Bitget: Angreifer ließen die Börse ihre eigenen Abflüsse freigeben

Bei der Kryptobörse Bitget sind am 24. September Kryptowerte unbefugt aus Hot Wallets abgeflossen. Zunächst nannte die Börse 351,6 Millionen US-Dollar; einen Tag später korrigierte sie die Summe auf rund 387,5 Millionen. Die Angreifer kamen nicht an die privaten Schlüssel – sie brachten die Börse dazu, die Überweisungen selbst freizugeben.

Um 18:31 Uhr UTC, also 20:31 Uhr MESZ, schlugen nach der Sicherheitsmitteilung der Börse die eigenen Überwachungssysteme an. Sie meldeten Überweisungen aus einem Teil der Hot Wallets, die niemand freigegeben hatte. Nach Daten von Arkham Intelligence, auf die sich The Block stützt, gingen innerhalb von rund einer Stunde mehr als 170 Millionen US-Dollar an eine einzige, bis dahin unbekannte Adresse, unter anderem in Ether, USDT, USDC, AVAX und BNB. Noch am Abend setzte Bitget die Auszahlungen aus.

Die Cold Wallets, also die vom Netz getrennten Speicher, seien nicht betroffen, schreibt die Börse: Sie arbeite mit drei Stufen von Wallets, und der Angriff habe nur einen Teil der Hot- und Warm-Wallet-Schicht erreicht. Die Kontostände der Kunden seien korrekt, der Schaden falle vollständig unter den User Protection Fund.

Bitget-Chefin Gracy Chen schließt gestohlene Schlüssel aus

Am Tag nach dem Vorfall schilderte Vorstandschefin Gracy Chen den Hergang genauer. “The attacker compromised a critical backend system within our wallet infrastructure, used it to spoof transaction data, and triggered our authorization process to move funds out”, zitiert CoinDesk sie. Die Angreifer drangen demnach in ein internes System der Wallet-Verwaltung ein, fälschten dort Überweisungsdaten und ließen die Börse die Abflüsse selbst freigeben. Die privaten Schlüssel seien nicht in fremde Hände gelangt, weitere unbefugte Überweisungen nach ihren Worten nicht mehr möglich.

Das ist der bemerkenswerte Teil dieses Falls: Nicht die Kryptografie versagte, sondern die Freigabekette dahinter. Eine Börse kann ihre Schlüssel perfekt schützen und trotzdem Geld verlieren, wenn sich ein Angreifer in das System schiebt, das die Überweisungen anweist.

Wer hinter dem Angriff steht, ist nicht geklärt.

Chen sagte laut Cointelegraph, einige der verwendeten IP-Adressen passten zu VPN-Diensten, die eine nordkoreanische Gruppe nutze, und das Muster ähnle früheren Angriffen aus Nordkorea. Ein Teil der Mittel sei bereits zurückgeholt worden; eine Summe nannte sie nicht.

Wie es weiterging

Einen Tag nach dem Vorfall korrigierte Bitget die Schadenssumme auf rund 387,5 Millionen US-Dollar und begründete das mit später zugeordneten Transfers in Zcash und auf TRON. Kurz darauf veröffentlichte die Börse einen Zeitplan für die Wiederaufnahme der Auszahlungen, beginnend am 28. September mit Bitcoin. Die Einzelheiten dazu stehen in unserem Bericht Bitget will Auszahlungen ab 28. September in Stufen freigeben.

Ob der Schutzfonds den Schaden tatsächlich vollständig auffängt, lässt sich von außen nicht prüfen. Bitget beziffert ihn auf mehr als 464 Millionen US-Dollar. Die Börse schreibt: “We will not run from this. Every dollar and every decision will be accounted for, transparently and in full.” Übersetzt: Man werde sich nicht davonstehlen und über jeden Dollar und jede Entscheidung vollständig Rechenschaft ablegen.

Offen bleibt der angekündigte vollständige Vorfallbericht: die Ursache im Einzelnen, die Höhe der zurückgeholten Mittel und die Zuordnung der Täter.

Der Token der Börse, BGB, kostete am Morgen nach dem Vorfall 1,97 US-Dollar, 2,7 Prozent weniger als 24 Stunden zuvor (Quelle: CoinGecko, Stand 25.09.2026, 07:34 Uhr MESZ). Wie die Börse aufgestellt ist, beschreibt unser Bitget-Test.

Erst vor wenigen Tagen hatte ein anderer Angriff Folgen für Anleger, als der Cosmos Hub nach einem Angriff auf Neutron stillstand.

Aktualisiert am 27. September 2026: Die Schadenssumme wurde von der Börse auf rund 387,5 Millionen US-Dollar korrigiert; Titel, Vorspann und der Schlussteil sind entsprechend angepasst und verweisen für den Auszahlungsplan auf den eigenen Folgebericht.