerie von Börsen-Hacks ein — von Bybit und WazirX bis DMM Bitcoin und Phemex —, bei denen die Schwachstelle nie die Blockchain war, sondern die operative Infrastruktur drumherum. Der Angriff unterstreicht ein prägendes Thema des Jahres 2026: Die größten Verluste stammen zunehmend nicht aus Smart-Contract-Fehlern, sondern aus kompromittierter Infrastruktur und Zugangsdaten — dieselbe Fehlerklasse, die Wochen zuvor beim Seed-Generierungs-Exploit von Coldcard eine Rolle spielte. Er entfachte auch die Debatte darüber neu, ob „unaufhaltsame" Plattformen wie THORChain und erlaubnisfreie Assets wie XRP eingreifen sollten — oder überhaupt können —, wenn gestohlenes Geld durch sie fließt.