• Bitget wurde gehackt:
    Angreifer entwendeten Kryptowährungen im Wert von rund 387,5 Millionen US-Dollar aus Teilen der Wallet-Infrastruktur der Börse.
  • Auszahlungen kehren gestaffelt zurück:
    BTC soll ab dem 28. September verfügbar sein, ETH ab dem 29. September und USDT ab dem 30. September. Weitere Token sowie Fiat-Auszahlungen und P2P-Dienste sollen am 2. Oktober folgen.
  • Kundenguthaben sollen gedeckt sein:
    Bitget gibt an, dass die Kontostände unverändert sind. Der Schutzfonds hatte zum Zeitpunkt des Angriffs laut Börse einen Wert von mehr als 464 Millionen US-Dollar.
  • Die gestohlenen Coins werden weiterbewegt:
    XRP kann Ripple auf dem XRP Ledger nicht einfrieren, eine weitere Geldspur führt über mehrere Netzwerke zu rund vier Bitcoin in einem Wasabi-CoinJoin.

Bitget stoppt Auszahlungen nach Hack

Nach dem Hack bei Bitget sind Auszahlungen weiterhin gesperrt. Am 24. September bemerkte die Börse eigenen Angaben zufolge unbefugte Transfers aus Teilen ihrer Hot- und Warm-Wallets; inzwischen beziffert sie den Abfluss auf rund 387,5 Millionen US-Dollar.

Die Cold Wallets seien unberührt geblieben. Für Kunden stellt sich nun die Frage, wann sie wieder auf ihre Coins zugreifen können.

Wie kam es zu dem Hack?

Nach einer Analyse von GoPlus Security, die auf X veröffentlicht wurde, drangen die Angreifer in ein Backend-System der Wallet-Infrastruktur ein. Dort manipulierten sie Transaktionsdaten, sodass Bitgets regulärer Signaturprozess Überweisungen autorisierte, die die Börse nicht ausführen wollte.

Ein Diebstahl privater Schlüssel sei demnach nicht nötig gewesen. Bitget erklärt, die Schwachstelle inzwischen behoben zu haben; Mandiant und SlowMist unterstützen die weitere Untersuchung.

Der Bitget-Hack zeigt, wie wenig Kontrolle Du über Deine Coins hast, solange sie auf einer Börse liegen.
Warte nicht auf den nächsten Vorfall, um Dich mit eigener Verwahrung zu beschäftigen: Hol Dir jetzt eine Ledger Cold Wallet*, bewahre Deine privaten Schlüssel selbst auf und sichere Dir bis zu 20 US-Dollar in Bitcoin.

Wann sind Auszahlungen möglich?

Bitget will die Dienste schrittweise ab dem 28. September wieder freigeben. Jeweils um 10:00 Uhr deutscher Zeit sollen folgende Auszahlungen starten:

  • 28. September: Bitcoin über das Bitcoin-Netzwerk
  • 29. September: ETH über Ethereum, BNB Smart Chain, Arbitrum, Base und Optimism
  • 30. September: USDT über Ethereum, BNB Smart Chain, Solana und Tron
  • 2. Oktober: Weitere Token sowie Fiat- und P2P-Dienste

Die genannten Netzwerke sind wichtig: Wenn Ethereum (ETH) oder Tether (USDT) wieder ausgezahlt werden können, gilt das zunächst nur für die aufgeführten Wege. Kunden müssen vorab nichts unternehmen und können die Verfügbarkeit direkt auf der Plattform prüfen.

Laut Bitget dienen die gestaffelten Freigaben zusätzlichen Sicherheitskontrollen; Handel und Einzahlungen laufen weiter. Die Börse versichert, dass Kundenguthaben unverändert seien und ihr Schutzfonds den Schaden decke.

Dessen Wert lag zum Zeitpunkt des Angriffs nach Bitgets Angaben bei mehr als 464 Millionen US-Dollar und damit mindestens 76,5 Millionen US-Dollar über dem bislang bezifferten Verlust.

Bitgets Zeitplan: Auszahlungen sollen ab dem 28. September schrittweise wieder starten
Bitgets Zeitplan: Auszahlungen sollen ab dem 28. September schrittweise wieder starten. Quelle: Bitget

XRP und Bitcoin: Wohin fließt die Beute?

Während Bitget Auszahlungen vorbereitet, bewegt der Angreifer gestohlene Werte weiter. Bitget zufolge verließen XRP im Wert von rund 83 Millionen US-Dollar mehrere seiner Wallets.

Ripple kann native XRP auf dem XRP Ledger nicht einfrieren, Börsen können jedoch Konten sperren, auf denen die Coins später eingehen. Ob die bereits transferierten XRP verkauft wurden, lässt sich daraus nicht ablesen.

Ein Teil der Beute wurde zudem inzwischen in Bitcoin umgewandelt. Nach einer Auswertung von AMLBot liefen die Gelder zunächst über TRON und Ethereum, bevor rund vier BTC in einen Wasabi-CoinJoin gelangten. Dabei werden Bitcoin-Transaktionen mehrerer Teilnehmer zusammengeführt, was die weitere Zuordnung der Coins erschwert.

Fazit: Der Schutzfonds vor seinem größten Test

Auf dem Bildschirm sind die Guthaben der Kunden laut Bitget unverändert, seit dem Hack können sie ihre Coins aber nicht mehr abheben. Ab Montag muss die Börse zeigen, dass beides wieder zusammenpasst: Kunden sollen die angezeigten Bestände tatsächlich über die angekündigten Netzwerke auszahlen können, während die Suche nach der gestohlenen Beute weiterläuft.

Der gestaffelte Zeitplan ist deshalb mehr als eine Service-Meldung. Mit jeder Freigabe prüft Bitget einen weiteren Teil seiner Auszahlungsinfrastruktur unter realen Bedingungen. Für Kunden zählt am Ende, ob ihre Überweisungen zuverlässig ankommen, auch wenn die gestohlenen XRP und Bitcoin noch unterwegs sind.