Berichte, die am 28. September 2026 kursieren, behaupten, THORChain, das permittierungslose Cross-Chain-Liquiditätsprotokoll, habe abgelehnt, Wallets zu blockieren, die angeblich mit einem Bitget-Exchange-Exploit in Verbindung stehen, und so ermöglicht, dass rund 387,5 Millionen US-Dollar in Richtung Bitcoin geleitet wurden.

Die Behauptung ist unbelegt. Die verfügbare Recherche enthält keine primäre Stellungnahme von Bitget zu dem Vorfall, keine Transaktions-Hashes und keinen On-Chain-Beweis für die behauptete Bewegung. Die Zahl von 387,5 Millionen US-Dollar, die Zuschreibung an den Hacker und die berichtete Verweigerung durch THORChain sollten bis zum Vorliegen primärer Beweise als unbehandelt gelten.

Was behauptet wird – und was unbelegt bleibt

Der berichtete Ablauf beschreibt einen Bitget-Hack, gefolgt von einer Cross-Chain-Umwandlung der gestohlenen Mittel in Bitcoin, wobei THORChain als Routing-Schicht fungierte. THORChain arbeitet als dezentraler Cross-Chain-Automated Market Maker: Das Protokoll verwahrt keine Assets, sondern ermöglicht Swaps zwischen nativen Layer-1-Token, darunter BTC und ETH, über gebundene Node-Betreiber und Liquiditätspools. Eine Umwandlung in Bitcoin wäre – falls bestätigt – für die Rückverfolgung relevant, da Chain-Hopping ein gut dokumentiertes Geldwäschemuster ist: Jeder Cross-Chain-Sprung zwingt Ermittler, ihre Analyse auf einem anderen Ledger neu zu verankern. Aus diesem Grund basiert die nachfolgende Prüf-Checkliste auf rohen Transaktions-Hashes statt auf Wallet-Labels.

Zum Zeitpunkt der Veröffentlichung wurde kein On-Chain-Beweis für diese spezifische Bewegung unabhängig vorgelegt. Eine Verifizierung würde mindestens die Ursprungs-Wallet-Adressen auf der Quell-Chain, nachvollziehbare Transaktions-Hashes der Zwischen-Swaps über die THORChain-Router-Verträge sowie eine durch einen Block-Explorer wie Mempool.space bestätigte Ziel-Bitcoin-Adresse erfordern. Keines dieser Elemente wurde in der Berichterstattung geliefert.

Bitget hat keine Sicherheitsoffenlegung oder keinen Vorfallbericht veröffentlicht, der einenloit bestätigt. Solange keine primäre Erklärung vorliegt und die Methodik hinter der Berechnung der 387,5 Millionen US-Dollar erläutert wurde, sollte die Zahl als unbelegte Behauptung aus einer einzigen Quelle behandelt werden.

Warum ein Blocking technisch und politisch umstritten ist

THORChains Protokolldesign ist auf der Swap-Ebene permittierungslos: Node-Betreiber validieren und signieren ausgehende Transaktionen auf Basis von Threshold-Signatur-Verfahren, nicht anhand individueller Adress-Whitelists. Das Blockieren einer bestimmten Wallet-Adresse würde entweder eine koordinierte Node-Mehrheit erfordern, die Transaktionen von dieser Adresse nicht verarbeitet, oder einen Notfallstopp, der über die Mimir-Governance-Parameter des Protokolls ausgelöst wird.

Beide Mechanismen bringen erhebliche Nachteile mit sich. Ein Block durch die Node-Mehrheit würde einen Präzedenzfall schaffen, dass Validatoren Flüsse selektiv zensieren können, und so die Zensurresistenz untergraben, die THORChains Wertversprechen gegenüber Liquiditätsanbietern stützt. Ein Notfallstopp, der zuletzt während der Exploit-Vorfälle 2021 eingesetzt wurde, als aufeinanderfolgende Angriffe auf THORChains Ethereum-Router das Protokoll zu einer Aussetzung der Swaps zwangen, friert alle Swaps ein und schafft für Liquiditätsanbieter in jedem Pool ein Risiko impermanenter Verluste, solange das Protokoll pausiert ist – während die Bitcoin-Preise sich weiter bewegen, während die Pool-Positionen eingefroren sind.

Die Spannung zwischen Zensur und Risikexposition hat einen konkreten Präzedenzfall. Als mit Nordkorea verbundene Angreifer im Februar 2025 rund 1,5 Milliarden US-Dollar in Ethereum von Bybit stahlen – der größte dokumentierte Börsendiebstahl von Kryptowährungen –, wurde in den darauffolgenden Tagen ein erheblicher Teil des gestohlenen ETH über THORChain geleitet, was eine ungewöhnlich öffentliche Debatte unter Node-Betreibern darüber auslöste, ob solche Flüsse blockiert werden könnten oder sollten. Ein etwaiger Antrag im Zusammenhang mit der aktuellen Behauptung würde auf derselben Bruchstelle zwischen Zensurresistenz und Reputationsrisiko landen.

Liquiditätsanbieter und Arbitrageure, die mit THORChains in RUNE denominierten Pools interagieren, tragen ein sekundäres Risiko, wenn belastete Assets eindringen und anschließend von Compliance-Tools im nachgelagerten Bereich markiert werden. Eine Pool-Kontamination kann Gegenparteien-Ablehnungen auf zentralisierten Börsen auslösen, die Liquidität aus Cross-Chain-Protokollen beziehen. Dieses Risiko ist nicht hypothetisch: Ähnliche Kontaminationsdynamiken traten nach dem Ronin-Bridge-Exploit 2022 auf, als ETH mit Verbindungen zu Tornado Cash Uniswap-Pools erreichte.

Mindestbeweise, die erforderlich sind, bevor dies als bestätigt gelten kann

Drei Verifizierungsschritte sind erforderlich, bevor über die Geschichte als Fakt statt als unbelegte Behauptung berichtet werden kann. Erstens eine primäre Sicherheitsoffenlegung von Bitget oder ein On-Chain-Beweis der ursprünglichen Transaktion des Exploits. Zweitens die spezifischen THORChain-Swap-Transaktions-Hashes, die die Cross-Chain-Route Quell-Asset zu Bitcoin zeigen, einschließlich des USD-äquivalenten Werts zum Zeitpunkt jedes Swap-Schritts. Drittens eine Erklärung der Node-Betreiber, des Kernteams oder des Governance-Forums von THORChain, ob ein Blocking formell angefragt wurde, ob es angesichts des Protokollzustands zu diesem Zeitpunkt technisch möglich war und was das Ergebnis der internen Beratung war.

Leser, die die Geschichte verfolgen, sollten die Thornode-Governance-Parameter von THORChain, gepflegt im GitLab-Repository des Projekts, auf Änderungen der Mimir-Parameter überwachen sowie die offiziellen Kanäle von Bitget auf einen Vorfallbericht. On-Chain-Ermittler sollten mutmaßliche Wallet-Adressen mit THORChains eingehenden Transaktionsprotokollen auf der jeweiligen Chain abgleichen, bevor sie die Zahl von 387,5 Millionen US-Dollar weiter verbreiten.

Zensur-Entscheidungen auf Protokollebene in DeFi haben eine Governance-Bedeutung, die über den unmittelbaren Vorfall hinausgeht. Wie THORChains Node-Set auf Anfragen gehackter zentralisierter Börsen reagiert – oder nicht reagiert –, wird die Risikomodelle von Liquiditätsanbietern beeinflussen und möglicherweise regulatorische Prüfung permittierungsloser Routing-Infrastruktur anziehen – ein Druckpunkt, der bereits die Cross-Chain-Bridge-Governance in der breiteren DeFi-Compliance-Landschaft mit Blick auf das Q4 2026 prägt.