Bitget-Hack: Ermittlungen offenbaren erstaunliche Details
überprüft von
Mathias Wagner
Das Wichtigste in Kürze
- Ein Abschlussbericht zum Bitget-Hack von letzter Woche ging heute online. Er ist für die Öffentlichkeit abrufbar.
- Laut Sicherheitsexperten von SlowMist hatten Hacker die Krypto-Börse bereits am 31. August infiltriert. Am 25. September nutzten diese schließlich den Zugang eines Mitarbeiters, um Auszahlungen vorzunehmen.
- Dafür nutzten sie ein spezielles Werkzeug, welches das Auslösen eines Warnsystems offenbar verhindern sollte. Bitget vermutet hinter dem Vorfall die Hackergruppe Lazarus. Umgerechnet gingen 357 Millionen US-Dollar verloren.
Bitget Hack: Ermittlungen offenbaren erstaunliche Details
Die Ermittlungen rund um den Bitget-Hack sind abgeschlossen – das vermeldete das Sicherheitsunternehmen SlowMist vor wenigen Stunden. Dessen Abschlussbericht ist seither öffentlich.
Die auf den Seychellen ansässige Krypto-Börse Bitget erlitt vergangene Woche enorme Verluste, nachdem es Unbefugten gelungen war, Zugriff auf Krypto-Einlagen zu erlangen. Zum Zeitpunkt belief sich der Gegenwert der gestohlenen Coins auf rund 357 Millionen US-Dollar.
Entwendet wurden unter anderem XRP und Ethereum, verschiedene Stablecoins und die nativen Token weiterer Smart-Contract-Plattformen. Später wandelten die Hacker große Teile ihrer Beute in ETH um.
Die Umwandlung löste ihrerseits selbst einen Skandal in der Krypto-Szene aus, da die Hacker unbehelligt den DEX Thorchain nutzen konnten. Den Tausch nahmen sie mit der Absicht vor, die Kontrolle über die Gelder zu bewahren und ihre Spuren zu verwischen.
Nach SlowMists Untersuchungen ist nun klar, dass Cyberkriminelle die Systeme von Bitget schon Wochen vorher infiltriert hatten. Laut Analyse der Sicherheitsexperten sei bei Bitget selbst keine Sicherheitslücke festzustellen.
Stattdessen gelang ein Zero-Day-Exploit bei einem Partner der Krypto-Börse. Gemeinsam mit einem unbefugten Zugriff auf einen zweiten Partner des Unternehmens hätten sich die Angreifer so den Weg geebnet.
“Die frühesten bösartigen Aktivitäten lassen sich auf den 31. August datieren. Ein Dienst, der auf einem Netzknoten von Produkt A lief, wurde von einem Zero-Day-Exploit getroffen”, schreibt SlowMist dazu.
“In den Morgenstunden des 25. Septembers, hat der Angreifer auf eine Managementplattform von Produkt B über die Identität eines internen Mitarbeiters zugegriffen”, setzt man die Erklärung fort.
@bitget has engaged SlowMist’s security team to investigate the September 25 hot wallet asset theft.
As of September 29, our investigation has identified malicious activity involving certain third-party security products and a wallet application host, as well as a highly… pic.twitter.com/JQ3zoAH5Yi
— SlowMist (@SlowMist_Team) September 30, 2026
Darum nutzten die Hacker zur Auszahlung ein spezielles Werkzeug
Über versteckte Skripte und die Injektion von bösartigen Systembefehlen sei es letztlich gelungen, die Systeme von Bitget zu manipulieren, sodass der Hacker den Zugriff auf verschiedene Wallets erlangten.
SlowMist entdeckte ein “hochangepasstes Werkzeug für die Auszahlung von Kryptowährungen”. Der Angreifer hatte eine entsprechende Datei zwar noch gelöscht, allerdings gelang dessen Wiederherstellung.
Das spezielle Werkzeug soll einige Besonderheiten aufweisen. So komme es mit einem System zur Risikoanalyse daher. Auszahlungen über das Werkzeug werden dann augenscheinlich so gestaltet, dass die Sicherheitssysteme der befallenen Krypto-Börse im Idealfall nicht mehr anschlagen.
Die Auszahlungen an seine Blockchain-Adressen versuchte der Hacker anschließend zu verwischen, indem er Protokolle manipulierte.
SlowMist macht keine exakten Angaben darüber, wie viele Coins verloren und wie viele davon wiederhergestellt werden konnten. Teile der Beute wurden in Form verschiedener Stablecoins entwendet. Die Herausgeber Tether und Circle konnten diese etwa einfrieren.
Auch eine abschließende Einschätzung über die Hintergründe des Hacks liefert der Bericht nicht. Letzte Woche hatte Bitget in seinen ersten Analysen die Vermutung geäußert, dass hinter dem Angriff die berüchtigte nordkoreanische Hackergruppe Lazarus steckt.
Hinweise darauf sollen die Vorgehensweise, die genutzten Angriffsvektoren und die verwendeten Proxy-Adressen liefern.
