Bitget hat begonnen, die Auszahlungen wieder freizugeben, nachdem Angreifer rund 387,5 Millionen US-Dollar aus Teilen der Hot- und Warm-Wallet-Infrastruktur der Börse abgezogen haben, während forensische Teams die Gelder weiter verfolgen und untersuchen, wie der Angriff durchgeführt wurde. Hot- und Warm-Wallets sind die internetverbundenen Systeme, mit denen Börsen tägliche Auszahlungen abwickeln, während Cold Storage offline als separate Schutzebene liegt.

Laut Bitgets offizieller Vorfallsmeldung nutzten die Angreifer eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters aus, um interne Zugangsdaten zu erlangen, und übermittelten anschließend gefälschte Auszahlungsbefehle direkt an die Wallet-Systeme der Börse. Da diese Anweisungen als autorisierte Aktivität erschienen, umgingen sie die bestehenden Risikoprüfungen. Private Schlüssel wurden nicht kompromittiert, und Bitgets Cold Wallets blieben unberührt.

Die Schadensschätzung wurde von den zunächst am 24. September ermittelten 351,6 Millionen US-Dollar — als Crypto Adventure erstmals über den Angriff berichtete — auf 387,5 Millionen US-Dollar erhöht, nachdem weitere Zcash- und TRON-Transaktionen dem Vorfall zugeordnet wurden.

Bitcoin-Auszahlungen laufen nach vier-tägiger Pause wieder

Die BTC-Auszahlungen wurden am 28. September um 08:00 UTC auf Bitcoin und BNB Smart Chain wieder aktiviert, nachdem zusätzliche Sicherheitsprüfungen über Bitgets Auszahlungsinfrastruktur durchgeführt worden waren, wie aus der veröffentlichten Vorfalls-Zeitlinie der Börse hervorgeht. ETH-Auszahlungen sind für den 29. September um 08:00 UTC auf Ethereum, BNB Smart Chain, Arbitrum, Base und Optimism geplant. USDT folgt am 30. September, während verbleibende Token, Fiat-Auszahlungen und P2P-Dienste für den 2. Oktober vorgesehen sind. Die gestaffelte Wiedereröffnung bedeutet, dass jede Netzwerkgruppe erst nach Abschluss ihrer Prüfungen zurückkehrt, sodass Nutzer in späteren Phasen mit versetzten Zeitpunkten für das Abheben von Guthaben rechnen müssen. Während der Aussetzung blieben und Einzahlungen durchgehend verfügbar.

Bitgets Protection Fund hielt bei der Bewertung des Vorfalls mehr als 464 Millionen US-Dollar und übersteigt damit den derzeit ermittelten Verlust. Die Börse hat den Fonds — eine Reserve, die sie als Absicherung gegen Verluste unterhält — dazu bestimmt, die finanziellen Auswirkungen zu tragen, wodurch die Guthaben der Nutzer unverändert bleiben.

Angreifer-Zuschreibung weiterhin unbestätigt

Bitget ist es bislang schuldig geblieben, den Angriff formell Nordkorea oder einer anderen staatlich unterstützten Gruppe zuzuschreiben. Mandiant, ein Threat-Intelligence-Unternehmen, und SlowMist, ein Blockchain-Sicherheitsunternehmen, führen die unabhängige forensische Untersuchung durch, und eine Zuschreibung liegt außerhalb der bestätigten Erkenntnisse der Börse, solange diese Arbeit andauert. Bis zum Abschluss bleiben der vollständige Verlustsummen-Bericht und der wiedererlangte Anteil der Gelder offene Punkte.

Die Reaktion hat die Eindämmungsphase bereits hinter sich gelassen und sich auf die Verfolgung und Wiedererlangung der Gelder verlagert. Ein Teil der betroffenen Assets wurde durch Zusammenarbeit mit Börsen, Blockchain-Projekten und Sicherheitsfirmen eingefroren, und Bitget bietet eine Prämie von 5 % für berechtigte freiwillige Aktionen, die unmittelbar zum Einfrieren oder zur Wiedererlangung von Assets führen.

Der Versuch, die gestohlenen Gelder zu sperren, hat auch einen Streit über die erlaubnisfreie Cross-Chain-Infrastruktur offengelegt. THORChain lehnte Bitgets Anfrage ab, die identifizierten Angreiferadressen zu sperren, und löste damit eine breitere Debatte über Dezentralisierung aus, nämlich ob von Validatoren betriebene Protokolle eingreifen sollten, wenn bekannte gestohlene Assets durch ihre Systeme bewegt werden. Der Streit beruht auf einem strukturellen Unterschied zu zentralisierten Plattformen: Erlaubnisfreie Protokolle arbeiten ohne zentrale Verwaltung, sodass es keine einzelne Partei mit der unilateralen Befugnis gibt, eine Adresse zu sperren.

Bitget hat eine Kompromittierung der privaten Schlüssel ausgeschlossen und die betroffenen Systeme isoliert und stärkt die Kontrollen rund um Sicherheitsprodukte von Drittanbietern — den Einfallspunkt des Angriffs — sowie den internen Zugriff, die Auszahlungsverifikation und die Überwachung ungewöhnlicher Aktivitäten. Die ETH-Auszahlungen bleiben wie geplant für 08:00 UTC am 29. September angesetzt, gefolgt von USDT am 30. September und den verbleibenden Auszahlungsdiensten am 2. Oktober, was in den kommenden Tagen klare Prüfpunkte dafür bietet, ob jede Wiederherstellungsphase ihren Zeitplan einhält.

Die Führung von Bitget hat sich öffentlich zu dem Vorfall geäußert, unter anderem in einem Beitrag von Gracy Chen auf X. Dieser Bericht basiert auf Crypto Adventures Berichterstattung über den Vorfall.