Bitget Hack: 387,5 Millionen Dollar und ein umgangener Freigabeprozess

Der Bitget Hack ist der größte Kryptodiebstahl des Jahres 2026. Die Börse korrigierte die Schadenssumme auf rund 387,5 Millionen US-Dollar nach oben – eine Zahl, die sich laut Bitget noch ändern kann –, hat die Lücke nach eigenen Angaben geschlossen und fährt seit dem 28. September die Auszahlungen schrittweise wieder hoch. Bitget-Chefin Gracy Chen verdächtigt eine nordkoreanische Gruppe.

Was passiert ist

Am 24. September meldete Bitget auf X unautorisierte Transfers aus einer begrenzten Zahl von Hot Wallets und bezifferte den Schaden zunächst auf etwa 351,6 Millionen Dollar. Einen Tag später erhöhte die Börse die Summe auf rund 387,5 Millionen. Grund war laut Bitget eine vollständigere Erfassung der Transfers, bei der Vermögenswerte auf Zcash und TRON hinzukamen – keine neuen Abflüsse. Auszahlungen wurden sofort ausgesetzt, Einzahlungen und Handel liefen weiter.

Die Wiederaufnahme läuft gestaffelt. Bitcoin-Auszahlungen liefen am 28. September planmäßig an; für Ether ist der 29. September vorgesehen, für USDT der 30. September, für weitere Token, Fiat und P2P der 2. Oktober – jeweils um 08:00 UTC. Vollzogen und belegt ist bislang nur die erste Stufe. Den Verlust soll der User Protection Fund der Börse abdecken: Er hält nach Bitget-Angaben 5.500 Bitcoin, zum Zeitpunkt des Vorfalls rund 464 Millionen Dollar – ein kursabhängiger Wert und kein fester Betrag. Kundenguthaben seien nie verändert worden. Unabhängig geprüft ist das nicht.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Warum der Angriff technisch interessant ist

Nach Darstellung der Börse wurden keine privaten Schlüssel entwendet. In der ausführlicheren Version vom 28. September nennt Bitget als Einstieg eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters. Darüber hätten die Angreifer hochprivilegierte interne Zugangsdaten erlangt und mit diesen gefälschte Auszahlungsbefehle an das Wallet-System geschickt, die dessen Risikokontrollen umgingen. Die Lücke sei geschlossen – nach eigenen Angaben; der forensische Abschlussbericht steht aus. Das Muster ähnelt dem, was seit Jahren bei großen Börsenvorfällen zu sehen ist: Nicht die Kryptographie fällt, sondern der Prozess, der entscheidet, was unterschrieben wird.

Zur Zuordnung: Chen verwies in einem Livestream auf IP-Adressen von VPN-Diensten, die eine nordkoreanische Gruppe zuvor genutzt hatte, sowie auf Ähnlichkeiten im Vorgehen. Das sind Indizien, keine abgeschlossene Attribution – TRM Labs weist ausdrücklich darauf hin, den Angriff bislang nicht eindeutig zugeordnet zu haben, und Bitget selbst spricht nur von einem staatlich gestützten, hochentwickelten Angreifer. Als größten Kryptodiebstahl des Jahres stufen den Vorfall die Financial Times, The Block und TRM Labs übereinstimmend ein; laut Financial Times unter Berufung auf TRM Labs waren 2026 vorher bereits rund 1,73 Milliarden Dollar in 333 Vorfällen abgeflossen.

Was das für dich bedeutet

Für Privatanleger ist die entscheidende Zahl nicht die Schadenssumme, sondern der Umstand, dass eine Börse tagelang keine Auszahlungen zuließ. Wer in dieser Zeit verkaufen oder abziehen wollte, konnte es nicht. Der Protection Fund hat hier offenbar getragen – aber er ist eine freiwillige Zusage des Unternehmens, keine Einlagensicherung. Und der Puffer ist dünn: 5.500 Bitcoin liegen nur etwa ein Sechstel über der Schadenssumme, und weil der Fonds selbst in Bitcoin geführt wird, schrumpft er bei fallendem Kurs genau dann, wenn er gebraucht wird. Ein Vorfall dieser Größe ist gedeckt; zwei kurz hintereinander eher nicht.

Aus Sicherheitssicht ist die zweite Lehre wichtiger: Der Angriff lief über die Autorisierungslogik, nicht über die Schlüssel. Genau dieselbe Klasse von Fehlern kenne ich aus der klassischen IT – privilegierte Freigabeprozesse, die jemand von innen manipuliert, weil das System der Eingabe vertraut. Mehrere Unterschriften nützen wenig, wenn alle Unterzeichner dieselben manipulierten Daten angezeigt bekommen. Diese Muster habe ich bereits in der Halbjahresbilanz der Krypto-Hacks 2026 beschrieben – es wiederholt sich.

Konkrete Schritte für Anleger

• Nur handelbare Beträge auf der Börse lassen. Alles, was du nicht kurzfristig bewegen willst, gehört in die Selbstverwahrung. Ein Hardware-Wallet hält den privaten Schlüssel offline; welche Geräte dafür taugen, habe ich im Ratgeber zu den besten Krypto-Hardware-Wallets 2026 zusammengestellt.
• Auf mehrere Plattformen verteilen. Eine ausgesetzte Auszahlung trifft dich weniger hart, wenn nicht alles bei einem Anbieter liegt.
• Seed-Phrase offline sichern. Nie als Foto, nie im Passwortmanager der Cloud, nie in einer Notiz-App.
• Adressen auf dem Gerät prüfen. Der Bitget-Fall zeigt, warum: Wenn der Bildschirm eines Systems manipuliert werden kann, ist eine unabhängige Anzeige am Wallet die letzte ehrliche Instanz.
• Bei Hektik misstrauisch bleiben. Nach jedem großen Vorfall folgen Phishing-Wellen mit angeblichen Entschädigungsformularen. Keine Börse fragt nach deiner Seed-Phrase.

Für Betriebe, die Kryptowerte halten, gilt die technische Version derselben Regel: Die Freigabestrecke gehört getrennt vom System, das die Transaktionsdaten liefert – und jede Unterschrift sollte gegen eine unabhängige Quelle geprüft werden, nicht gegen das, was die eigene Oberfläche anzeigt.

Quellen

• PYMNTS: Bitget Suffers Year’s Largest Crypto Hack as Losses Top $387 Million (25.09.2026)
• BleepingComputer: Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist
• The Block: Bitget starts phased withdrawal resumption (28.09.2026)
• CNBC: Bitget suspects North Korea in hack (25.09.2026)