Bitget-Hack treibt mutmaßlichen Krypto-Diebstahl durch die DVRK 2026 über 1 Milliarde US-Dollar
Ein Sicherheitsvorfall bei Bitget, einer der weltweit größten zentralisierten Krypto-Börsen, hat den mutmaßlichen nordkoreanischen Krypto-Diebstahl im Jahr 2026 über die Marke von 1 Milliarde US-Dollar getrieben. Am 24. September 2026 um etwa 18:31 UTC entdeckte Bitget unautorisierte Transfers, die mehr als 350 Mio. USD aus ihrer Hot- und Warm-Wallet-Infrastruktur abzogen. Die Blockchain-Analysefirma Elliptic identifizierte anschließend On-Chain-Verbindungen zwischen den gestohlenen Geldern und Geldwäscheadressen, die bei früheren, bereits der Demokratischen Volksrepublik Korea (DVRK) zugeschriebenen Exploits verwendet wurden. Für Wirtschaftsprüfungsgesellschaften, Prüfer und CFOs, die digitale Vermögenswerte verwahren oder darüber berichten, ist dieser Vorfall keine ferne Schlagzeile. Er hat direkte Auswirkungen auf die Bewertung des Kontrahentenrisikos, die Bilanzierung von Wertminderungen und die Arbeitsabläufe der Sanktionsprüfung.
Was bei Bitget geschah
Der Vorfall: Umfang und betroffene Vermögenswerte
Bitget bestätigte, dass sich die unautorisierten Transfers über mehrere Anlageklassen und Netzwerke erstreckten: ETH, XRP, BNB, AVAX, USDT und USDC waren betroffen, verteilt über Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC und Base. Die Cold Storage war Berichten zufolge nicht betroffen. Als Vorsichtsmaßnahme setzte die Börse nach der Entdeckung die Auszahlungen aus.
Bitget-CEO Gracy Chen nannte ein wichtiges technisches Detail: Es wurde kein privater Schlüssel kompromittiert. Stattdessen beschrieb sie Angreifer, die Zugang zu einem Backend-System innerhalb der Wallet-Infrastruktur von Bitget erlangten und diesen Zugriff nutzten, um Transaktionsdaten zu fälschen. Diese Unterscheidung ist für die Haftungs- und Versicherungsanalyse von Bedeutung, da der Angriffsvektor eine Backend-Kompromittierung und kein kryptografisches Versagen war.
Deckung der Verluste
Bitget gab an, dass der vollständige Verlust durch ihren Nutzerschutzfonds gedeckt sei, was bedeutet, dass die Kundenguthaben voraussichtlich aus den Börsenreserven und nicht aus der Wiedererlangung der gestohlenen Vermögenswerte ausgeglichen werden. Ob diese Zusicherung über die Zeit Bestand hat, hängt von der Größe des Fonds im Verhältnis zum Verlust ab, einer Zahl, die die Börse zum Zeitpunkt der Berichterstattung nicht vollständig öffentlich bestätigt hatte.
Die DVRK-Zuordnung
On-Chain-Indikatoren
Elliptic kennzeichnete die zugehörigen Adressen kurz nachdem die ersten Warnungen kursierten. Die Analyse identifizierte Verbindungen zwischen von Bitget abgezogenen XRP und ETH aus einem früheren Exploit, der bereits Nordkorea zugeschrieben wurde. Zusätzliche Verbindungen wurden zwischen Bitget-Geldern und Adressen gefunden, die an Geldwäscheaktivitäten aus anderen der DVRK zugeschriebenen Hacks beteiligt waren, darunter einem aus dem Jahr 2025.
Zwei On-Chain-Muster sind besonders bedeutsam. Erstens wurden gestohlene Stablecoins und Nicht-Native-Token rasch in die nativen Vermögenswerte ihrer jeweiligen Blockchains umgewandelt. Dieser Swap-to-Native-Ansatz ist eine dokumentierte DVRK-Geldwäschetechnik, die darauf abzielt, die Nützlichkeit von Freeze-Mechanismen auf Token-Ebene zu verringern. Zweitens wurden auf Arbitrum gehaltene Vermögenswerte schnell nach Ethereum gebridgt. Die Analyse von Elliptic legt nahe, dass dies operationelle Lehren aus dem KelpDAO-Vorfall widerspiegeln könnte, bei dem der Arbitrum Security Council eingriff, um mehr als 30.000 ETH einzufrieren. Durch die schnelle Verlagerung der Gelder von Arbitrum scheinen die Akteure eine ähnliche Reaktion vorweggenommen zu haben.
Gemeinsam genutzte Geldwäscheinfrastruktur: ein Muster, kein Zufall
Die Wiederverwendung von Geldwäscheinfrastruktur über verschiedene Vorfälle hinweg ist selbst ein anerkannter DVRK-Indikator. Sie spiegelt einen operativen Stil wider, bei dem Geschwindigkeit Vorrang vor Kompartimentierung hat. Wallets und Bridging-Routen, die bei einem Exploit verwendet wurden, tauchen in nachfolgenden wieder auf und schaffen nachvollziehbare Spuren über Vorfälle hinweg, die oberflächlich betrachtet unzusammenhängend erscheinen.
Gracy Chen erklärte in einem Interview, der Täter sei „wahrscheinlich eine nordkoreanische Gruppe“, obwohl Bitget zum Zeitpunkt der Berichterstattung die vollständige technische Grundlage für diese Schlussfolgerung nicht veröffentlicht hatte. Die Einschätzung von Elliptic ist, dass auch Off-Chain-Indikatoren mit früheren der DVRK zugeschriebenen Operationen übereinstimmen.
Das kumulierte Bild 2026
Elliptic hat im Jahr 2026 mehr als 51 mit der DVRK verbundene Vorfälle verfolgt. Der Bitget-Vorfall wäre, falls die Zuordnung bestätigt wird, der größte einzelne Diebstahl, der Nordkorea im laufenden Jahr zugeschrieben wird. Er ist zugleich Teil einer gut dokumentierten mehrjährigen Kampagne. Die Liste der großen Hacks bei zentralisierten Börsen und Bridges, die letztlich mit der DVRK verbundenen Akteuren in Verbindung gebracht wurden, umfasst Ronin Bridge (2022), Atomic Wallet (2023), CoinsPaid (2023), Alphapo (2023), Stake.com (2023), CoinEx (2023), WazirX (2024) und Bybit (2025). Das Muster ist konsistent: große zentralisierte Ziele, raffinierte Backend-Kompromittierung, rasche Cross-Chain-Geldwäsche.
AML- und Sanktionspflichten für Compliance-Teams
Aktualisierungen von Screening und Monitoring
Elliptic bestätigte, dass die Datensätze umgehend aktualisiert wurden, um Adressen aufzunehmen, die mit dem Bitget-Exploit verbunden sind. Jeder Virtual Asset Service Provider (VASP) oder jedes Finanzinstitut, das Blockchain-Analyse-Tools nutzt, sollte überprüfen, ob die Screening-Listen aktualisiert wurden. Für VASPs, die unter FATF-konformen AML-Regimen tätig sind, ist das Screening gegen aktualisierte Sanktions- und Hochrisiko-Adresslisten nicht optional. Eine Transaktion, die eine mit der DVRK verbundene Adresse berührt, selbst indirekt über einen oder zwei Hops, kann je nach Jurisdiktion eine Verdachtsmeldung (SAR) oder eine gleichwertige Offenlegungspflicht auslösen.
Die Wiederverwendung von Geldwäscheinfrastruktur über DVRK-Vorfälle hinweg bedeutet auch, dass einige der neu gekennzeichneten Adressen historische Transaktionsverbindungen zu Kontrahenten aufweisen können, die Ihre Mandanten bereits onboarded haben. Ein retrospektives Screening bestehender Wallet-Beziehungen ist erwägenswert, insbesondere für jeden Kontrahenten, der um den Zeitpunkt des Vorfalls auf Bitget transagierte.
FATF Travel Rule und Sorgfaltspflicht gegenüber Kontrahenten
Für VASPs, die der FATF Travel Rule unterliegen, verleiht der Bitget-Vorfall der Sorgfaltspflicht gegenüber Kontrahenten eine praktische Dimension. Transfers, die in dem Zeitfenster um den 24. September 2026 UTC von den Hot-Wallet-Adressen von Bitget ausgingen oder diese durchliefen, können eine belastete Herkunft aufweisen. Empfangende VASPs sollten prüfen, ob Begünstigten-Wallets, für die sie Zahlungen abgewickelt haben, mit den gekennzeichneten Adressclustern in Verbindung gebracht werden könnten.
Der Umfang und die grenzüberschreitende Reichweite der Geldwäsche, die Ethereum, Arbitrum, XRP Ledger, Avalanche, BSC, Base und Optimism umfasst, bedeuten, dass keine einzelne Aufsichtsbehörde die Reaktion allein tragen wird. Unternehmen, die in mehreren Jurisdiktionen tätig sind, sollten mit parallelen Untersuchungen rechnen und in der Lage sein, Transaktionsaufzeichnungen auf allen betroffenen Chains vorzulegen.
Für weiteren Kontext dazu, wie sich ein größeres Sicherheitsereignis bei einer Börse in Compliance- und Berichtspflichten übersetzt, lesen Sie unsere frühere Analyse der buchhalterischen und Compliance-Auswirkungen eines großen Börsen-Hacks. Zur breiteren DVRK-Bedrohung für den Kryptosektor bietet unsere Berichterstattung über die OFAC-Sanktionen gegen ein Krypto-Betrugsnetzwerk von DVRK-IT-Arbeitern zusätzlichen Hintergrund dazu, wie diese Operationen strukturiert und sanktioniert werden.
Buchhalterische Auswirkungen für Unternehmen und CFOs
Wertminderung und Verlusterfassung
Jede Einheit, die zum Zeitpunkt des Vorfalls Vermögenswerte bei Bitget hielt, steht vor einer unmittelbaren buchhalterischen Frage: Sind diese Vermögenswerte werthaltig? Sowohl nach IFRS als auch nach US GAAP werden auf einer Börse gehaltene digitale Vermögenswerte in der Regel auf Grundlage der zugrunde liegenden wirtschaftlichen Substanz der Vereinbarung angesetzt. Wenn die Wiedererlangung ausschließlich von einem Ermessensschutzfonds einer Börse und nicht von einem vertraglichen oder gesetzlichen Anspruch abhängt, sollten Prüfer die Grundlage dafür genau prüfen, ob diese Salden weiterhin zum vollen Wert angesetzt werden dürfen.
Die Behauptung von Bitget, dass der Nutzerschutzfonds den vollständigen Verlust deckt, bietet eine gewisse Sicherheit, doch Buchhaltungsteams sollten die Art dieses Fonds dokumentieren, einschließlich der Frage, ob es sich um einen segregierten, zweckgebundenen Pool oder lediglich um eine allgemeine Börsenreserve handelt. Die Unterscheidung wirkt sich darauf aus, ob eine Abschreibung, eine Forderung oder eine Behandlung als Eventualforderung nach dem anwendbaren Rahmenwerk am angemessensten ist.
Offenlegungspflichten
Für börsennotierte Unternehmen oder solche, die fortlaufenden Offenlegungspflichten unterliegen, kann ein wesentliches Engagement im Bitget-Vorfall eine unverzügliche Offenlegung erfordern. Der Maßstab ist nicht, ob die Börse versprochen hat, Kunden vollständig zu entschädigen, sondern ob das Engagement wesentlich ist und ob Unsicherheit über das Ergebnis besteht. Angesichts der Tatsache, dass die gestohlenen Vermögenswerte nicht wiedererlangt wurden und mit der DVRK verbundene Gelder historisch eine extrem niedrige Wiedererlangungsquote aufweisen, ist diese Unsicherheit real.
Software zur Bilanzierung digitaler Vermögenswerte und Prüfpfade
Dieser Vorfall unterstreicht, warum Unternehmen, die Krypto-Buchhaltungssoftware nutzen, vollständige, zeitgestempelte Transaktionsaufzeichnungen auf Wallet- und Netzwerkebene benötigen, nicht nur Salden auf Börsenebene. Hot-Wallet-Salden auf einer zentralisierten Börse sind für standardmäßige Portfolio-Buchhaltungstools nicht sichtbar, es sei denn, das Unternehmen verfolgt auch die zugrunde liegenden On-Chain-Adressen. Unternehmen, die sich ausschließlich auf API-Balance-Feeds von Bitget verließen, könnten für den Zeitraum um den Vorfall Lücken in ihrem Prüfpfad aufweisen.
Software zur Bilanzierung digitaler Vermögenswerte, die rohe On-Chain-Daten anstelle von börsenberichteten Salden erfasst, würde Prüfern eine nachprüfbare Aufzeichnung darüber geben, was sich zu welchem Zeitpunkt in welcher Wallet befand, unabhängig davon, was die Börse berichtet. Diese Architektur wird gerade in Szenarien wie diesem unverzichtbar.
Praktische Schritte für Wirtschaftsprüfungsgesellschaften und CFOs
Unmittelbare Prioritäten
Erstens: Identifizieren Sie jegliches Engagement von Mandanten oder Fonds bei Bitget zum 24. September 2026. Dies umfasst die direkte Verwahrung auf der Börse sowie jeden Kontrahenten, der Transaktionen in den Tagen um den Vorfall über Bitget abwickelte. Zweitens: Vergewissern Sie sich, dass Ihr Blockchain-Analyseanbieter aktualisierte, mit der DVRK verbundene Adresscluster aus dem Bitget-Vorfall in Ihre Screening-Umgebung eingespielt hat. Drittens: Prüfen Sie, ob Wallets in Ihrem Mandantenstamm mit Adressen in den gekennzeichneten Clustern transagiert haben, und sei es indirekt. Eine Prüfung über zwei Hops ist ein vernünftiger Ausgangspunkt; eine Prüfung über drei Hops kann je nach Risikobereitschaft und regulatorischer Vorgabe erforderlich sein.
Viertens: Bewerten Sie, ob Bilanzpositionen eine Offenlegung oder die Erfassung einer Wertminderung nach dem anwendbaren Buchhaltungsrahmen erfordern. Fünftens: Dokumentieren Sie Ihren Bewertungsprozess, einschließlich des Datums, an dem Sie Ihre Screening-Listen aktualisiert haben, und der Grundlage für jede Schlussfolgerung, dass Salden werthaltig bleiben. Diese Dokumentation wird relevant, falls ein Regulator oder Prüfer später fragt, ob Sie zeitnah gehandelt haben.
Häufig gestellte Fragen
Wie wird die DVRK-Zuordnung bei Krypto-Hacks festgestellt?
Die Zuordnung stützt sich auf eine Kombination aus On-Chain-Indikatoren, wie der Wiederverwendung bestimmter Geldwäscheadressen, Bridging-Routen und Swap-Mustern, sowie Off-Chain-Informationen, einschließlich operativer Vorgehensweisen und Zeitpunkten. Kein einzelner Indikator ist abschließend, aber wenn mehrere Muster mit denen in zuvor bestätigten DVRK-Operationen übereinstimmen, steigt das analytische Vertrauensniveau erheblich. Eine offizielle Zuordnung erfolgt, wenn sie kommt, in der Regel im Anschluss an Strafverfolgungsermittlungen.
Haben Unternehmen SAR-Pflichten, wenn ihre Mandanten um den Zeitpunkt des Vorfalls über Bitget transagiert haben?
Das hängt von der Jurisdiktion und den konkreten Transaktionsumständen ab. In den meisten FATF-Mitgliedsjurisdiktionen kann eine Verbindung zu einer bekannten oder mutmaßlichen, mit der DVRK verbundenen Adresse, selbst über einen Intermediär, eine Pflicht zur Meldung verdächtiger Transaktionen auslösen. Unternehmen sollten ihr lokales AML-Rahmenwerk konsultieren und im Zweifelsfall defensiv melden, anstatt auf eine endgültige Zuordnung zu warten.
Wie sollte der Bitget-Nutzerschutzfonds für buchhalterische Zwecke behandelt werden?
Bis Art und Angemessenheit des Fonds förmlich bestätigt sind, sollten Unternehmen jeden exponierten Saldo mit Vorsicht behandeln. Die angemessene Behandlung, ob als Forderung, Eventualforderung oder Wertminderung, hängt davon ab, ob ein vertraglicher Anspruch auf Wiedererlangung besteht und ob dieser Anspruch praktisch durchsetzbar ist. Prüfer sollten die Dokumentation der Struktur und der Angemessenheit des Fonds anfordern.
Warum ist die Swap-to-Native-Token-Technik für Compliance-Teams wichtig?
Die Umwandlung von Stablecoins in native Blockchain-Token entfernt eine Ebene der Einfrierungsfähigkeit: Stablecoin-Emittenten können bestimmte Token-Adressen auf die schwarze Liste setzen, aber sobald Gelder in ETH, BNB oder ähnliche Vermögenswerte fließen, greift dieser Mechanismus nicht mehr. Dies macht die Geldwäsche schwerer zu unterbrechen und bedeutet, dass Compliance-Teams die On-Chain-Spur über mehrere Anlageklassen hinweg verfolgen müssen, anstatt sich auf Einfrierungen auf Emittentenebene zu verlassen.
Was sagt uns die gemeinsam genutzte Geldwäscheinfrastruktur über die operative Vorgehensweise der DVRK?
Die Wiederverwendung von Wallets und Bridging-Routen über verschiedene Vorfälle hinweg deutet darauf hin, dass die Geschwindigkeit der Mittelverlagerung Vorrang vor der operationalen Sicherheit hat. Sie schafft zudem ein ausnutzbares Muster für die Blockchain-Analyse, da neu gestohlene Gelder relativ schnell mit historischen DVRK-Wallets verknüpft werden können. Für Compliance-Teams bedeutet dies, dass in früheren DVRK-Vorfällen gekennzeichnete Adresscluster weiterhin aktuelle Indikatoren bleiben, gegen die ein Screening sinnvoll ist, selbst Jahre nach dem ursprünglichen Hack.
Quelle: Elliptic