Bitget Bevestigt Hack Van $351,6 Miljoen Uit Hot Wallets, Schort Opnames In

Bitget heeft donderdagavond de opnames van klanten opgeschort nadat bevestigd werd dat aanvallers ongeveer $351,6 miljoen uit de hot wallets van de beurs hadden gehaald. CEO Gracy Chen publiceerde de melding om 21:30 UTC. "Op 24 september 2026 om 18:31 UTC detecteerden de beveiligingssystemen van Bitget ongeautoriseerde transacties vanuit enkele van onze hot wallets", schreef ze. "Ons beveiligingsteam heeft onmiddellijk noodprotocollen geactiveerd."

On-chain gegevens bevestigen het tijdstip van 18:31. Wat ze ook laten zien, minuut voor minuut, is alles wat daarna gebeurde.

Drie Uur Tussen Detectie En Inperking

Om 18:31:11 UTC stuurde een wallet met het label "Bitget 6" op Etherscan, Arbiscan en BscScan 0,84 ether naar een adres dat diezelfde dag was aangemaakt — de kleine testtransactie die doorgaans aan een grote diefstal voorafgaat, en de eerste on-chain beweging van de inbreuk. Deze landde in dezelfde minuut waarin Bitget zegt dat zijn systemen de indringing markeerden.

De grote uitstromen volgden snel. Om 18:58:59 stuurde dezelfde wallet 34.751.168 USDT. Om 19:01:20 stuurde hij op Arbitrum 19.668.851 USDT0. Om 19:01:23 verplaatste hij 12.852.046 USDC, en om 19:01:35 7.130,86 ether. Een tweede wallet, gelabeld "Bitget 35", voegde 15.362 ether toe in drie transacties. Nog eens 223,2 ether verliet de wallet om 21:23:11 — twee uur en 52 minuten na het detectietijdstip in Bitgets eigen melding, en zeven minuten voordat die melding werd gepubliceerd.

In totaal verliet $133,4 miljoen Bitget-wallets op Ethereum en Arbitrum alleen al, naast 3.000 Tether Gold-tokens ter waarde van $12,8 miljoen vanaf een derde adres. De rest van de $351,6 miljoen bewoog over andere chains.

Niets hiervan wijst in conventionele zin op een trage reactie. Hot wallets zijn de internet verbonden saldi die een beurs online houdt om opnames te verwerken; cold storage staat offline. Een beurs beheert hot wallets op tientallen netwerken, en elke wallet uitschakelen zonder klantopnames vast te zetten is geen kwestie van één schakelaar. Chen zei dat cold storage nooit is aangeraakt. Toch wordt de kloof tussen detectie en inperking hier in uren gemeten — en het is precies daarheen gegaan waar het geld heen ging.

De Aanvaller Zette Alles Om Dat Bevriesbaar Was

De keuze van assets wijst op weloverwogen planning. Tether kan USDT bevriezen. Circle kan USDC bevriezen. Tether kan zijn gold-token bevriezen. Ether kan door niemand worden bevroren.

Binnen zes minuten na ontvangst duwde de aanvaller alle drie naar 0x7c96279E, een routercontract dat ze verspreidde over Uniswap V3-pools en de Uniswap V4 PoolManager en ether terug gaf. DCF GOD, een pseudonieme analist met 105.000 volgers die de Arbitrum-transacties opmerkte voordat Bitget iets publiekelijk zei, stelde dat de koper "tot +5% boven spot betaalde" en één pool naar $2.870 dreef tegen een spotprijs nabij $2.688. "wat geen zin heeft als iemand gewoon eth wilde kopen", schreef hij. Het heeft wel zin als de verkoper raced tegen de bevriesfunctie van een uitgever.

Wat overblijft is ether, liggend in drie wallets die nooit eerder transacties hadden: 10.000 ETH om 20:13, 10.000 om 20:19, en nog eens 4.590 om 21:41:11. Die laatste tranche bewoog tien minuten nadat Chens melding verscheen, en een minuut nadat Bitgets eigen account klanten vertelde dat het "de relevante transferadressen had geïdentificeerd en gemarkeerd".

Wat Bitget Zegt

"De middelen van gebruikers zijn veilig", schreef Chen. "Het volledige bedrag van dit verlies valt binnen de dekking van het User Protection Fund van Bitget, dat momenteel meer dan $464 miljoen beheert." Ze beschreef een architectuur met drie walletlagen waarin "de inbreuk slechts een deel van de hot wallet- en warm wallet-lagen besloeg", meldde dat stortingen en handel normaal doorlopen en beloofde binnen 24 uur een volledig incidentenrapport. "We zullen niet speculeren over de aanvalsmethode totdat het onderzoek is afgerond."

Die laatste toezegging weegt zwaar voor elke andere beursoperator. Inbreuken van deze vorm betekenen zelden dat cryptografie is gebroken. "Dat zijn off-chain hacks die hebben geleid tot on-chain verlies van middelen", zei Ido Sofer, oprichter en CEO van key management-bedrijf Sodot, in de On The Margin-podcast, waarin hij het paton achter de Bybit-diefstal en zijn opvolgers beschreef. "Developer-credentials, deployment keys, API keys die worden gestolen. En dat gaf toegang tot het verplaatsen van middelen on chain." Zijn baldadiger versie: "Er zullen hacks zijn. De vraag is of het in jouw bedrijf gebeurt of niet."

Een fonds van $464 miljoen tegenover een verlies van $351,6 miljoen is een dun maar reëel kussen. Bitget heeft ook 45 opeenvolgende maanden lang proof-of-reserves-verklaringen gepubliceerd — periodieke momentopnames van holdings die moeten aantonen dat klantactiva volledig gedekt zijn — met als meest recente een reserveratio van 122% voor augustus. De echte toets is of de opnames weer worden geopend.

Een Tweede Oplichting Is Al Bezig

Eén waarschuwing voor wie de adressen volgt: binnen enkele uren begonnen gespoofte tokens de transacties van de aanvaller na te bootsen. Valse contracten met de namen "ETH", "USDC" en "USDT" — soms gespeld met onzichtbare Unicode-tekens — zonden dezelfde bedragen naar spiegelbeeld-adressen die alleen in het midden verschillen van de echte. Er waren er veertien verschenen tegen deze ene wallet om 22:00. Wie nu een adres uit een block explorer kopieert, riskeert een vergiftigd exemplaar te pakken.

Het incident is het grootste beursverlies sinds de Bybit-inbreuk, waarbij in februari 2025 ongeveer $1,5 miljard werd buitgemaakt in een aanval die breed wordt toegeschreven aan de Noord-Koreaanse Lazarus Group. Het volgt op de diefstal van $130 miljoen bij Coldcard die het debat heropende over wie de sleutels van bitcoin zou moeten beheren, en de november-spree van $137 miljoen die DeFi's yield-laag herbouwde. Net als bij de verse wallets die $1,2 miljoen verdienden op Polymarket vóór de Iraanse luchtaanvallen, legde de chain alles openbaar vast terwijl iedereen discuteerde wat het betekende.

"Bitget heeft meerdere marktcycli doorstaan. We zullen hiervoor niet vluchten", schreef Chen. Het incidentenrapport moet binnen een dag volgen, en 24.590 ether ligt in drie wallets te wachten om te bewegen.