Bitget: Sicherheitslücke bei Drittanbieter ermöglichte 387,5 Millionen Dollar Hack

Die Kryptobörse Bitget gab bekannt, dass Angreifer, die 387,5 Millionen Dollar aus ihren Hot- und Warm-Wallets entwendeten, über eine Sicherheitslücke in Sicherheitsprodukten von Drittanbietern eindrangen. Die Börse berief sich dabei auf laufende Untersuchungsergebnisse des Blockchain-Sicherheitsunternehmens SlowMist. Während Ermittler den Hergang des Einbruchs rekonstruieren, begannen Wallets, die mit den Angreifern in Verbindung stehen, gestohlene Zcash ↗ 1.08% in einen Privacy-Pool zu verschieben, was die Rückverfolgung der Gelder erschweren wird.thehackernews+1

"Ihre Untersuchung identifizierte böswillige Aktivitäten im Zusammenhang mit Sicherheitsprodukten von Drittanbietern, einschließlich einer Sicherheitslücke, und stellte ein angepasstes Werkzeug sicher, das der Angreifer nutzte, um unbefugte Auszahlungen einzuleiten", so Bitget in einem Beitrag auf X. Die Börse erklärte, dass die Schwachstelle es den Angreifern ermöglichte, interne Zugangsdaten mit hoher Berechtigung zu erlangen. Sie nutzten diese dann, um betrügerische Auszahlungsbefehle zu senden, die die Risikokontrollen umgingen. Bitget hat den Anbieter informiert und die betroffene Funktionalität deaktiviert, bis eine Lösung bereitsteht.infosecurity-magazine+1

Ein monatelanger Einbruch

SlowMist verfolgte die frühesten böswilligen Aktivitäten bis zum 31. August 2026 zurück, als eine Sicherheitslücke einen Dienst auf einem Knoten eines Produkts betraf, das sie "Produkt A" nennen. Der Angreifer führte ein verstecktes Skript aus, um ein Datenbankpasswort zu lesen und eine Verbindung zur Datenbank herzustellen. Ähnliche Aktivitäten traten am 23. und 25. September auf zwei weiteren Knoten auf. Am 25. September nutzte der Angreifer zudem die Identität eines Mitarbeiters, um zu versuchen, Befehle in die Managementplattform eines zweiten Produkts einzuschleusen. Ein maßgeschneidertes Werkzeug, das auf der Auszahlungslogik von Bitget basierte, begann am 25. September um 01:49 Uhr, Gelder abzuziehen, so SlowMist.thehackernews

Mandiant, eine Einheit von Alphabet ↗ 1.02%, fand separat heraus, dass die Angreifer ein Web-Shell auf einem der Sicherheitsgeräte platzierten. Von dort aus "bewegten sie sich lateral zum Produktions-Wallet-Server von Bitget und implementierten bösartige Pakete".thehackernews

Der Diebstahl betraf 11 Blockchains, darunter Ethereum ↗ 0.22%, XRP Ledger, TRON und BNB Smart Chain. Zu den gestohlenen Vermögenswerten gehören XRP ↗ 0.17%, ETH, USDT und USDC. Circle ↗ 2.52%, Tether und NEAR Intents haben bisher etwa 632.700 Dollar eingefroren. Bitget bezifferte seine Verluste zunächst auf 351,6 Millionen Dollar, korrigierte die Zahl jedoch nach oben. Die Börse erklärt, dass sie die Verluste der Nutzer aus ihrem User Protection Fund decken wird.silicon+2

Gelder fließen in Zcash

Am Mittwoch, dem 30. September, flossen laut einer Analyse von CoinDesk 2.746 ZEC im Wert von etwa 3,9 Millionen Dollar in drei Überweisungen in Ironwood, den neuesten geschützten Pool von Zcash. Die Münzen passierten zwei Zwischenadressen, die von einer Wallet finanziert wurden, die Bitget als die des Angreifers identifizierte. Diese Wallet erhielt während des Einbruchs fast 18.917 ZEC. Sobald sich die Gelder im Pool befinden, sind Absender, Empfänger und Beträge verborgen. Ermittler könnten die Münzen möglicherweise dennoch anhand von Zeitpunkten und Beträgen verknüpfen, wenn sie wieder an öffentliche Adressen zurückkehren.coindesk

Nordkorea unter Verdacht

"Basierend auf IP-Verhaltensmustern und On-Chain-Analysen ist die Angriffsmethode bei diesem Vorfall in hohem Maße konsistent mit bekannten Mustern nordkoreanischer Hackerorganisationen", sagte Bitget-Chefin Gracy Chen. Elliptic und TRM Labs fanden Überschneidungen mit Wallets, die zur Geldwäsche aus früheren Hacks verwendet wurden. TRM Labs bezeichnete den Vorfall als den größten Krypto-Hack des Jahres 2026.silicon+1

Bitget nahm am 28. September die Bitcoin ↗ 0.26%-Auszahlungen wieder auf. Die Börse plant, Fiat- und Peer-to-Peer-Dienste bis zum 2. Oktober wiederherzustellen.airdropalert+1