Bitget hat bestätigt, dass Angreifer am 24. September 387,5 Millionen US-Dollar aus den Wallets seiner Börse gestohlen haben. Auszahlungen sind weiterhin ausgesetzt, während das Unternehmen erklärt, sein Schutzfonds decke den Verlust ab.
Mandiant und SlowMist ermitteln. CEO Gracy Chen vermutet eine Beteiligung Nordkoreas, obwohl der ursprüngliche Angriffsvektor noch nicht offengelegt wurde.
Wie könnte sich der Hack also zugetragen haben? BeInCrypto hat anhand öffentlich verfügbarer Informationen einen Zeitstrahl erstellt.
24. September, 18:31 UTC: Bitget entdeckt nicht autorisierte Transfers
Bitget zufolge erkannten die Sicherheitssysteme die Transfers um 18:31 UTC und leiteten innerhalb weniger Minuten Notfallmaßnahmen ein.
Der Angriff betraf Teile der Hot- und Warm-Wallets, die den Börsenbetrieb unterstützen. Die Offline-Cold-Wallets blieben dem Unternehmen zufolge sicher. Der Zeitpunkt der Entdeckung lässt keinen Rückschluss darauf zu, wann sich die Angreifer erstmals Zugang verschafften.
19:57–21:06 UTC: Ungewöhnliche Trades schlagen Alarm
Um 19:57 Uhr meldete Analyst DCF GOD, dass eine neu erstellte Wallet innerhalb von sechs Minuten 19,67 Millionen USDT0 ausgab, um 7.111 ETH zu kaufen. Berichten zufolge zahlte sie bis zu 5 % über dem Marktpreis.
Das Verhalten deutete darauf hin, dass jemand die Gelder schnell bewegen wollte. Das Motiv war weiterhin unklar.
Um 21:06 Uhr meldete Bubblemaps, dass rund 180 Millionen US-Dollar von Bitget-Wallets an eine gemeinsame Empfangsadresse transferiert und anschließend auf mehrere Wallets aufgeteilt wurden.
21:30 UTC: Chen bestätigt den Sicherheitsvorfall
In Chens Sicherheitsmitteilung wurde der ursprüngliche Verlust auf 351,6 Millionen US-Dollar beziffert und bestätigt, dass Auszahlungen pausiert wurden.
Die Mitteilung erfolgte fast drei Stunden nach dem von Bitget angegebenen Zeitpunkt der Entdeckung. Dieser zeitliche Abstand wirft Fragen zu Bitgets Reaktion auf, beweist jedoch nicht, dass während des gesamten Zeitraums weiterhin Gelder abgeflossen sind.
25. September, 00:43 UTC: Die vermutete Methode zeichnet sich ab
Chen sagte, die Angreifer hätten ein kritisches Backend-System kompromittiert – also Software, die im Hintergrund Wallet-Vorgänge verwaltet.
Sie speisten gefälschte Transaktionsdaten ein und lösten Bitgets Autorisierungsprozess aus. Einfach gesagt: Das eigene System genehmigte betrügerische Überweisungen.
Chen zufolge wurde ein Diebstahl privater Schlüssel ausgeschlossen. Wie die Angreifer ins Backend eindrangen und welche Prüfungen versagten, muss noch ausführlich öffentlich erklärt werden.
14:03 UTC: Der Verlust steigt auf 387,5 Millionen US-Dollar
Bitget überarbeitete seine Schätzung, nachdem betroffene Zcash- und TRON-Assets einbezogen worden waren. Das Unternehmen erklärte, der Anstieg spiegele eine vollständigere Bilanz des ursprünglichen Diebstahls wider.
Das Unternehmen gibt an, die Schwachstelle behoben zu haben. Es kündigte an, bis zum 26. September um 04:00 UTC einen Auszahlungsplan bekannt zu geben, ohne sich darauf festzulegen, die Auszahlungen dann wieder aufzunehmen.
Warum Ermittler eine Beteiligung Nordkoreas vermuten
Chen verwies auf IP-Verhalten und Blockchain-Aktivitäten, die mit nordkoreanischen Gruppen übereinstimmen. Mehrere Merkmale ähneln dem Diebstahl bei Bybit im Februar 2025, den das FBI Nordkorea zuschrieb.
- Manipulierte Genehmigungen: Bitget beschreibt, dass falsche Anweisungen sein Autorisierungssystem erreichten. Bei Bybit brachte eine kompromittierte Benutzeroberfläche Unterzeichner dazu, eine bösartige Transaktion zu genehmigen. Die Methoden unterscheiden sich, doch beide nutzten den Genehmigungsprozess aus.
- Schnelle Umwandlung von Vermögenswerten: Mit Bitget verbundene Gelder wurden schnell zum Kauf von ETH verwendet. Das FBI dokumentierte die rasche Umwandlung der bei Bybit gestohlenen Vermögenswerte in andere Kryptowährungen.
- Verteilung der Gelder auf mehrere Wallets: Bubblemaps identifizierte mehrere Empfänger-Wallets. Laut FBI verteilten sich die Erlöse aus dem Bybit-Diebstahl auf Tausende von Adressen.
- Nutzung von THORChain: MistTrack berichtete, dass Erlöse aus dem Bitget-Vorfall in das Protokoll flossen, und stellte fest, dass es zuvor zum Verschieben gestohlener Bybit-Gelder genutzt worden war.
Diese Parallelen sprechen für weitere Untersuchungen. Sie identifizieren nicht eigenständig die Angreifer von Bitget.
Quelle: BeInCrypto
