Bild: “Password hacking illustration” von Santeri Viinamäki, Lizenz CC BY-SA 4.0, Quelle: Wikimedia Commons
Kein gestohlener Private Key – und trotzdem $351,6 Millionen weg. Der Krypto-Exchange Bitget wurde am 24. September 2026 Opfer des bislang größten bekannten Börsen-Hacks des Jahres. Die Angreifer kamen nicht durch die Vordertür, sondern durch eine gefälschte interne Bestätigung: Sie manipulierten ein Backend-System der Wallet-Infrastruktur, spielten dort gefälschte Transaktionsdaten ein und ließen Bitgets eigenen Autorisierungsprozess die Transfers absegnen.
Der Vorfall wirft ein Schlaglicht auf eine neue Angriffsklasse, die klassische Sicherheitsannahmen ins Wanken bringt: Wenn nicht mehr der Schlüssel selbst, sondern der Signaturprozess kompromittiert wird, helfen Cold Wallets allein nicht mehr.
Der Ablauf: Wie der Hack entdeckt wurde
Um 18:31 UTC am 24. September 2026 schlugen Bitgets Sicherheitssysteme Alarm: unautorisierte Transfers aus Teilen der Hot- und Warm-Wallet-Infrastruktur. CEO Gracy Chen bestätigte den Vorfall wenig später auf X. Insgesamt 19 einzelne Transfers führten Gelder aus dem System ab, betroffen waren die Netzwerke Ethereum, XRP Ledger, Avalanche, BNB Smart Chain und Arbitrum.
Bitget nutzt eine dreistufige Wallet-Architektur: Hot Wallets für sofortige Auszahlungen, Warm Wallets als Puffer, und Cold Wallets komplett offline. Nach Chens Angaben blieben die Cold Wallets – und damit der Großteil der Kundengelder – unberührt.
Die Angriffsmethode: Gefälschte Daten statt gestohlener Schlüssel
Das eigentlich Bemerkenswerte an diesem Hack ist die Methode. Chen beschrieb es selbst mit einem Bild: Es sei, als hätten Kriminelle gefälschte Auszahlungsformulare durch den legitimen Schalter einer Bank geschleust – der Tresor selbst blieb verschlossen.
"The attacker compromised a critical backend system within our wallet infrastructure, used it to spoof transaction data, and triggered our authorization process to move funds out. Private key compromise has been ruled out." – Gracy Chen, CEO Bitget
Konkret bedeutet das: Die Angreifer erbeuteten keinen privaten Schlüssel und fälschten auch keine Nutzer-Auszahlungsanträge. Stattdessen infiltrierten sie das System, das Transaktionen vorbereitet, speisten dort manipulierte Transferdaten ein und ließen den regulären, echten Signaturprozess die gefälschten Anweisungen absegnen. Die Signatur war echt – die signierten Daten waren es nicht.
Wohin das Geld floss
On-Chain-Analysten von Lookonchain und Arkham Intelligence verfolgten die Bewegungen in Echtzeit. XRP machte mit rund 102,9 Millionen Token (etwa 158 Millionen US-Dollar) den größten Anteil der Beute aus, gefolgt von rund 31.890 ETH im Wert von etwa 86 Millionen US-Dollar. Weitere betroffene Assets waren USDT, USDC, USDT0, AVAX, BNB und tokenisiertes Gold (XAUT).
Besonders auffällig: Eine frisch erstellte Adresse tauschte 19,67 Millionen US-Dollar in USDT0 innerhalb von rund sechs Minuten gegen 7.111 ETH – über Uniswap X und 1inch Fusion, mit einem Aufpreis von bis zu 5 Prozent über Marktpreis. Dieser Aufpreis ist selbst ein Indiz: Wer bereit ist, 5 Prozent mehr zu zahlen, priorisiert Geschwindigkeit vor Preis – denn Stablecoins können vom Emittenten eingefroren werden, ETH nicht. Der Tausch war keine Handelsstrategie, sondern Konvertierung in einen Vermögenswert, den niemand zurückholen kann.
Verdacht: Nordkoreanische Lazarus Group
Chen erklärte in einer öffentlichen Live-Übertragung auf X, dass die Ermittler IP-Adressen identifiziert hätten, die zu VPN-Diensten passen, die zuvor von einer nordkoreanischen Hackergruppe genutzt wurden. Das Angriffsmuster ähnele früheren Operationen, die dem Land zugeschrieben werden. Bitget schließt nach eigenen Angaben einen Insider-Vorfall aus.
Nordkoreanische Gruppen wurden laut TRM Labs bereits für rund 2,02 Milliarden US-Dollar an Krypto-Diebstahl im Jahr 2025 verantwortlich gemacht – darunter der bislang größte Einzelfall, der 1,5-Milliarden-Dollar-Hack von Bybit im Februar 2025, den auch das FBI Nordkorea zuschrieb. Bybit-CEO Ben Zhou bot Bitget nach dem aktuellen Vorfall öffentlich Unterstützung an – Bitget hatte umgekehrt nach dem Bybit-Hack 2025 geholfen.
Bitgets Reaktion: User Protection Fund und Auszahlungsstopp
Bitget hat nach eigenen Angaben die Nutzerguthaben-Buchhaltung unverändert bestätigt und verweist auf seinen User Protection Fund mit mehr als 464 Millionen US-Dollar Reserve, der den gesamten Verlust abdecken soll. Einzahlungen und Handel laufen normal weiter, Auszahlungen bleiben jedoch bis zum Abschluss einer Sicherheitsüberprüfung ausgesetzt.
Chen vermied bewusst eine feste Zeitangabe für die Wiederaufnahme der Auszahlungen: Man werde kein Zeitfenster versprechen, das man nicht garantieren könne. Ein vollständiger technischer Bericht zur genauen Angriffsmethode wurde angekündigt, lag zum Zeitpunkt dieses Artikels aber noch nicht vor.
Einordnung: Der teuerste Monat des Jahres
Mit 351,6 Millionen US-Dollar übertrifft der Bitget-Hack den bisherigen Spitzenwert des Jahres, einen 320-Millionen-Dollar-Vorfall beim Liquid Network Anfang September 2026. Laut Analysen summieren sich die Krypto-Hack-Verluste 2026 bereits auf über 2 Milliarden US-Dollar über 281 Vorfälle – Bitget allein macht rund 16 Prozent dieser Summe aus. September 2026 ist damit bereits der teuerste Monat des Jahres, noch vor dem bisherigen Spitzenreiter April mit rund 648 Millionen US-Dollar Schaden.
Was Nutzer jetzt wissen sollten
Nutzerinnen und Nutzer von Bitget können weiterhin einzahlen und handeln, Auszahlungen sind vorübergehend gesperrt. Bitget betont, dass die Kontostände korrekt und durch den Protection Fund abgesichert sind. Wichtig in dieser Phase: Erfahrungsgemäß häufen sich nach solchen Vorfällen Phishing-Versuche, die sich als angebliche "Wiederherstellungs"-Hilfe für betroffene Konten ausgeben. Offizielle Kommunikation kommt ausschließlich über Bitgets verifizierte Kanäle.
Für die Branche insgesamt zeigt der Vorfall vor allem eines: Sicherheitsarchitekturen müssen nicht nur Schlüssel schützen, sondern auch die Integrität der Systeme, die festlegen, was überhaupt signiert wird.
