Bitget hat bestätigt, dass Angreifer am 24. September 387,5 Millionen US-Dollar aus seinen Exchange-Wallets gestohlen hat. Auszahlungen bleiben weiterhin ausgesetzt, während das Unternehmen sagt, dass sein Schutzfonds den Verlust abdeckt.

Mandiant und SlowMist untersuchen den Vorfall. CEO Gracy Chen vermutet eine Beteiligung Nordkoreas, obwohl der anfängliche Einstiegspunkt noch nicht offengelegt wurde.

Also, wie konnte der Hack möglicherweise ablaufen? BeInCrypto hat anhand öffentlich verfügbarer Informationen eine Zeitleiste erstellt.

24. September, 18:31 UTC: Bitget erkennt unautorisierte Überweisungen

Bitget zufolge haben seine Sicherheitssysteme die Überweisungen um 18:31 UTC erkannt und Notfallmaßnahmen innerhalb weniger Minuten ausgelöst.

Der Einbruch betraf Teile seiner Hot- und Warm-Wallets, die den Börsenbetrieb unterstützen. Seine Offline Cold Wallets seien laut dem Unternehmen weiterhin sicher geblieben. Die Zeit der Erkennung belegt nicht, wann Angreifer zum ersten Mal Zugriff erlangten.

Neueste Fortschritte kurz synchronisieren: Wir arbeiten gerade mit unabhängigen Drittanbieter-Experten @Mandiant und @SlowMist_Team zusammen, um den Vorfall umfassend zu untersuchen. Andere Punkte wurden bereits gesagt, ich möchte es noch einmal betonen: -Unsere oberste Priorität ist es, die Nutzer zu schützen. Die Nutzer-Salden bleiben vollständig erhalten, und der Bitget User Protection Fund wird die Auswirkungen abdecken, die dieser Vorfall auf Plattformebene verursacht hat. -Bitget Wallet ist eine Self-Custody-Wallet, die in… https://t.co/pZM4XzFolp

— Gracy Chen @Bitget (@GracyBitget) 25. September 2026

19:57–21:06 UTC: Ungewöhnliche Trades lassen Alarm auslösen

Um 19:57 Uhr markierte der Analyst DCF GOD eine frische Wallet-Ausgabe in Höhe von 19,67 Millionen USDT0, um in sechs Minuten 7.111 ETH zu kaufen. Berichten zufolge zahlte sie bis zu 5% über den Marktpreisen.

Das Verhalten deutete darauf hin, dass jemand darauf ausgerichtet war, Gelder schnell zu bewegen. Das Motiv war jedoch weiterhin unklar.

Bis 21:06 Uhr meldete Bubblemaps ungefähr 180 Millionen US-Dollar, die von Bitget-Wallets an eine gemeinsame Empfangsadresse überwiesen wurden, bevor sie anschließend auf mehrere Wallets aufgeteilt wurden.

21:30 UTC: Chen bestätigt den Einbruch

Die Sicherheitsmitteilung von Chen setzte den anfänglichen Verlust auf 351,6 Millionen US-Dollar fest und bestätigte, dass Auszahlungen pausiert wurden.

Die Benachrichtigung kam fast drei Stunden nach der von Bitget genannten Zeit der Erkennung. Diese Lücke wirft Fragen zur Reaktion auf, beweist jedoch nicht, dass die Gelder während dieses Zeitraums weiter abgeflossen sind.

25. September, 00:43 UTC: Die vermutete Methode taucht auf

Chen sagte, Angreifer habe ein kritisches Back-End-System kompromittiert, also Software, die im Hintergrund Wallet-Operationen verwaltet.

Sie lieferten falsche Transaktionsdaten und lösten Bitgets Autorisierungsprozess aus. Einfach gesagt: Das eigene System genehmigte betrügerische Überweisungen.

Chen sagte, der Diebstahl privater Schlüssel sei ausgeschlossen worden. Wie die Angreifer in das Back-End gelangten und welche Prüfungen fehlschlugen, erfordert weiterhin eine detaillierte öffentliche Erklärung.

Schwerer Tag für Bitget. Ich erwarte und weiß, dass @Binance, das @BNBCHAIN-Ökosystem und die Community alles tun werden, um zu helfen. Stay SAFU! 🙏 pic.twitter.com/cyAEHdSi1S

— CZ 🔶 BNB (@cz_binance) 25. September 2026

14:03 UTC: Der Verlust erreicht 387,5 Millionen

Bitget revidierte seine Schätzung, nachdem betroffene Zcash- und TRON-Assets berücksichtigt worden waren. Es sagte, der Anstieg spiegele eine vollständigere Erfassung des ursprünglichen Diebstahls wider.

Das Unternehmen sagt, die Schwachstelle sei behoben worden. Es versprach, bis zum 26. September um 04:00 UTC eine Ankündigung zu einem Auszahlungsplan zu machen, ohne sich festzulegen, Auszahlungen dann wieder zu öffnen.

Warum Ermittler eine Beteiligung Nordkoreas vermuten

Chen führte IP-Verhalten und Blockchain-Aktivität an, die mit nordkoreanischen Gruppen übereinstimmen. Mehrere Merkmale ähneln dem Bybit-Diebstahl im Februar 2025, den das FBI Nordkorea zuschrieb.

• Manipulierte Genehmigungen: Bitget beschreibt falsche Anweisungen, die sein Autorisierungssystem erreichten. Bei Bybit brachte eine kompromittierte Schnittstelle Unterzeichner dazu, eine bösartige Transaktion zu genehmigen. Die Mechanismen unterscheiden sich, aber beide nutzten den Autorisierungsprozess aus.

• Schnelle Umwandlung von Vermögenswerten: Mit Bitget verknüpfte Gelder kauften rasch ETH. Das FBI dokumentierte die schnelle Umwandlung der gestohlenen Bybit-Assets in andere Kryptowährungen.

• Aufteilung der Gelder über Wallets: Bubblemaps identifizierte mehrere empfangende Wallets. Laut dem FBI verteilten sich die Erlöse von Bybit über tausende Adressen.

• Mit THORChain: MistTrack meldete, dass Bitget-Erlöse in das Protokoll gelangten, und identifizierte zudem die frühere Nutzung, um gestohlene Bybit-Gelder zu verschieben.

Diese Parallelen stützen weitere Untersuchungen. Sie identifizieren die Angreifer von Bitget nicht unabhängig voneinander.