Bitget Hack, dreihundertfünfzig Millionen, Nordkorea und Forensik

Am 24. September 2026 ist es bei Bitget zu einem mutmasslichen Hack mit einem Schaden von rund 350 Millionen US-Dollar gekommen. Die Bitget-CEO Gracy Chen machte Nordkorea beziehungsweise nordkoreanischen Hackergruppen für den Vorfall mitverantwortlich und verwies auf forensische Spuren, die auf einen gezielten Angriff auf die Börsen-Infrastruktur hindeuten. Aus Blockchain-Analysen und Daten von DefiLlama ergibt sich ein Bild von schnellen Abflüssen, anschliessenden Bewegungen über mehrere Wallets und ersten Versuchen, die Mittel zu verschleiern. Für Nutzerinnen und Nutzer stehen vor allem drei Fragen im Raum: Sind Guthaben betroffen, bleiben Auszahlungen möglich, und lässt sich ein Teil der gestohlenen Vermögenswerte noch zurückholen?

Was am 24. September bei Bitget passierte

Nach den bisher bekannten Angaben wurde der Vorfall am 24. September 2026 entdeckt, nachdem auf den Wallets und Handelsströmen von Bitget ungewöhnliche Bewegungen auffielen. Der gemeldete Abfluss von rund 350 Millionen USD gehört zu den grösseren Krypto-Sicherheitsvorfällen des Jahres und hat sofort Fragen zu den betroffenen Produkten ausgelöst. Im Fokus standen nach ersten Berichten nicht nur einzelne Hot-Wallets, sondern auch Prozesse rund um die interne Verwahrung und die schnelle Weiterleitung von Assets.

Solche Vorfälle werden meist nicht durch einen einzigen on-chain Transfer sichtbar, sondern durch eine Kette von Transaktionen, die sich erst im Zusammenspiel als Angriff erkennen lassen. Laut den vorliegenden Spuren wurden Gelder in mehreren Schritten aus einer kontrollierten Bitget-Struktur herausgezogen, über Zwischenadressen verteilt und danach mit typischen Verschleierungsmechanismen weiterbewegt. Genau diese Art von Muster macht eine schnelle Reaktion so wichtig: Je mehr Zwischenstationen dazukommen, desto schwieriger wird die Rückverfolgung.

Für den Betrieb einer Börse ist entscheidend, ob nur ein Teil der operativen Liquidität betroffen ist oder ob sich der Angriff auf die Kernbestände auswirkt. Bitget hat den laufenden Handelsbetrieb nach eigenen Angaben nicht vollständig unterbrochen, konzentrierte sich aber auf die Untersuchung der betroffenen Wallets und auf Schutzmassnahmen für Nutzerkonten. Bei einem Sicherheitsvorfall dieser Grössenordnung steht deshalb weniger der einzelne Transfer im Vordergrund als die Frage, ob die Plattform ihre Reserven, Auszahlungslogik und interne Trennung der Guthaben weiterhin unter Kontrolle hält.

Gracy Chen nennt Nordkorea und verweist auf Forensik

Bitget-CEO Gracy Chen stellte den Vorfall früh in einen grösseren Kontext und nannte nordkoreanische Hackergruppen als wahrscheinlichen Urheberkreis. Ihre Einschätzung stützt sich nach Angaben aus dem Umfeld der Börse auf forensische Indizien, darunter bekannte Adressmuster, das Tempo der Geldbewegungen und die spätere Weiterleitung über Infrastrukturen, die auch bei früheren Angriffen mit Nordkorea-Bezug zu beobachten waren. In der Krypto-Sicherheitsanalyse ist diese Art von Attribution selten mathematisch eindeutig, aber oft durch mehrere, unabhängige Signale gut abgesichert.

Zu den wichtigsten Hinweisen zählen dabei nicht nur einzelne Wallet-Adressen, sondern auch Verhaltensmuster: Wie schnell wurden die Coins zerlegt? Welche Chains wurden genutzt? Wurden bekannte Mixer-, Bridge- oder Swap-Muster eingesetzt? Und tauchen dieselben Zwischenstationen bei früheren Angriffen wieder auf? Wenn ein Vorfall von mehreren Analysten zeitnah ähnlich bewertet wird, gewinnt die Zuordnung an Gewicht. Genau das ist bei Nordkorea-bezogenen Krypto-Angriffen häufig der Fall, weil die Gruppen seit Jahren mit auffälliger operativer Wiedererkennbarkeit arbeiten.

Chen deutete zudem an, dass ein Teil der gestohlenen Mittel bereits in Bewegungen überführt worden sei, die auf einen baldigen Tausch hindeuten könnten. Das ist für Geschädigte die schlechte Nachricht: Sobald Vermögenswerte in liquide Märkte oder in schwer rückverfolgbare Zwischenschichten gelangen, sinkt die Chance auf eine vollständige Sicherung. Gleichzeitig bleibt ein Rückholen nicht ausgeschlossen, wenn Börsen, Ermittler und Onchain-Analysten schnell genug reagieren und Einzahlungsadressen oder bekannte Abflusswege markieren.

DefiLlama und Transaktionsspuren als externer Prüfstein

Die Einordnung durch DefiLlama war deshalb wichtig, weil unabhängige DeFi- und Onchain-Datenanbieter die Bewegungen aus einer neutraleren Perspektive einordnen. Solche Reports zeigen typischerweise, wann ein plötzlicher Abfluss beginnt, über welche Chains Gelder verschoben werden und ob die Summe mit den von der Börse genannten Beträgen übereinstimmt. Wenn die Zeitstempel, Wallet-Hierarchien und Volumenkurven zusammenpassen, stärkt das die Glaubwürdigkeit der gemeldeten Schadenshöhe.

Im laufenden Fall deuteten die externen Daten auf einen grossen, konzentrierten Abfluss hin, der sich nicht wie eine gewöhnliche Nutzerbewegung, sondern wie eine gezielte Kompromittierung darstellte. Besonders relevant ist dabei, ob die Wallets nach dem ersten Transfer in mehrere kleinere Pakete aufgeteilt wurden. Genau diese Fragmentierung erschwert spätere Beschlagnahmungen und macht aus einem klaren Vorfall rasch ein grösseres Ermittlungsproblem über mehrere Jurisdiktionen hinweg.

Für die Bewertung eines solchen Hacks sind Blockchain-Transaktionen deshalb zentral: Sie liefern die einzige öffentliche Beweisspur, die sich im Nachhinein noch sauber auswerten lässt. Im Unterschied zu klassischen Banküberfällen, bei denen interne Logs und Zugangssysteme oft unter Verschluss bleiben, ist die Kette auf der Blockchain sichtbar – nur eben in einer Form, die erst mit technischer Analyse verständlich wird. Je früher diese Analyse beginnt, desto eher können Knotenpunkte markiert und nachgelagerte Börsen informiert werden.

Folgen für Nutzer: Auszahlungen, Guthaben und Handelsbetrieb

Für Nutzerinnen und Nutzer ist die drängendste Frage, ob ihre Einlagen direkt betroffen sind. Nach der bisherigen Darstellung von Bitget wurden die Kundenguthaben nicht pauschal als verloren gemeldet, sondern die Börse trennte den Vorfall von den regulären Nutzerkonten. Das ist wichtig, weil grosse Plattformen Kundengelder normalerweise auf mehrere Wallet-Strukturen verteilen und operative Reserven getrennt halten. Ob diese Trennung im konkreten Fall vollumfänglich wirksam war, ist Teil der laufenden Untersuchung.

Auszahlungen wurden je nach Wallet- und Produktkategorie kontrolliert oder vorübergehend eingeschränkt, um weitere Abflüsse zu verhindern und die Bestände zu stabilisieren. Gerade in den ersten Stunden eines Sicherheitsvorfalls ist diese Massnahme entscheidend: Sobald ein Angreifer Zugang zu einer kritischen Infrastruktur hat, kann jede zusätzliche Transaktion die Lage verschärfen. Für den Handel selbst blieb die Plattform nach den bisherigen Informationen teilweise funktionsfähig, doch Liquiditäts- und Risikomanagement stehen in solchen Situationen unter hoher Spannung.

Am Markt lösen grosse Börsenhacks meist sofortige Preisschwankungen aus, auch wenn der Ursprung des Problems nicht im Token selbst liegt. Der Grund ist Vertrauensverlust: Wenn Nutzer befürchten, dass eine Börse unter Druck gerät, werden Positionen schneller verschoben, Stablecoins abgezogen oder Hebelprodukte reduziert. Das kann kurzfristig zu höheren Spreads, sinkendem Volumen und hektischen Reaktionen bei Tradern führen. Besonders empfindlich reagieren in solchen Momenten Altcoins und gering liquide Paare.

Bereich	Bekannte Auswirkung	Relevanz für Nutzer
Auszahlungen	Teilweise pausiert oder kontrolliert	Schützt vor weiteren Abflüssen, kann aber Verzögerungen verursachen
Guthaben	Keine pauschale Verrechnung bestätigt	Wichtig für das Vertrauen in die Verwahrung
Handelsbetrieb	Weiterlauf mit erhöhten Sicherungsmassnahmen	Vermeidet Marktstillstand, erhöht aber operative Komplexität
Liquidität	Vorübergehend unter Druck	Kann Slippage und Spreads verschlechtern

Bitgets Reaktion und die nächsten forensischen Schritte

Bitget steht nun vor der Aufgabe, die betroffenen Wallets zu isolieren, interne Zugriffswege zu prüfen und mit anderen Börsen sowie Ermittlern zu kooperieren. In solchen Fällen läuft parallel meist ein Zusammenspiel aus technischer Forensik, rechtlicher Dokumentation und operativer Risikokontrolle. Je schneller die betroffenen Adressen öffentlich oder über Partnerplattformen markiert werden, desto eher lassen sich spätere Einzahlungen blockieren oder genauer überprüfen.

Ein zentraler Hebel ist die Zusammenarbeit mit Kryptobörsen, die auf Einzahlungssummen aus den verdächtigen Wallets achten und sie bei entsprechenden Warnungen einfrieren können. Auch Stablecoin-Emittenten und Analysefirmen spielen eine Rolle, wenn sich Geldströme über zentrale Schnittstellen bewegen. Gleichzeitig versuchen Angreifer oft, die Zeit gegen die Ermittler zu nutzen: Tausch in andere Coins, Bridge-Nutzung, Umschichtungen über verschiedene Chains und die Verteilung auf viele kleine Beträge sind typische Schritte, um die Rückverfolgung zu erschweren.

Ob Gelder zurückgeholt werden können, hängt vor allem von der Geschwindigkeit der Reaktion ab. Bereits getauschte oder über Mixer geschleuste Beträge sind deutlich schwerer zu sichern. Wenn aber ein Teil des Schadens noch auf bekannten Zwischenadressen liegt, können Beobachtung, Einfrierungen und internationale Meldungen Wirkung zeigen. In früheren Fällen nordkoreanisch zugeschriebener Angriffe gab es immer wieder Teilrückholungen, allerdings meist nur, wenn die Spur früh genug erkannt wurde.

Die regulatorische Seite dürfte ebenfalls nachziehen. Ein Vorfall dieser Grössenordnung zieht in der Regel Fragen zu Verwahrung, internes Kontrollsystem, Audit-Standards und Notfallkommunikation nach sich. Für die Branche ist das doppelt relevant: Einerseits steht eine einzelne Plattform im Fokus, andererseits zeigt sich erneut, wie abhängig der Markt von sauberer Schlüsselverwaltung und schnell reagierenden Sicherheitsstrukturen bleibt. Wer Krypto-Börsen nutzt, achtet nach solchen Meldungen besonders darauf, wie transparent eine Plattform ihre Reserve- und Sicherheitsprozesse offenlegt.

Nordkorea, frühe Krypto-Angriffe 2026 und die grössere Einordnung

Der Bitget-Vorfall reiht sich in eine Serie von nordkoreanisch zugeschriebenen Krypto-Angriffen ein, die 2026 erneut für Druck auf Börsen und DeFi-Protokolle sorgen. Nordkorea steht seit Jahren im Verdacht, mit professionell organisierten Hackergruppen systematisch Krypto-Werte abzuziehen, um Devisen zu generieren. Auffällig ist dabei die Mischung aus technischer Präzision, hoher Geschwindigkeit und wiederkehrenden Geldwäschestrukturen. Für die Branche bedeutet das, dass reine Perimeter-Sicherheit nicht mehr genügt; gefragt sind strenge Wallet-Trennung, laufendes Monitoring und schnelle Reaktionsketten zwischen Börsen, Analysefirmen und Behörden.

Der Fall zeigt auch, wie wichtig verifizierbare Onchain-Daten und transparente Kommunikation sind. Wenn ein Börsenangriff nicht nur intern behoben, sondern auch extern sauber dokumentiert wird, erhöht das die Chancen auf Rückverfolgung und begrenzt Panik unter Nutzern. Gleichzeitig bleibt das Risiko bestehen, dass gestohlene Mittel bereits in neue Kanäle verschoben wurden. Die kommenden Tage werden zeigen, ob Bitget einen Teil der Summe sichern kann, ob weitere Adressen identifiziert werden und ob sich der Verdacht auf nordkoreanische Gruppen weiter erhärtet.

Fazit: Der gemeldete Bitget Hack vom 24. September 2026 mit einem Schaden von rund 350 Millionen USD zählt zu den schwerwiegenden Krypto-Sicherheitsvorfällen des Jahres. Die Hinweise von Gracy Chen auf Nordkorea, die externen Blockchain-Auswertungen und die ersten Reaktionen der Börse sprechen für einen gezielten Angriff mit komplexer Geldspur. Für Nutzer ist vor allem entscheidend, wie stabil Auszahlungen und Guthaben bleiben und ob Bitget den Vorfall technisch und operativ im Griff behält. Die nächsten Schritte der Forensik werden zeigen, wie viel von den gestohlenen Mitteln noch greifbar ist.