Bitget verliert 351,6 Mio. USD bei Hot-Wallet-Verletzung mit Nordkorea-Verbindung

Am 24. September 2026 leerten Angreifer schätzungsweise 351,6 Millionen USD aus Bitgets Hot- und Warm-Wallets über sieben Blockchain-Netzwerke und machten dies zu einem der größten Exchange-Hacks aller Zeiten. Der CEO von Bitget hat eine nordkoreanische Beteiligung als "sehr wahrscheinlich" bezeichnet, und das Blockchain-Forensikunternehmen TRM Labs hat mehrere On-Chain-Überschneidungen mit Wallets identifiziert, die zuvor mit der TraderTraitor-Gruppe hinter dem Bybit-Diebstahl vom Februar 2025 in Verbindung gebracht wurden. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs mit Digital-Asset-Exposure hat dieses Ereignis unmittelbare Auswirkungen: Es betrifft das Verwahrungsrisiko, die Bilanzierung von Wertminderungen, AML-Überwachungspflichten und die Zuverlässigkeit jedes Crypto-Accounting-Software-Workflows, der auf bei Börsen gehaltenen Beständen basiert.

Was am 24. September 2026 geschah

Um 18:31 UTC entdeckte Bitget unautorisierte Abflüsse aus seinen Hot- und Warm-Wallets. Betroffen waren Ethereum, der XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain, Base und TRON. Auszahlungen wurden kurz nach der Entdeckung ausgesetzt.

Wie der Angreifer Kontrollen umging

Bitgets Darstellung ist an diesem Punkt technisch präzise: Der Angreifer stahl keine privaten Schlüssel. Stattdessen erlangte er Zugang zu einem Backend-System, das mit Bitgets Wallet-Infrastruktur verbunden war, manipulierte die dem Autorisierungsprozess vorgelegten Transaktionsdaten und veranlasste diesen Prozess, die ausgehenden Überweisungen zu genehmigen. Cold Wallets wurden nicht berührt. Der Mechanismus ähnelt stark dem Bybit-Vorfall vom Februar 2025, bei dem Unterzeichner gefälschte Transaktionsdaten sahen und eine Cold-Wallet-Überweisung genehmigten, die sie für routine hielten. In beiden Fällen war die Angriffsfläche die Informationsschicht zwischen der Autorisierungsentscheidung und dem eigentlichen Signiervorgang, nicht die kryptografischen Schlüssel selbst.

Ausmaß über Ketten hinweg

Erste On-Chain-Schätzungen beliefen sich auf 170 bis 190 Millionen USD, da die anfängliche Verfolgung nur EVM-Ketten abdeckte. Daten von TRM Labs identifizierten anschließend etwa 158 Millionen USD, die über den XRP Ledger abflossen, und weitere 7 Millionen USD in TRX, wodurch die insgesamt beobachteten Abflüsse mit der von Bitget gemeldeten Zahl von 351,6 Millionen USD in Einklang gebracht wurden.

Mittelzuflüsse: Wohin das Geld ging

TRM Forensics hat Exploiter-Adressen unter "Bitget Exploiter September 2026" gekennzeichnet und die Abdeckung von Ethereum auf den XRP Ledger, Bitcoin und Zwischenwallets weiter entlang des Mittelzuflusses ausgeweitet.

Ethereum und EVM-Ketten

Auf Ethereum lief ein erheblicher Teil des gestohlenen Werts über eine einzelne Konsolidierungsadresse, die auch Mittel von Arbitrum, Avalanche, Base, BNB Chain und Optimism erhielt. Eine zweite Verteilungs-Wallet teilte ihr Guthaben am Abend des 24. September innerhalb von etwa zwei Stunden in neu erstellte Wallets auf, wobei die meisten Empfänger jeweils etwa 10.000 ETH hielten. Am Morgen des 25. September hielten acht Wallets den Großteil des gestohlenen ETH, und keine hatte Mittel weiterbewegt.

XRP Ledger

Der XRP folgte einer parallelen Struktur. Abflüsse liefen über kleinere Relay-Konten und erreichten separate Haltewallets mit runden Beträgen von jeweils etwa 20 Millionen XRP. Die meisten blieben am Morgen des 25. September unverändert.

Konvertierungs- und Bridging-Aktivitäten

Ein Teil der Erlöse begann sich vor dem Morgen des 25. September in Richtung Bitcoin zu bewegen. Mittel auf BNB Chain und Ethereum wurden über THORChain getauscht und in Peel Chains über Bitcoin-Adressen aufgeteilt. Auf TRON wurde gestohlenes TRX auf SunSwap in USDT getauscht, über USDT0 nach Ethereum verschoben und gelangte dann in dieselbe THORChain-Route. Kleinere Beträge liefen über Across, Bridgers, Chainflip und FixedFloat. Ein dokumentierter Pfad zeigt, wie etwa 9,8 Millionen USD in BNB Bitget am Abend des 24. September verließen, durch mehrere Exploiter-Wallets liefen, in kleinere Beträge aufgeteilt wurden und in den folgenden etwa 13 Stunden in Überweisungen von jeweils einigen hunderttausend Dollar THORChain erreichten, wo sie in Bitcoin umgewandelt wurden.

Zuordnung: TraderTraitor und die Nordkorea-Verbindung

Bitgets CEO Gracy Chen nannte IP-Adressen aus der vorläufigen Untersuchung der Börse, die sie mit VPN-Diensten in Verbindung brachte, die einer nordkoreanischen Hackergruppe zugerechnet werden, und bezeichnete eine nordkoreanische Beteiligung als "sehr wahrscheinlich". TRM Labs hat mit seiner Veröffentlichung vom 25. September keine endgültige Zuordnung vorgenommen, stellt jedoch mehrere On-Chain-Überschneidungen mit Wallets fest, die zur Geldwäsche früherer, TraderTraitor zugeschriebener Diebstähle verwendet wurden, darunter Bybit und AFX Bridge. TRM erklärt, es habe nicht beobachtet, dass dasselbe Geldwäschenetzwerk mit einer anderen Hackergruppe zusammengearbeitet habe, was auf TraderTraitor hindeutet, aber die technische Möglichkeit eines anderen Akteurs offenlässt.

Sollte der Diebstahl letztlich Nordkorea zugeschrieben werden, würde 2026 nach TRMs Datensatz zum zweitgrößten Jahr für staatlich veranlassten Krypto-Diebstahl werden, mit über 1 Milliarde USD, die bei bestätigten und wahrscheinlichen Vorfällen gestohlen wurden, und nur hinter 2025 zurückbleiben.

Bitget hat zugesagt, einen vollständigen Vorfallbericht zu veröffentlichen. TRM erwartet, dass in den Tagen nach der Verletzung härtere technische Beweise auftauchen werden.

Bilanzierungs- und Berichtsauswirkungen für Unternehmen

Eine Verletzung dieses Ausmaßes bei einer großen Börse erzwingt eine Reihe von Bilanzierungsfragen, die nicht auf die Bestätigung der Zuordnung warten können.

Ansatz und Wertminderung von Vermögenswerten

Nach IFRS und US GAAP werden bei einer Börse gehaltene digitale Vermögenswerte in der Regel als Vermögenswert des wirtschaftlichen Eigentümers in der Bilanz erfasst, unabhängig davon, wo sich die privaten Schlüssel befinden. Wenn Ihr Unternehmen, Fonds oder Ihre Unternehmensschatzkammer Vermögenswerte bei Bitget hält, ist die Unmöglichkeit, diese Vermögenswerte während einer Auszahlungssperre abzuziehen, ein Auslöser für eine Wertminderungsprüfung. Selbst wenn Bitgets User Protection Fund die Kunden letztlich vollständig entschädigt, muss der Zeitraum der Unsicherheit in den Abschlussangaben zum Periodenende berücksichtigt werden. Auditoren sollten von Bitget eine schriftliche Bestätigung zum Status aller Kundenbestände, zum Umfang der Deckung durch den User Protection Fund und zum erwarteten Zeitplan für die Wiederaufnahme von Auszahlungen anfordern.

Offenlegung des Verwahrungsrisikos

Dieses Ereignis unterstreicht die Offenlegungspflicht, deren Erfüllung viele Ersteller nur langsam angehen. Wenn ein wesentlicher Teil der digitalen Vermögenswerte eines Unternehmens in Exchange-Hot-Wallets statt in Selbstverwahrung oder qualifizierter Verwahrung liegt, stellt diese Konzentration einen Risikofaktor dar, der in den Anhängen zum Jahresabschluss und bei börsennotierten Unternehmen in den Risikofaktorangaben erscheinen sollte. Der Angriffsmechanismus hier, das Spoofing der Autorisierungsschicht statt des Diebstahls von Schlüsseln, bedeutet, dass die übliche Sprache zur "Sicherheit privater Schlüssel" in Verwahrungsoffenlegungen möglicherweise nicht ausreicht. Unternehmen sollten prüfen, ob ihre Offenlegungen die Integrität von Backend-Systemen und die Verifizierung von Transaktionsdaten adressieren.

Praktische Schritte für Crypto-Accounting-Software-Workflows

Jede Crypto-Accounting-Software-Pipeline, die Transaktionsdaten über die API von Bitget bezieht, wird manuelle Eingriffe erfordern. Die automatisierte Abstimmung sollte für den Zeitraum ab dem 24. September 2026 angehalten oder gekennzeichnet werden, bis Bitget den Umfang der betroffenen Wallets bestätigt und autoritative Transaktionsaufzeichnungen bereitstellt. Die Behandlung der Exploiter-Abflüsse als gewöhnliche Auszahlungen in einem Hauptbuch würde eine wesentliche Falschdarstellung erzeugen. Die korrekte Behandlung besteht darin, den betroffenen Zeitraum zu isolieren, jeden bestätigten Verlust als Wertminderung oder Abschreibung zu erfassen und den Vorfallbericht abzuwarten, bevor die Bestände finalisiert werden.

AML-Pflichten und Compliance-Überwachung

Für Compliance-Teams in Unternehmen, die Transaktionen mit Bitget-Gegenparteien verarbeiten, sind die von TRM Labs veröffentlichten gekennzeichneten Exploiter-Adressen jetzt in Blockchain-Analytik-Datenbanken live. Jede eingehende Transaktion, die selbst über mehrere Hops zu Adressen von "Bitget Exploiter September 2026" zurückverfolgt werden kann, birgt ein erhöhtes Sanktions- und AML-Risikoprofil.

Herausforderungen der kettenübergreifenden Nachverfolgung

Die bisher dokumentierte Geldwäscheroute zeigt, warum eine Überwachung nur einer Kette unzureichend ist. Mittel bewegten sich von EVM-Ketten zu XRP, dann über THORChain zu Bitcoin, mit Zwischenstopps auf TRON und über mehrere Bridge-Protokolle. Ein Compliance-System, das nur Ethereum oder nur direkte Gegenparteien überwacht, wird diese Verbindungen nicht aufdecken. Unternehmen, die unter FATF-Travel-Rule-Pflichten fallen oder Verdachtsmeldungen einreichen, sollten sicherstellen, dass ihr Screening Multi-Hop- und kettenübergreifende Zuflüsse abdeckt und die in TRMs Analyse genannten Bridge-Protokolle einschließt. Unsere frühere Berichterstattung über Crypto-Bridge-Hacks und AML-Warnsignale legt den Überwachungsrahmen im Detail dar.

Das Ruhe-Risiko

Am Morgen des 25. September hatte sich der Großteil des gestohlenen ETH und XRP nicht aus den Haltewallets bewegt. Der Bybit-Präzedenzfall ist aufschlussreich: Ein großer Teil dieser Erlöse blieb über einen längeren Zeitraum stationär, bevor er durch Mixer und OTC-Netzwerke floss. Compliance-Teams sollten ein aktives Screening gegen gekennzeichnete Adressen aufrechterhalten, auch wenn die Mittelzuflüsse zu stocken scheinen, denn Inaktivität ist ein bekanntes Merkmal dieses Geldwäschemusters und kein Zeichen dafür, dass die Mittel aufgegeben wurden. Das Muster nordkoreanischer Geldwäsche-Tradecraft wird in unserer Analyse des Lazarus-Group-Geldwäschenetzwerks weiter untersucht.

Was Unternehmen jetzt tun sollten

Die folgenden Schritte sind relevant, unabhängig davon, ob Ihr Unternehmen direkt Bitget-Vermögenswerte hält oder Kunden bedient, die dies tun.

Sofortige Maßnahmen

Erstens: Identifizieren Sie alle Kunden- oder eigenen Bestände auf Bitget und dokumentieren Sie deren Status zum 24. September 2026. Zweitens: Holen Sie von Bitget eine schriftliche Bestätigung zur Verfügbarkeit der Bestände und zur Deckung durch den User Protection Fund ein. Drittens: Setzen Sie automatisierte Abstimmungsfeeds von Bitget-APIs aus und wechseln Sie für den betroffenen Zeitraum zur manuellen Prüfung. Viertens: Screenen Sie alle kürzlichen eingehenden Transaktionen gegen die von TRM Labs jetzt veröffentlichten gekennzeichneten Exploiter-Adressen. Fünftens: Überprüfen Sie die Offenlegungen zum Verwahrungsrisiko in allen Finanzberichten, die in naher Zukunft zur Freigabe anstehen.

Bitgets User Protection Fund, gemeldet mit 464 Millionen USD, scheint ausreichend, um den angegebenen Verlust von 351,6 Millionen USD zu decken, was einen bedeutenden Unterschied zu einem reinen Insolvenzszenario darstellt. Aber "insgesamt ausreichend" bedeutet nicht "sofort für jeden Nutzer verfügbar", und der Zeitplan für die Bearbeitung von Ansprüchen ist noch nicht öffentlich. Unternehmen sollten nicht davon ausgehen, dass Rückflüsse innerhalb des aktuellen Berichtszeitraums eingehen werden.

Häufig gestellte Fragen

Wurden Bitgets private Schlüssel gestohlen?

Laut Bitget nein. Die Börse gibt an, dass der Angreifer ein Backend-System kompromittierte und die ihrem Autorisierungsprozess angezeigten Transaktionsdaten manipulierte, wodurch Genehmigungen erteilt wurden, ohne auf private Schlüssel zuzugreifen. Cold Wallets wurden Berichten zufolge nicht beeinträchtigt.

Wie sollten Kundenbestände auf Bitget derzeit in Finanzberichten behandelt werden?

Bestände, die nicht abgezogen werden können, sollten zum Zeitpunkt der Aussetzung der Auszahlungen auf Wertminderung geprüft werden. Wenn Bitgets User Protection Fund die vollständige Deckung bestätigt und Auszahlungen vor dem Berichtsdatum wieder aufgenommen werden, kann die Wertminderung rückgängig gemacht werden. Bis eine schriftliche Bestätigung vorliegt, ist eine Rückstellung oder Offenlegung der Unsicherheit angemessen. Auditoren sollten eine direkte Bestätigung von Bitget einholen, anstatt sich allein auf von der Börse veröffentlichte Erklärungen zu verlassen.

Sind Unternehmen gesetzlich verpflichtet, verdächtige Transaktionen im Zusammenhang mit diesem Hack zu melden?

In den meisten FATF-Mitgliedsjurisdiktionen müssen Virtual Asset Service Provider und Finanzinstitute mit AML-Pflichten eine Verdachtsmeldung einreichen, wenn sie Gelder erhalten, die über eine beliebige Anzahl von Hops zu einem bekannten Exploit zurückverfolgt werden können. Die Schwelle ist der vernünftige Grund zur Annahme eines Verdachts, nicht die Gewissheit einer Verbindung. Die von TRM Labs gekennzeichneten Exploiter-Adressen sind jetzt öffentlich verfügbar und sollten unverzüglich in Screening-Systeme integriert werden.

Ist die Nordkorea-Zuordnung bestätigt?

Mit der Veröffentlichung von TRM Labs vom 25. September wurde die Zuordnung nicht formell bestätigt. Der CEO von Bitget bezeichnete eine nordkoreanische Beteiligung auf Grundlage der vorläufigen Untersuchung der Börse als "sehr wahrscheinlich". TRM hat starke On-Chain-Überschneidungen mit früherer TraderTraitor-Geldwäscheinfrastruktur festgestellt, aber keine endgültige Aussage getroffen und darauf hingewiesen, dass in den kommenden Tagen härtere technische Beweise erwartet werden.

Was bedeutet dies für Unternehmen, die Exchange-Verwahrung gegenüber Selbstverwahrung oder qualifizierter Verwahrung abwägen?

Diese Verletzung unterstreicht das Verwahrungsrisiko, das in Exchange-Hot-Wallets steckt. Selbst wenn keine privaten Schlüssel gestohlen werden, kann eine kompromittierte Autorisierungsschicht zum selben wirtschaftlichen Ergebnis führen. Unternehmen mit wesentlichen Beständen an digitalen Vermögenswerten sollten prüfen, ob die Konzentration in Exchange-Hot-Wallets mit ihren Anlagerichtlinien, der Risikobereitschaft des Prüfungsausschusses und allen anwendbaren regulatorischen Leitlinien zur Verwahrung digitaler Vermögenswerte vereinbar ist. Wo qualifizierte Verwahrung oder Selbstverwahrung mit Hardware-Sicherheitsmodulen verfügbar ist, stärkt dieses Ereignis den Fall für eine Migration.

Quelle: TRM Labs