De aanvaller achter de grootschalige securityinbreuk bij Bitget is begonnen gestolen geld te verplaatsen via Binance, met een opname van $1,23 miljoen bij de beurs die wordt doorgestuurd naar een wallet die met de hack in verband wordt gebracht. De transactie markeert een nieuwe fase in wat een van de grootste cryptodiefstallen van 2026 is geworden, terwijl onderzoekers raceden om activa over meerdere blockchainnetwerken te traceren.

De oorspronkelijke inbreuk werd opgemerkt op 24 september om 18:31 UTC en resulteerde in ongeautoriseerde overboekingen van in totaal maximaal $387,5 miljoen vanuit de hot en warm wallets van Bitget.

Hoe het geld wordt verplaatst

Op 25 september, slechts één dag na de eerste diefstal, toonde on-chain analyse vijf afzonderlijke opnames uit de hot wallets van Binance, waaronder ongeveer 88,35 ETH, 89,36 ETH, 79,93 ETH en ruim $545.000 in USDT. Op 26 september was in totaal 457,9 ETH doorgestuurd naar een wallet waarvan wordt aangenomen dat deze onder controle van de aanvaller staat.

De meest recente opname van $1,23 miljo volgt hetzelfde patroon: geld opnemen bij een grote beurs en het vervolgens concentreren in een wallet buiten het bereik van de bevriesmogelijkheden van één enkel platform. Dat patroon is belangrijk voor het herstel, want gecentraliseerde beursen zijn doorgaans de plek waar gestolen geld het meest kwetsbaar is voor ingrijpen, aangezien compliance-teams verdachte stortingen kunnen markeren en bevriezen, terwijl activa die in zelfbeheer over meerdere netwerken worden verplaatst veel moeilijker te onderscheppen zijn.

Blockchain-analysebedrijven, waaronder Bitquery, hebben gestolen fondsen getraceerd die stromen over Ethereum, BNB Chain en TRON — een verspreiding die onderzoekers dwingt om te coördineren over afzonderlijke netwerken met verschillende tools. Bitget en Binance hebben bevestigd dat ze samenwerken bij het traceren van het gestolen geld. Ook de politie is ingelicht en cybersecuritybedrijven Mandiant en SlowMist assisteren beide bij het onderzoek, een breedte van externe betrokkenheid die de omvang van de zaak weerspiegelt.

Binnen de inbreuk

De aanval zelf was ongebruikelijk geavanceerd. In plaats van privésleutels te stelen of cold storage te doorbreken, compromitteerde de aanvaller het backendsysteem van Bitget op een manier die het mogelijk maakte transactiegegevens te vervalsen, waardoor het systeem werd misleid om overboekingen goed te keuren die er intern legitiem uitzagen, maar in werkelijkheid geld naar de aanvaller stuurden.

Initiële verliesramingen schatten de schade op $351,6 miljoen, een cijfer dat later werd bijgesteld naar $387,5 miljoen toen onderzoekers extra ongeautoriseerde overboekingen identificeerden. Bitget legde opnames kort na de ontdekking van de inbreuk stil en beloofde klantverliezen te dekken via het User Protection Fund, dat meer dan $464 miljoen bevat — een reserve die groter is dan het bijgestelde verliestotaal.

Noord-Korea-speculatie en gevolgen voor de sector

IP-adrespatronen die tijdens het onderzoek zijn geïdentificeerd, hebben sommige analisten doen speculeren dat aan Noord-Korea gelink actoren achter de inbreuk kunnen zitten. Deze toewijzing is niet bevestigd door autoriteiten, maar zou passen bij een goed gedocumenteerd patroon. Noord-Koreaanse hackergroepen, met name de Lazarus Group, zijn de afgelopen jaren in verband gebracht met miljarden dollars aan cryptodiefstal, vaak met vergelijkbaar geavanceerde multi-chain witwastechnieken. Het meest verwante precedent qua omvang is de diefstal van circa $1,5 miljard bij Bybit in februari 2025, die onderzoekers toeschreven aan aan Noord-Korea gelinkte hackers. Of de autoriteiten de toewijzing bevestigen of uitsluiten, en of meer geld kan worden onderschept bij gecentraliseerde locaties voordat het in zelfbeheer terechtkomt, zijn de open vragen die de zaak in de komende dagen waarschijnlijk vorm zullen geven.