Ein $387,5M-Breach bei Bitget über eine Zero-Day-Lücke in Drittanbieter-Sicherheitsprodukten zeigt, dass sich die Angriffsfläche von Kryptowährungen von Blockchains auf die Vertrauensschicht verlagert hat.
Der Krypto-Lieferkettenangriff ist angekommen
Bitget verlor Ende September 387,5 Millionen US-Dollar, und die Diebe berührten niemals einen privaten Schlüssel. Sie drangen über eine Zero-Day-Schwachstelle in den Drittanbieter-Sicherheitsprodukten ein, die Bitget zum Schutz dieser Schlüssel gekauft hatte, und gaben fast drei Stunden lang betrügerische Auszahlungen über elf Blockchains aus. Die Wachen waren der Einstiegspunkt. Dieses einzelne Detail ist die gesamte Geschichte dessen, wohin Krypto-Diebstahl geht.
Wichtige Erkenntnisse
- Der September-2026-Breach bei Bitget war ein Lieferkettenangriff: eine Zero-Day-Lücke in zwei nicht genannten Sicherheitsgeräten, nicht ein defekter Schlüssel oder ein Smart-Contract-Bug.
- Angreifer sind in der Schichtenhierarchie aufgestiegen. Die Basis-Blockchains hielten stand. Der Klebstoff nicht – Sicherheits-Tools, Multisig-Wrapper, Bridges, Intent-Solver und Governance-Abstimmungen sind jetzt die bevorzugte Angriffsfläche.
- Dies ist die Gründungsidee der Krypto-Welt, die nun zur Wahrheit wird: Die Branche wollte die vertrauenswürdige dritte Partei abschaffen, hat sie aber stillschweigend auf jeder Ebene wieder eingeführt, nur unter einem anderen Namen als Sicherheitsanbieter oder Custodian-Multisig.
- Die Gewinner sind die Detektions- und Zuordnungsschicht — SlowMist, Mandiant, Elliptic, TRM Labs. Die Verlierer sind mittelgroße Plattformen, die ihre Sicherheit auslagern und das als erledigt abhaken.
Was ist bei Bitget tatsächlich passiert?
Der Verstoß war kein Wallet-Hack. Laut den forensischen Untersuchungen nach dem Vorfall von SlowMist und dem Google-eigenen Mandiant nutzten Angreifer eine Zero-Day-Lücke in mindestens zwei Drittanbieter-Sicherheitsappliances – in dem Bericht als Produkt A und Produkt B bezeichnet – die Bitget zur Absicherung seiner Infrastruktur eingesetzt hatte. Von dort aus führten sie versteckte Skripte aus, zogen Datenbankzugangsdaten aus Umgebungsvariablen, legten einen Web-Shell für Command-and-Control ab und bewegten sich lateral auf den Produktions-Wallet-Job-Server von Bitget.
Dann setzten sie ein maßgeschneidertes Abhebungstool ein, das auf Bitgets exakter Abhebungslogik basierte. Es wurde am 25. September um 01:49 Uhr aktiviert und leerte Vermögenswerte über elf Blockchains hinweg — Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand und Celestia — wobei der größte Einzelverlust pro Chain bei rund 83 Millionen US-Dollar in XRP lag. SlowMist verfolgte die frühesten bösartigen Aktivitäten bis zum 31. August zurück, was bedeutet, dass die Angreifer fast einen Monat lang im Netzwerk aktiv waren, bevor sie zuschlugen. Bitgets CEO Gracy Chen erklärte, dass die Cold Wallets und privaten Schlüssel niemals kompromittiert wurden — und die Tatsache, dass Hunderte von Millionen an Token weiterhin unangetastet in den betroffenen Adressen verblieben, untermauert dies.
Die Zuordnung betrifft einen bekannten Namen: Nordkoreas Lazarus-Gruppe, die von Elliptic und TRM Labs aufgrund von IP-Verhalten und Wallet-Überschneidungen identifiziert wurde. Es ist dasselbe Vorgehen wie beim 1,5-Milliarden-Dollar-Bybit-Diebstahl im Februar 2025. Liest man einen Post-Mortem, hat man das Gefühl, sie alle gelesen zu haben – außer diesem, denn dieser ist schlimmer, weil das Versagen dort auftrat, wofür Bitget bezahlt hat, um alles andere sicher zu halten.
Wer gewinnt, wenn die Wachen zum Einstiegspunkt werden?
Der Bitget-Breaching-Vorfall geschah nicht isoliert. Er fiel in einen zweiwöchigen Cluster, der genau zeigt, wo die Branche verwundbar ist. Am 1. Oktober pausierte NEAR Intents — die Cross-Chain-Swap-Schicht, die Volumen über mehr als 35 Blockchains hinweg routet — nach einem Fehler in ihrem Omni-Einzahlungs-Abhebungsmodul, der es einem Angreifer ermöglichte, etwa 3,8 Millionen US-Dollar in USDT aus einem BNB-Chain-Vault zu leeren. Die Basisschichten wurden nie berührt; der Klebstoff zwischen ihnen versagte. Am 2. Oktober wurde ein Drittanbieter-Adapter namens FlashLoopAdapter, der auf Aave v3 aufbaut, verwendet, um etwa 305.000 US-Dollar aus Safe-Multisig-Wallets zu leeren, indem ein Modul-Check gefälscht wurde. Am 4. Oktober verlor ein Vault auf Base etwa 6 Millionen US-Dollar in gestapeltem Ether durch Manipulation einer Safe-Multisig-Whitelist. Am 6. Oktober verlor das Treasury von Onyx DAO 620 Millionen XCN — etwa 2,9 Millionen US-Dollar — als ein Angreifer einen bösartigen Vorschlag vollständig durch Quorum, Schwellenwert und eine Zwei-Tage-Wartezeit drückte.
Keines davon war ein "Blockchain"-Versagen. Die Konsensschichten, die Validator-Sets, die Kryptographie – alles hielt stand. Was jedes Mal versagte, war die Vertrauensschicht darüber: das Sicherheitsgerät, die Multisig-Umhüllung, das Bridge-Modul, die Governance-Abstimmung. CertiK zählte September 2026 als den schlechtesten Monat des Jahres für Krypto-Verluste mit rund 766 Millionen US-Dollar. Die Richtung ist eindeutig.
Die Gewinner sind leicht zu benennen. Der Stack aus Detektion und Attribution – SlowMist, Mandiant, Elliptic, TRM Labs, Chainalysis – ist gerade zur wertvollsten Immobilie im Krypto-Bereich geworden, denn wenn Einbrüche nicht verhindert werden können, ist die Fähigkeit, Diebe einzufrieren, zurückzuverfolgen und bloßzustellen, der einzige verbliebene Schutzgraben. Die Börsen, die groß genug sind, um sich selbst zu versichern und Nutzer aus einem Schutzfonds zu entschädigen, konsolidieren das Vertrauen. Alle anderen bluten aus.
Hat sich das nicht schon einmal ereignet?
Ja – und genau das ist der Punkt. Krypto hat ein Jahrzehnt damit verbracht, jeden neuen Hack als neuartig darzustellen, obwohl es sich im Grunde um dieselbe Lektion in anderer Verkleidung handelt. Mt. Gox im Jahr 2014 war ein Versagen der Custody. Die Bridge-Hacks von Ronin und Harmony im Jahr 2022 waren ein Versagen der Middleware. Der Diebstahl bei Bybit 2025 war ein Versagen der Multi-Signatur-Schnittstelle. Bitget 2026 ist ein Versagen der Lieferkette: Der Sicherheitsanbieter selbst war der Angriffsvektor.
Das Muster ist keine Serie von Pech. Es ist ein eisernes Gesetz. Geld konzentriert sich dort, wo der neueste, komplexeste Code den größten Wert berührt – und Angreifer folgen dem Geld die Schichtenkette hinauf, schneller als jemand die von ihnen hinzugefügten Schichten überprüft. Die Blockchains selbst gehören nun zu den am häufigsten überprüften Softwareprodukten der Erde, was genau der Grund ist, warum sich der Angriff woanders hingebewegt hat. Ein Dieb überfällt ein Haus durch das Fenster, nicht, indem er die Mauer einreißt.
Wohin führt das in den nächsten ein bis drei Jahren?
Drei Dinge stehen bevor, und sie sind alle bereits sichtbar. Erstens werden Supply-Chain-Angriffe auf den Krypto-Sicherheitsstack zum dominierenden Diebstahlvektor, so wie sie es bereits in der traditionellen Software sind – rechnen Sie innerhalb von zwei Jahren mit einem SolarWinds-Moment für einen großen Custodian, eine Börse oder einen Hardware-Wallet-Hersteller. Zweitens stirbt das Slogan „Not your keys, not your coins“ leise. Self-Custody schützt Sie vor den Schlüsseln der Börse; sie hilft Ihnen nichts, wenn der Multisig-SaaS, die Bridge oder das Sicherheitsgerät das ist, was versagt. Das ehrliche Risikomodell ist nicht mehr binär – es ist eine Frage der Vertrauensschicht, der Sie ausgesetzt sind, und Sie können sich nicht von allen davon abkoppeln.
Drittens, und das ist der Teil, den nur wenige laut aussprechen wollen: Das Gründungversprechen der Branche war es, die vertrauenswürdige dritte Partei zu eliminieren. Es ist gescheitert. Skalierung erforderte die Wiedereinführung von Vertrauen auf jeder Ebene – Sicherheitsanbieter, Custodian-Multisigs, RPC-Anbieter, Intent-Solver, Sequencer – und jede davon führte genau den konzentrierten Ausfallspunkt wieder ein, den Krypto überflüssig machen sollte. Wir haben den Mittelsmann nicht entfernt. Wir haben ihn nur in einen Hoodie eines Sicherheitsanbieters gehüllt und aufgehört, ihn zu überprüfen.
Was bedeutet das für jeden, der Krypto hält?
Werfen Sie den falschen Trost von „die Blockchain ist sicher“ weg. Die Blockchain war nie das Risiko; sie ist das unwahrscheinlichste Element, das versagen könnte. Führen Sie den tatsächlich relevanten Exposure-Audit durch: Nennen Sie jede Middleware-Schicht, die bei einer bestimmten Transaktion mit Ihren Mitteln in Berührung kommt – die Bridge, der Solver, der Vault, der Multisig. Wenn Sie ihn nicht nennen können, vertrauen Sie ihm blind. Beobachten Sie Token-Genehmigungen und widerrufen Sie die veralteten; eine unbegrenzte Genehmigung für einen kompromittierten Vertrag wandelt einen einzigen Bug in Ihren persönlichen Verlust um. Und wenn etwas versagt, fragen Sie, welche Schicht versagt hat, bevor Sie in Panik verfallen – das Token, die Chain und das Protokoll sind oft in Ordnung, während die dazwischenliegende Infrastruktur nicht in Ordnung ist.
Die strategische Einschätzung ist schärfer. Plattformen, die Sicherheit als einen Stapel betrachten, den sie zusammenbauen und dann vergessen, sind strukturell zum Scheitern verurteilt; diejenigen, die Incident Response, On-Chain-Attribuierung und Vendor-Risiko als Kernprodukt betrachten, sind diejenigen, bei denen es sich lohnt, Exposure zu halten. Bitget hat die Nutzer aus einem Schutzfonds vollständig entschädigt und kooperiert mit den Ermittlern – diese Haltung, nicht irgendein Audit-Siegel, ist das Signal, das man beobachten sollte.
Hier ist die Frage, die es wert ist, gestellt zu werden: Wenn die Unternehmen, die wir für die Absicherung von Kryptowährungen bezahlen, nun die schwächste Gliedkette im Kryptobereich sind, wofür bezahlen wir dann genau – für Sicherheit oder für das Gefühl von Sicherheit? Bis die Branche beginnt, ihre Vertrauensschicht mit derselben Paranoia zu überprüfen, mit der sie ihre Smart Contracts prüft, wird die Antwort weiterhin die zweite sein. Und die Hacker wissen das.
FAQ
Hat Bitget seinen privaten Schlüssel kompromittiert? Nein. Bitget bestätigte, dass die Cold Wallets und privaten Schlüssel niemals zugänglich waren. Die Angreifer nutzten eine Zero-Day-Lücke in Drittanbieter-Sicherheitsprodukten, um interne Zugangsdaten zu stehlen und betrügerische Auszahlungsanweisungen direkt gegen die Wallet-Backend zu senden – die Schlüssel blieben sicher, der Prozess um sie herum nicht.
Wer steckte hinter dem Bitget-Hack? Ermittler stufen ihn als das nordkoreanische Lazarus-Group ein, basierend auf IP-Verhalten, On-Chain-Mustern und Wallet-Überschneidungen mit früheren, staatlich verbundenen Diebstählen. Die Technik ähnelt dem 1,5-Milliarden-Dollar-Bybit-Angriff vom Februar 2025.
Was ist ein Supply-Chain-Angriff in der Krypto-Welt? Es handelt sich um einen Angriff, der einen Anbieter oder ein Tool kompromittiert, auf das das Ziel vertraut – hier die von Bitget eingesetzten Sicherheitsappliances – anstatt das Ziel selbst. Der Angreifer dringt über die vertrauenswürdige Drittanbieter-Software ein und wechselt dann in die Kernsysteme des Opfers.
Werden Blockchains selbst unsicherer? Nein. Die Konsensschichten und die Kryptografie blieben in jedem der jüngsten Vorfälle intakt. Die Ausfälle liegen in der Middleware und der Vertrauensschicht oberhalb der Chain – Bridges, Multisig-Wrapper, Intent-Solver, Sicherheitstools und Governance –, wo Angreifer derzeit ihren Schwerpunkt setzen.