Bitget-Hack: 351 Millionen US-Dollar über kompromittiertes Drittanbieter-Tool erbeutet

Am 24. September 2026 um 18:31 UTC wurden bei der Krypto-Börse Bitget unautorisierte Transfers aus der Hot- und Warm-Wallet-Infrastruktur festgestellt. Nach aktuellem Stand belaufen sich die Verluste auf rund 351,6 Millionen US-Dollar - einer der größten Börsen-Hacks des Jahres 2026. Bitget stoppte daraufhin vorübergehend alle Auszahlungen, Einzahlungen und Handel liefen normal weiter.

Was bisher bekannt ist

Bitget-Gründerin Gracy Chen erklärte, die Angreifer hätten kein privates Schlüsselmaterial erbeutet ("not a private key leak"), sondern ein Drittanbieter-Tool kompromittiert, das täglich im Wallet-Backend von Bitget genutzt wird. Über dieses Tool sollen gefälschte Transfer-Anweisungen erzeugt und an die Signing-Maschinen der Börse weitergereicht worden sein. Betroffen waren laut Bitget nur die Hot- und Warm-Wallet-Ebene des dreistufigen Wallet-Systems - die Cold-Storage-Reserven blieben unangetastet.

Die Sicherheitsfirmen Hacken und PeckShield meldeten die verdächtigen Wallet-Bewegungen als Erste, Behörden wurden informiert. Auffällig: Laut Berichten wurden die abgezogenen Stablecoins auffällig schnell in ETH umgetauscht, um Einfrier-Mechanismen zu umgehen - dieselbe Taktik, die die Lazarus-Gruppe beim Bybit-Hack im Februar 2025 (rund 1,5 Mrd. USD) genutzt hat. Eine offizielle Zuordnung zu Lazarus steht noch aus, die Ähnlichkeit im Vorgehen wird aber von mehreren Quellen hervorgehoben.

Reaktion von Bitget

Bitget verweist auf einen eigenen Nutzerschutzfonds mit über 464 Millionen US-Dollar, aus dem der komplette geschätzte Schaden gedeckt werden soll. Nutzerguthaben sollen unverändert korrekt angezeigt werden. Einen vollständigen Untersuchungsbericht hatte die Börse innerhalb von 24 Stunden angekündigt. Auszahlungen werden inzwischen Coin für Coin schrittweise wieder freigeschaltet, während die Sicherheitsüberprüfung für die übrigen Assets weiterläuft.

Warum das mehr ist als nur eine weitere Hack-Meldung

Der Bitget-Fall zeigt ein strukturelles Problem zentralisierter Börsen: Der Angriffspunkt war diesmal nicht die Wallet-Software selbst, sondern ein alltägliches internes Werkzeug im Backend - etwas, das Nutzer von außen nie sehen oder prüfen können. Egal wie sicher eine Börse ihre Cold Storage absichert: Sobald Gelder für den täglichen Betrieb in Hot- oder Warm-Wallets liegen, hängt ihre Sicherheit auch von jedem Drittsystem ab, das die Börse intern einsetzt. Als Nutzer hat man darauf keinerlei Einblick und keine Kontrolle.

Was das mit uns zu tun hat

Bitget ist bei dontkyc.me nicht gelistet - die Börse verlangt vollständige KYC-Verifizierung und passt damit nicht in unser Verzeichnis. Der Fall ist trotzdem lehrreich, weil er den immer gleichen Grundsatz bestätigt: Guthaben auf einer zentralisierten Börse ist ein Anspruch gegen die Börse, keine eigene Verfügungsgewalt über Coins. Wer Bitcoin oder andere Assets länger als für den aktiven Handel nötig hält, sollte sie in eine selbstverwahrte Wallet auszahlen - genau die Art von Diensten, die wir im Wallet-Bereich unseres Verzeichnisses sammeln. Für aktiven Handel bleiben Börsen praktisch, als Langzeit-Tresor sind sie ein Risiko, das man kennen sollte - unabhängig davon, wie groß oder etabliert der Anbieter ist.

Quellen: Bitcoin.com News, 24.09.2026 · CoinDesk · TechFlow