Das Blockchain-Sicherheitsunternehmen BlockSec hat die Bewegung der beim Bitget-Hack gestohlenen Gelder nachverfolgt und berichtet, dass rund 387,5 Millionen USD über Bitcoin, das Cross-Chain-Protokoll THORChain und einen Dienst namens CoinJoi geleitet wurden. Die Analyse zeichnet ein Verschleierungsmuster nach, das bei groß angelegten Börsen-Hacks inzwischen verbreitet ist: On-Chain-Assets umwandeln, über Chain-Grenzen hinweg tauschen und dann die Spur fragmentieren.

Was BlockSecs Trace ergab

Laut BlockSecs berichteter Analyse blieben die gestohlenen Bitget-Gelder nicht untätig liegen. Der Angreifer überführte Assets in Bitcoin, nutzte THORChain als Cross-Chain-Routing-Schicht und leitete die Gelder durch CoinJoi. Jeder Schritt dient einem bestimmten Zweck: die On-Chain-Verbindung zwischen dem ursprünglichen Diebstahl und einem möglichen späteren Abfluss zu kappen.
THORChain ermöglicht native Cross-Chain-Swaps ohne Wrapped Tokens oder zentrale Bridges und ist damit ein technisch wirksames Werkzeug, um Werte zwischen Chains zu bewegen. Nach dem Hack lehnte das THORChain-Governance einen Vorschlag ab, die Adressen des Bitget-Hackers auf eine Blacklist zu setzen – eine Entscheidung, die Kommentare von Ethereum-Mitgründer Vitalik Buterin auslöste und die Debatte darüber verschärfte, ob dezentrale Protokolle Verantwortung dafür tragen, gestohlene Gelder herauszufiltern. Diese Debatte steht in einem längeren regulatorischen Bogen: Im Jahr 2022 setzte das Office of Foreign Assets Control des US-Finanzministeriums den Bitcoin-Mixer Blender.io und das auf Ethereum basierende Mixing-Protokoll Tornado Cash wegen ihrer Nutzung zur Geldwäsche von Hack-Erlösen auf die Sanktionsliste – Maßnahmen, die eine anhaltende rechtliche Debatte darüber auslösten, wie weit Sanktionen in quelloffene, permittingslose Protokolle hineinreichen können.

Separat identifizierte das Blockchain-Analyseunternehmen AMLBot einen kleineren Teil der Geldbewegungen: 4 BTC aus dem Bitget-Hack wurden bis zu Wasabi CoinJoin zurückverfolgt, ein Bitcoin-Datenschutz-Tool, das Transaktionen mischt, um Input-Output-Verbindungen zu verschleiern. Der CoinJoi-Verweis in BlockSecs Trace könnte sich auf dieselbe Mixing-Aktivität beziehen, wobei die Untersuchung nicht bestätigt, ob CoinJoi und Wasabi CoinJoin denselben Dienst oder separate Schritte in der Kette bezeichnen.

Die Grenzen dessen, was Tracing feststellen kann

Tracing bestätigt beobachtete Asset-Bewegungen; die endgültige Verwendung legt es nicht fest. BlockSecs berichtete Analyse zeigt, wohin die Gelder flossen – nicht, ob sie zurückgeholt, von Börsen eingefroren oder in Fiat umgetauscht wurden. Das sind separate Fragen, die davon aben, ob ein zentralisierter Dienst entlang des Weges mit den Ermittlern kooperiert hat. Das macht Tracing zugleich handlungsrelevant: sein praktischer Wert liegt darin, Engstellen zu identifizieren, an denen Gelder noch abgefangen werden können, während die permittingslosen Abschnitte der Route weitgehend außerhalb der Kontrolle einer einzelnen Partei liegen.

Nicht alle gestohlenen Gelder erreichten anonyme Protokolle ungehindert. NEAR Intents meldete die Blockade von rund 50 Millionen USD an Bitget-Hack-Flows – die größte bekannte Einzelmaßnahme im berichteten Zahlungsweg. Damit bewegte sich die verbleibende Mehrheit der 387,5 Millionen USD weiter durch Kanäle, in denen ein Eingreifen entweder nicht möglich war oder abgelehnt wurde.

Bitget selbst begann nach dem Vorfall, den Nutzern wieder den Zugriff auf ihre Gelder zu ermöglichen. Bitcoin-Abhebungen wurden wieder aufgenommen, nachdem der Hacker ETH über THORChain getauscht hatte, Ether-Abhebungen sollten folgen. Die Reihenfolge deutet darauf hin, dass Bitget die Wiederherstellung der BTC-Liquidität priorisierte, nachdem der Angreifer den ETH-denominierten Teil der Beute bereits von der Plattform bewegt hatte.

Was die Route für die On-Chain-Forensik bedeutet

Der Pfad Bitcoin–THORChain–CoinJoi spiegelt ein Muster wider, das auch bei anderen großen Börsen-Hacks zu sehen ist: ein permittingsloses Cross-Chain-Protokoll nutzen, um die Asset-Spur an der Chain-Grenze zu brechen, und anschließend einen Coin-Mixing-Schritt einbauen, um Bitcoin-UTXOs zu fragmentieren. Für On-Chain-Forensik-Teams erfordert diese Kombination eine Analyse über mindestens zwei Chains hinweg sowie probabilistisches UTXO-Clustering statt einfacher Adressverfolgung.

Die Zahl von 387,5 Millionen USD wäre, sofern zutreffend, einer der größeren Einzel-Diebstähle von einer Börse in jüngerer Zeit. BlockSecs Trace ist die früheste öffentliche Darstellung der Geldbewegungen, doch das vollständige Bild davon, wie viel letztlich zurückholbar, eingefroren oder gewaschen wurde, hängt von Berichten der Börsen und Analyseunternehmen in den kommenden Wochen und Monaten ab. Offene Fragen sind unter anderem, ob weitere Dienste entlang der Route zur Sperrung von Geldern bereit sind und ob die Governance-Entscheidung gegen eine Blacklist neue regulatorische Aufmerksamkeit auf permittingslose Cross-Chain-Infrastruktur lenkt.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte bergen erhebliche Risiken. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.