Bitget-Hack: DPRK-Diebstahl übersteigt 2026 die Marke von 1 Milliarde Dollar

Ein einzelner Exchange-Vorfall hat die Risikolage für jedes Finanzteam verändert, das digitale Vermögenswerte auf einer zentralisierten Plattform hält. Bitget verlor mehr als 350 Millionen Dollar durch unbefugte Transfers von seinen Hot- und Warm-Wallets, und das Blockchain-Analyseunternehmen Elliptic erklärt, dass mehrere Indikatoren auf die Demokratische Volksrepublik Korea (DPRK) hindeuten. Für Teams, die auf Krypto-Buchhaltungssoftware angewiesen sind, um Bestände, Gegenparteien und Verluste zu verfolgen, ist die praktische Frage einfach: Könnten Sie innerhalb von Stunden feststellen, ob Sie exponiert waren?

Dieser Artikel fasst zusammen, was berichtet wurde, was unbestätigt bleibt und was der Vorfall für Buchhaltung, Steuern und AML-Workflows bedeutet. Er richtet sich an Wirtschaftsprüfungsgesellschaften, Prüfer und CFOs, mit Hinweisen für individuelle Steuerpflichtige, deren Situation abweicht.

Was bei Bitget geschah

Der Vorfall und der Zeitablauf

Laut Elliptic entdeckte Bitget am 24. September 2026 um etwa 18:31 UTC unbefugte Transfers von seiner Hot- und Warm-Wallet-Infrastruktur. Die betroffenen Vermögenswerte waren unterschiedlich: ETH, XRP, BNB, AVAX, USDT und USDC wurden genannt, die über die Netzwerke Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC und Base bewegt wurden. Bitget berichtete, dass Cold Storage nicht betroffen war, und setzte Abhebungen vorsorglich aus.

Die Verteilung der Vermögenswerte und Chains ist für alle wichtig, die Abstimmungsarbeiten durchführen. Ein Verlust, der sechs oder sieben Netzwerke und mehrere Token-Typen betrifft, ist nicht eine einzelne Wallet, die markiert werden muss. Es ist eine Reihe von Adressen auf vielen Ledgern, und jede Expositionsanalyse muss alle davon abdecken.

Wie die Angreifer eindrangen, laut der Börse

Bitgets CEO Gracy Chen sagte, der Vorfall habe keine Kompromittierung privater Schlüssel beinhaltet. Ihre Beschreibung lautete, dass Angreifer ein Backend-System innerhalb der Wallet-Infrastruktur kompromittierten und es nutzten, um Transaktionsdaten zu fälschen. Sie sagte auch, der Angriff stehe im Einklang mit Techniken, die von DPRK-verbundenen Hackergruppen verwendet werden, und beschrieb den Täter in einem späteren Briefing als wahrscheinlich nordkoreanische Gruppe.

Ein Vorbehalt verdient Betonung. Elliptic merkt an, dass die technische Grundlage der Börse für diese Zuschreibung noch nicht veröffentlicht wurde. Die Zuschreibung ist daher eine starke Arbeitsbewertung, die auf On-Chain- und Off-Chain-Indikatoren basiert, keine formelle Feststellung einer Regierung oder eines Gerichts. Finanzteams sollten sie als vermutet erfassen und Formulierungen in der Dokumentation vermeiden, die sie als erwiesen behandeln.

Bitgets erklärte Reaktion

Bitget hat erklärt, dass sein User Protection Fund den Verlust vollständig deckt. Das ist eine Aussage der Börse, und die Quelle detailliert nicht die Größe des Fonds oder wie und wann Kunden entschädigt würden. Für alle mit Beständen auf der Plattform ist die erklärte Deckung relevant für die Offenlegung und für etwaige Rückstellungsurteile, aber sie ist nicht dasselbe wie eine bestätigte Wiedererlangung. Sie sollte als zu überprüfende Behauptung behandelt werden, anhand der weiteren Kommunikation der Börse.

Warum Analysten den Angriff mit Nordkorea in Verbindung bringen

On-Chain-Verbindungen zu früheren Exploits

Elliptic berichtet, dass Verbindungen zwischen XRP aus dem Bitget-Exploit und ETH aus einem früheren DPRK-zugeschriebenen Exploit beobachtet wurden. Es wurden auch Verbindungen zwischen den gestohlenen Bitget-Geldern und Adressen festgestellt, die zur Geldwäsche früherer DPRK-zugeschriebener Diebstähle genutzt wurden, einschließlich eines Falls aus 2025. Nach Elliptics Lesart ist die gemeinsame Geldwäsche-Infrastruktur über Vorfälle hinweg ein wiederkehrendes Merkmal der DPRK-Geldwäsche, wobei Geldwäscher Geschwindigkeit über operative Disziplin stellen.

Geldwäscheverhalten im Einklang mit früheren Fällen

Die gestohlenen Gelder wurden schnell aus Stablecoins und anderen nicht-nativen Token in den nativen Vermögenswert jeder Chain umgewandelt, eine Technik, die Elliptic als im Einklang mit DPRK-Geldwäsche beschreibt. Die einzige Ausnahme weist in dieselbe Richtung: Vermögenswerte auf Arbitrum wurden schnell über Chains hinweg nach Ethereum bewegt, was laut Elliptic möglicherweise Lehren aus der KelpDAO-Geldwäsche widerspiegelt, bei der der Arbitrum Security Council 30.766 ETH einfror.

Für ein Compliance-Team ist dieses Detail eine Erinnerung daran, dass Einfrierungen eine der wenigen wirksamen Gegenmaßnahmen sind und Angreifer sich anpassen. Die Geschwindigkeit der Erkennung ist wichtig, weil das Zeitfenster, in dem Gelder eingefroren werden können, kurz ist.

Die Gesamtzahlen 2026 im Kontext

Elliptic sagt, der Vorfall wäre der größte einzelne Krypto-Diebstahl, der Nordkorea im Jahr 2026 zugeschrieben wird, einem Jahr, in dem bereits mehr als 51 DPRK-verbundene Vorfälle verfolgt wurden. Die verfolgte Gesamtsumme der DPRK-zugeschriebenen Diebstähle für das Jahr übersteigt nun 1 Milliarde Dollar. Die Quelle listet auch große Hacks zentralisierter Börsen und Bridges der letzten Jahre auf, die letztlich DPRK-verbundenen Akteuren zugeschrieben wurden, unten zusammengefasst.

Das Muster ist der Punkt. Die Zuschreibung an DPRK-verbundene Akteure folgte den meisten der größten Vorfälle bei zentralisierten Plattformen und Bridges, sodass die Behandlung als seltenes Ereignis in Risikomodellen nicht länger vertretbar ist.

Was das für Buchhaltungs- und Prüfungsteams bedeutet

Expositionszuordnung und Gegenparteiunterlagen

Die erste Aufgabe nach einem Börsenvorfall ist zu wissen, wer was wo hält. Firmen, die Börsenbestände in Tabellenkalkulationen oder separaten, nicht abgestimmten Exporten führen, haben Schwierigkeiten, diese Frage schnell zu beantworten. Gute Software für die Buchhaltung digitaler Vermögenswerte ermöglicht es, jeden Bestand nach Verwahrer, Wallet, Chain und Vermögenswert zu kennzeichnen, sodass ein Vorfall auf Plattformebene in Minuten statt Tagen gefiltert werden kann.

In der Praxis bedeutet das, für jedes Datum den Betrag auf einer benannten Börse, den Anteil in Verwahrung gegenüber selbst gehaltenen Wallets und die Kunden oder Einheiten, denen er gehört, berichten zu können. Für eine Wirtschaftsprüfungsgesellschaft, die mehrere Kunden betreut, ist dieselbe Ansicht pro Kunde unerlässlich. Unser früherer Beitrag zur Identifizierung von Expositionsrisiken nach einem Börsenhack beschreibt denselben Ansatz bei einem anderen Vorfall.

Erkennen eines Verlusts, einer Forderung oder einer Eventualverbindlichkeit

Ob ein Hack für einen Kunden zu einem buchhalterischen Verlust führt, hängt von Tatsachen ab, die die Quelle nicht abschließend klärt: die vertragliche Beziehung zur Börse, ob der Kunde einen Anspruch auf der Plattform behält und wie und wann eine Entschädigung geleistet wird. Bitgets Aussage, dass sein Schutzfonds den Verlust deckt, ist relevant, aber eine erklärte Absicht ist keine abgeschlossene Wiedererlangung.

Die vernünftige Disziplin besteht darin, die Tatsachen zum Berichtsdatum zu dokumentieren, zu beurteilen, ob der Bestand noch von der Börse einforderbar ist, und den Rahmen anzuwenden, nach dem Ihre Einheit berichtet, um zwischen fortgesetzter Erfassung, Wertminderung, einer Forderung oder einer offengelegten Eventualverbindlichkeit zu entscheiden. Da sich diese Rahmen je nach Jurisdiktion und Einheitentyp unterscheiden, sollten Firmen die Behandlung mit dem Engagement-Partner und gegebenenfalls dem Prüfer abstimmen und einen klaren Prüfpfad führen, der zeigt, was wann bekannt war.

Prüfungsnachweise und nachfolgende Ereignisse

Für Prüfer kann ein Vorfall nahe einem Jahresende oder Zwischenstichtag ein nachfolgendes Ereignis oder eine zu bewertende Bedingung zum Bilanzstichtag sein. Nachweise, die angefordert werden sollten, umfassen Börsenabrechnungen, Mitteilungen über Auszahlungssperren, schriftliche Bestätigungen der Schutzfondsdeckung und Wallet-basierte Abstimmungen vor und nach dem Vorfallsdatum. Ein System, das historische Bestände mit Zeitstempeln bewahrt, erleichtert die Erstellung dieser Nachweise erheblich.

Compliance- und AML-Implikationen

Screening gegen neu benannte Adressen

Elliptic erklärt, dass es seine Datensätze dringend aktualisiert hat, um Adressen im Zusammenhang mit dem Vorfall abzubilden, und dass seine Kunden nun gegen diese screenen können. Die weitergehende Lehre, die unabhängig vom Screening-Anbieter einer Firma gilt, ist, dass sich Adresslisten nach einem Vorfall schnell ändern. Teams sollten bestätigen, wie schnell ihre Screening- und Überwachungsquellen aktualisiert werden und wer für die Prüfung neuer Benennungen verantwortlich ist.

Wo Ihre Firma oder Ihr Kunde Gelder erhält, auch indirekt, ist ein Transfer von einer Adresse, die mit einem vermuteten staatlich verbundenen Diebstahl in Verbindung steht, ein hochriskantes Ereignis. Verfahren sollten festlegen, was als Nächstes geschieht: anhalten, eskalieren, die Begründung dokumentieren und entscheiden, ob eine Verdachtsmeldung oder eine entsprechende Meldung nach lokalen Vorschriften erforderlich ist.

Sanktionen und Reputationsrisiko

DPRK-verbundene Aktivitäten sind ein sanktionssensibler Bereich. Selbst wenn die Zuschreibung noch vermutet und nicht bestätigt ist, ist die umsichtige Vorgehensweise, erhöhte Sorgfalt auf alle Ströme anzuwenden, die mit dem Vorfall verbundene Adressen berühren, und zeitnahe Aufzeichnungen über die durchgeführten Prüfungen zu führen. Unsere verwandte Berichterstattung über den Bitget-Angriff und die DPRK-Schwelle von 1 Milliarde Dollar behandelt den AML-Aspekt ausführlicher.

Warum gemeinsame Geldwäsche-Infrastruktur Ermittlern hilft

Die Wiederverwendung von Geldwäsche-Infrastruktur über Vorfälle hinweg ist laut Elliptics Beschreibung ein Zeichen dafür, dass Geldwäscher Geschwindigkeit vor Disziplin stellen. Das ist für Ermittler nützlich, weil frühere Fälle eine Karte wahrscheinlicher Auszahlungswege liefern. Es ist auch für Compliance-Teams nützlich, weil Screening-Regeln, die auf früheren Vorfällen basieren, einen Teil des neuen Flusses erfassen können.

Praktische nächste Schritte für Firmen und individuelle Steuerpflichtige

Für Wirtschaftsprüfungsgesellschaften, Prüfer und CFOs

• Erstellen Sie einen Expositionsbericht auf Plattformebene: Bestände nach Börse, Chain und Vermögenswert für jeden Kunden oder jede Einheit.
• Prüfen Sie, ob Bestände bei Bitget liegen, und erfassen Sie Datum und Status der Auszahlungssperre.
• Holen Sie schriftliche Mitteilungen der Börse zum Schutzfonds und zu etwaigen Entschädigungsverfahren ein und archivieren Sie diese.
• Überprüfen Sie Screening-Quellen und aktualisieren Sie Verfahren für neu benannte Adressen.
• Stimmen Sie die buchhalterische Behandlung mit dem Engagement-Partner ab und dokumentieren Sie sie vor dem nächsten Berichtsdatum.
• Aktualisieren Sie das Risikoregister: Die Konzentration von Gegenparteirisiken bei einem einzigen Verwahrer ist nun eine belegte, wiederkehrende Exposition.

Teams, die an umfassenderen Risikorahmen arbeiten, finden möglicherweise auch unsere Anleitung zur Krypto-Compliance-Berichterstattung als nützlichen Referenzpunkt für die Strukturierung dieser Kontrollen.

Für individuelle Steuerpflichtige

Wenn Sie Coins auf Bitget haben, beeilen Sie sich nicht mit einer Meldung oder der Erfassung eines Verlusts. Die Börse sagt, dass ihr Fonds die Unterdeckung deckt, und das ist wichtig dafür, ob Sie tatsächlich etwas verloren haben. Bewahren Sie Screenshots Ihres Kontostands, alle E-Mails der Börse und Ihre Transaktionshistorie auf. Steuerregeln zu Diebstahl und Verlust unterscheiden sich je nach Land, und viele behandeln unrealisierte oder wiedererlangbare Bestände anders als realisierte Verluste. Prüfen Sie daher mit einem Steuerberater, bevor Sie etwas geltend machen. Ein sauberer Export aus Ihrem Buchhaltungstool spart Zeit, unabhängig vom Ergebnis.

Was als Nächstes zu beobachten ist

Drei Dinge bleiben in der Quelle offen: die technische Grundlage der Börse für die Zuschreibung des Angriffs an eine nordkoreanische Gruppe, die Details und der Zeitpunkt einer etwaigen Entschädigung aus dem User Protection Fund und eine formelle Regierungserklärung. Jedes davon kann die buchhalterische und AML-Position ändern, daher sollten Sie ein Überprüfungsdatum festlegen und die Akte erneut prüfen, wenn sich eines davon bewegt.

Auswahl von Tools, die einen Vorfall auf Plattformebene bewältigen

Was gute Krypto-Buchhaltungssoftware leisten sollte

Ein Vorfall wie dieser ist ein Stresstest für die Buchführung. Gute Krypto-Buchhaltungssoftware sollte eine plattformspezifische Historie der Bestände bewahren, jede Transaktion mit einer Wallet und Chain verknüpfen, einen unveränderlichen Prüfpfad führen und Nachweise in einer Form exportieren, die ein Prüfer akzeptiert. Das Ziel ist nicht, den nächsten Hack vorherzusagen, sondern die Zeit zwischen einer Warnung und einer belastbaren Antwort zu verkürzen.

Die Verbindung von Tools und Richtlinien

Software hilft nur, wenn die dahinterstehende Richtlinie klar ist. Legen Sie im Voraus fest, wer eine Warnung untersucht, wer eine Behandlungsentscheidung genehmigt und wie schnell der Kunde informiert wird. Diese Verantwortlichkeiten jetzt festzuhalten bedeutet, dass der nächste Vorfall, der angesichts des Musters von 51 oder mehr DPRK-verbundenen Ereignissen in diesem Jahr plausibel ist, mit einer Checkliste und nicht mit Improvisation bewältigt wird.

FAQ

Wurde Nordkorea als verantwortlich für den Bitget-Angriff bestätigt?

Nicht formell. Elliptic sagt, mehrere Indikatoren deuten auf die DPRK hin, und Bitgets CEO hat erklärt, der Angriff stehe im Einklang mit DPRK-verbundenen Techniken und der Täter sei wahrscheinlich eine nordkoreanische Gruppe. Die technische Grundlage der Börse selbst wurde noch nicht veröffentlicht, daher sollte die Zuschreibung als vermutet erfasst werden.

Wie viel wurde gestohlen und welche Vermögenswerte waren betroffen?

Elliptic berichtet von mehr als 350 Millionen Dollar an unbefugten Transfers von Hot- und Warm-Wallets. Die genannten Vermögenswerte umfassen ETH, XRP, BNB, AVAX, USDT und USDC über die Netzwerke Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC und Base. Cold Storage war laut Bericht nicht betroffen.

Bedeutet der Schutzfonds, dass Kunden keinen Verlust erfassen müssen?

Bitget sagt, sein User Protection Fund decke den Verlust vollständig, aber das ist die Aussage der Börse. Ob ein Kunde einen buchhalterischen Verlust, eine Forderung oder eine Eventualverbindlichkeit hat, hängt von der vertraglichen Position und davon ab, wie sich die Wiedererlangung tatsächlich entwickelt. Die Behandlung sollte daher mit Ihrem Berater oder Prüfer abgestimmt werden.

Wie kann Krypto-Buchhaltungssoftware nach einem Börsenhack helfen?

Sie ermöglicht es, Bestände nach Verwahrer, Wallet, Chain und Vermögenswert zu filtern, um die Exposition schnell zu bemessen, bewahrt zeitgestempelte Historie als Prüfungsnachweis und unterstützt einen Prüfpfad für jede Behandlungsentscheidung. Sie ersetzt nicht das professionelle Urteil zur Erfassung oder zur AML-Eskalation.

Was sollten Compliance-Teams mit den neu verknüpften Adressen tun?

Bestätigen Sie, dass Ihr Screening-Anbieter die neuen Benennungen geladen hat, überprüfen Sie aktuelle eingehende und ausgehende Ströme gegen diese und eskalieren Sie alle Treffer gemäß Ihren Verfahren. Führen Sie datierte Aufzeichnungen über die Prüfungen, da sich die Zuschreibung noch entwickelt.

Source: Elliptic