Bitget hat Bitcoin-Abhebungen nach einem Sicherheitsvorfall, der zu einer vorübergehenden Einstellung geführt hatte, wieder ermöglicht. On-Chain-Ermittler berichten, dass eine Wallet, die mit dem Angreifer in Verbindung gebracht wird, Ethereum über THORChain bewegt hat, ein dezentrales Cross-Chain-Liquiditätsprotokoll – in einem Muster, das sie als typisch für Transfers nach einem Exploit bezeichnen.

Abhebungen laufen wieder, während die Spurensuche weitergeht

Die Börse teilte mit, dass Bitcoin-Abhebungen nach einer Aussetzung, die während der Untersuchung des Vorfalls durch die Sicherheitsteams galt, wieder möglich sind. Die Einstellung von Abhebungen während einer laufenden Untersuchung nach einem Exploit ist übliche Praxis: Sie gibt den Sicherheitsteams Zeit, die Wallet-Exposure zu prüfen und weitere unbefugte Abflüsse zu stoppen. Für Einleger ist die Verfügbarkeit der praktische Test während der Reaktion auf einen Vorfall – auf einer Börse gehaltene Mittel lassen sich nur dann auf Abruf bewegen, wenn Abhebungen möglich sind. Bitget hat nicht öffentlich mitgeteilt, ob die Wiederaufnahme bedeutet, dass die Sicherheitsüberprüfung vollständig abgeschlossen ist oder ob nur bestimmte Wallet-Segmente freigegeben wurden.

Die Nachverfolgung erstreckt sich über mehrere Chains. In einer separaten Analyse wurde festgestellt, dass 4 BTC aus dem Bitget-Hack über Wasabi CoinJoin, Bitcoin-Mixing-Protokoll, geleitet wurden – laut Forschern ein Beleg dafür, dass der Angreifer Verschleierungstechniken auf verschiedenen Chains gleichzeitig einsetzte, anstatt alles über eine einzige Plattform zu leiten. CoinJoin funktioniert, indem Transaktionen vieler Nutzer zu einer einzigen gemeinsamen Transaktion gebündelt werden, wodurch die direkte On-Chain-Verbindung zwischen Ursprung und Ziel einer Münze verschleiert wird – ein Grund, warum die Nachverfolgung gemischter Coins auf Clustering statt auf einfacher Adress-zu-Adress-Verfolgung beruht.

Was Nutzer selbst überprüfen können

Zum Zeitpunkt der Veröffentlichung waren keine unabhängig verifizierten Gesamtbeträge der gestohlenen Gelder, konkreten Wallet-Adressen oder Transaktions-Hashes von der Börse oder von anerkannten On-Chain-Forensik-Firmen bestätigt worden. Da Blockchain-Aktivitäten öffentlich und pseudonym sind, kann jede später bekannt gegebene Adresse von jedem in Echtzeit verfolgt werden. Nutzer, die den Geldern selbst folgen möchten, können Mempool.space für Bitcoin-Transaktionen und Etherscan für Bewegungen auf der Ethereum-Seite in Verbindung mit öffentlich bekannten Angreifer-Adressen konsultieren.

Warum THORChain bei den Geldflüssen eine Rolle spielt

THORChain ermöglicht native Cross-Chain-Swaps ohne Wrapped Tokens oder zentralisierte Intermediäre, was es zu einem häufigen Anlaufpunkt für Geldbewegungen nach Exploits gemacht hat. Ein Angreifer mit Ethereum kann direkt in Bitcoin oder andere unterstützte Assets umtauschen, ohne einen KYC-Schwellenwert zu passieren, was Blacklisting auf Börsenebene und die Nachverfolgung der Besitzkette erschwert.

Die eigene Reaktion des Protokolls auf den Vorfall erwies sich als umstritten. THORChain lehnte Anfragen ab, mit dem Bitget-Hack in Verbindung stehende Wallets auf eine Schwarze Liste zu setzen, und berief sich auf seine Neutralitätsprinzipien – eine Haltung, die auch von Ethereum-Mitgründer Vitalik Buterin mit Blick auf die Grenzen von Zensurresistenz bei gestohlenen Geldern kommentiert wurde. Die Ablehnung verdeutlicht eine strukturelle Spannung in dezentraler Infrastruktur: Das permissionlose Design, das das Kontrahentenrisiko für gewöhnliche Nutzer senkt, schwächt zugleich die Wirkung reaktiver Einfrierungen nach einem Vorfall.

Swaps über Chains hinweg über Protokolle wie THORChain verwandeln zudem ein Spurfolge-Problem auf einer einzigen Chain in ein Multi-Chain-Koordinationsproblem. Das Einfrieren oder Zurückholen von Mitteln würde gleichzeitiges Handeln mehrerer Protokoll-Teams erfordern, von denen keines eine vertragliche Beziehung zur betroffenen Börse hat. Aus diesem Grund beobachten Ermittler in der Regel die Ziel-Wallets an zentralisierten Abwicklungspunkten, statt Swaps während der Ausführung zu stoppen.

Was weiterhin unbestätigt bleibt

Mehrere wesentliche Details sind zum Zeitpunkt der Veröffentlichung unverifiziert: das Gesamtvolumen der über THORChain getauschten ETH, die konkreten Transaktions-Hashes oder Blockhöhen, die Identität oder Zuordnung des Angreifers sowie der volle Umfang der betroffenen Assets über die Aussetzung der Bitcoin-Abhebungen hinaus. Zahlen aus Sekundärberichten sollten als unbestätigt behandelt werden, bis Bitget oder eine anerkannte On-Chain-Forensik-Firma eine primäre Dokumentation veröffentlicht. Die beobachtbaren Anzeichen sind von hier aus konkret: eine offizielle Aussage von Bitget darüber, ob die Überprüfung abgeschlossen ist, eine primäre Dokumentation, die die THORChain-Flüsse quantifiziert, und jede öffentliche Offenlegung von Angreifer-Adressen – jeweils davon, das einen der oben genannten unverifizierten Punkte in etwas verwandeln würde, das Leser direkt on-chain überprüfen können.

Insgesamt deutet die parallele Nutzung von THORChain für ETH-Swaps und Wasabi CoinJoin zur Verschleierung von Bitcoin auf eine bewusste Multi-Protokoll-Strategie hin – ein Muster, das bei Börsen-Exploits zunehmend zu beobachten ist, bei denen Angreifer ihre Aktivitäten über Chains verteilen, um den Fokus der Ermittler zu verwässern.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte bergen erhebliche Risiken. Informieren Sie sich stets selbst, bevor Sie Entscheidungen treffen.