Een inbraak van $387,5M bij Bitget via een zero-day in third-party security products toont aan dat het aanvalsoppervlak van crypto is verschoven van blockchains naar de trust layer.
De Crypto Supply-Chain Aanval is Aangekomen
Bitget verloor eind september $387,5 miljoen, en de dieven raakten nooit een private key aan. Ze liepen naar binnen via een zero-day kwetsbaarheid in de third-party security products die Bitget had aangeschaft om die keys te beschermen, en gaven vervolgens bijna drie uur lang frauduleuze opnames uit over elf blockchains. De bewakers waren het toegangspunt. Dat ene detail is het hele verhaal van waarheen cryptodiefstallen zich ontwikkelen.
Belangrijkste punten
- De inbraak bij Bitget in september 2026 was een supply-chain aanval: een zero-day in twee niet bij naam genoemde security appliances, geen gebroken key of smart-contract bug.
- Aanvallers zijn omhoog gegaan in de stack. De basis chains hielden stand. De lijm niet — security tools, multisig wrappers, bridges, intent solvers en governance votes zijn nu het voorkeursaanvalsoppervlak.
- Dit is de oprichtingsironie van crypto die nu ophoort: de industrie streefde naar het elimineren van de vertrouwde derde partij, maar importeerde er stilletjes een in op elk laag, herbrand als een beveiligingsleverancier of een custodian multisig.
- De winnaars zijn de detectie- en attributielagen — SlowMist, Mandiant, Elliptic, TRM Labs. De verliezers zijn middelgrote platforms die veiligheid uitbesteden en het als afgerond beschouwen.
Wat er precies gebeurde bij Bitget?
De inbreuk was geen wallet-hack. Volgens de forensische analyses na het incident van SlowMist en Google-owned Mandiant, hebben aanvallers een zero-day-exploit gebruikt in ten minste twee third-party security appliances — het rapport noemt ze Product A en Product B — die Bitget had geïmplementeerd om zijn infrastructuur te verdedigen. Van daaruit voerden ze verborgen scripts uit, haalden database-credentials uit environment variables, plaatsten een web shell voor command-and-control, en bewogen ze lateraal naar de productie-wallet-jobserver van Bitget.
Vervolgens implementeerden ze een op maat gemaakt withdrawal-tool, afgestemd op de exacte withdrawal-logica van Bitget. Deze werd geactiveerd om 01:49 uur op 25 september en leegde activa over elf chains — Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand en Celestia — met het grootste verlies per individuele chain van ongeveer $83 miljoen in XRP. SlowMist traceerde de eerste schadelijke activiteit terug tot 31 augustus, wat betekent dat de aanvallers bijna een maand in het netwerk verbleven voordat ze toesloegen. Bitget's eigen CEO, Gracy Chen, verklaarde dat de cold wallets en private keys nooit zijn gecompromitteerd — en het feit dat honderden miljoenen tokens nog steeds onaangetast achterbleven in de getroffen adressen, bevestigt dit.
De toewijzing is een bekende naam: de Lazarus Group van Noord-Korea, gemarkeerd door Elliptic en TRM Labs op basis van IP-gedrag en wallet-overlappen. Het is hetzelfde modus operandi als de $1,5 miljard Bybit-diefstal van februari 2025. Lees één post-mortem en je hebt het gevoel ze allemaal gelezen te hebben — behalve deze, want deze is erger, omdat het ding dat faalde precies dat was waar Bitget voor betaalde om alles anders veilig te houden.
Wie wint als de bewakers het toegangspunt worden?
De Bitget-inbraak vond niet geïsoleerd plaats. Het viel samen met een cluster van twee weken dat precies laat zien waar de industrie kwetsbaar is. Op 1 oktober pauzeerde NEAR Intents — de cross-chain swap-laag die volume routeert over meer dan 35 blockchains — na een bug in de Omni deposit-withdrawal-module die een aanvaller in staat stelde ongeveer $3,8 miljoen aan USDT uit een BNB Chain-vault te leeghalen. De basislagen werden nooit geraakt; de lijm ertussen faalde. Op 2 oktober werd een third-party adapter genaamd FlashLoopAdapter, gebouwd bovenop Aave v3, gebruikt om ongeveer $305.000 uit Safe multisig-portefeuilles te stelen door een modulecontrole te spoofen. Op 4 oktober verloor een vault op Base ongeveer $6 miljoen in gewrapped gestaked ether door manipulatie van een Safe multisig-whitelist. Op 6 oktober verloor de schatkist van Onyx DAO 620 miljoen XCN — ongeveer $2,9 miljoen — toen een aanvaller een kwaadaardig voorstel door de quorum, de drempel en een tweedagse timelock duwde.
Geen van deze waren "blockchain"-fouten. De consensuslagen, de validator-sets, de cryptografie — alles hield stand. Wat elke keer faalde, was de laag van vertrouwen die erbovenop zat: het beveiligingsapparaat, de multisig-wrapper, de bridge-module, het governance-stemproces. CertiK telde september 2026 op als de slechtste maand van het jaar voor crypto-verliezen, met ongeveer $766 miljoen. De richting is ondubbelzinnig.
De winnaars zijn eenvoudig te noemen. De detectie- en attributielaag — SlowMist, Mandiant, Elliptic, TRM Labs, Chainalysis — is net crypto's meest waardevolle vastgoed geworden, omdat wanneer de inbraak niet kan worden voorkomen, het vermogen om de dief te bevriezen, te traceren en te schandvleken de enige verdedigingsgracht is die overblijft. De beurzen die groot genoeg zijn om zichzelf te verzekeren en gebruikers terug te betalen uit een beschermingsfonds consolideren vertrouwen. Iedereen anders bloedt uit.
Is dit niet eerder gebeurd?
Ja — en dat is het punt. Crypto heeft een decennium lang gedaan alsof elke nieuwe hack uniek is, terwijl het eigenlijk dezelfde les is in een ander kostuum. Mt. Gox in 2014 was een custodiefout. De bridge-hacks van Ronin en Harmony in 2022 waren middleware-fouten. De Bybit-inbraak van 2025 was een fout in de multi-sig ondertekeningsinterface. Bitget 2026 is een supply-chain-fout: de beveiligingsleverancier zelf was de vector.
Het patroon is geen reeks van pech. Het is een ijzeren wet. Geld concentreert zich waar de nieuwste, meest complexe code de meeste waarde raakt — en aanvallers volgen het geld de stack op sneller dan iemand de lagen die ze toevoegen auditeert. De blockchains zelf zijn nu een van de meest geauditeerde software ter wereld, wat precies de reden is waarom de aanval elders is verplaatst. Een dief berooft een huis via het raam, niet door de muur te slopen.
Waar gaat dit naartoe in de komende een tot drie jaar?
Er komen drie dingen, en ze zijn allemaal al zichtbaar. Ten eerste zullen supply-chain-aanvallen op de crypto-beveiligingsstack de dominante diefstalvector worden, net zoals ze dat al zijn in traditionele software — verwacht een SolarWinds-moment voor een grote custodian, exchange of hardware-wallet-leverancier binnen twee jaar. Ten tweede sterft het "not your keys, not your coins"-slogan stilzwijgend. Self-custody beschermt je tegen de sleutels van de exchange; het doet niets voor je wanneer de multisig SaaS, de bridge of het beveiligingsapparaat het ding is dat faalt. Het eerlijke risicomodel is niet langer binair — het is een vraag van welke trust-layer je blootstaat, en je kunt niet uit alle opt-outen.
Ten derde, en dit is het deel dat weinig mensen hardop willen zeggen: de oorspronkelijke belofte van de industrie was om de vertrouwde derde partij te elimineren. Het faalde. Schaalbaarheid vereiste het opnieuw importeren van vertrouwen op elk niveau — beveiligingsleveranciers, custodian multisigs, RPC-aanbieders, intent solvers, sequencers — en elk voerde precies het geconcentreerde falingspunt opnieuw in dat crypto obsolete had moeten maken. We hebben de tussenpersoon niet verwijderd. We hebben hem alleen een hoodie van een beveiligingsleverancier gegeven en hem niet meer geauditeerd.
Wat betekent dit voor iedereen die crypto vasthoudt?
Laat de valse troost van "de blockchain is veilig" vallen. De blockchain was nooit het risico; het is het minst waarschijnlijke ding om te falen. Voer de blootstellingsaudit uit die er echt toe doet: noem elke middleware-layer die je fondsen raakt in een bepaalde transactie — de bridge, de solver, de vault, de multisig. Als je het niet kunt noemen, vertrouw je het blind. Houd token-goedkeuringen in de gaten, en herroep de verouderde; een onbeperkte goedkeuring voor een gecompromitteerd contract zet één bug om in je persoonlijke verlies. En als er iets faalt, vraag dan welke laag faalde voordat je in paniek raakt — de token, de chain en het protocol zijn vaak in orde terwijl de leidingen ertussen het niet zijn.
De strategische analyse is duidelijker. Platforms die beveiliging zien als een stapel die ze in elkaar zetten en daarna vergeten, zijn structureel gedoemd; degenen die incidentrespons, on-chain attributie en leveranciersrisico als kernproduct beschouwen, zijn degenen waarbij het de moeite waard is om blootstelling te behouden. Bitget heeft gebruikers volledig vergoed uit een beschermingsfonds en werkt samen met onderzoekers — deze houding, en geen enkele audit-badge, is het signaal om in de gaten te houden.
Hier is de vraag die het waard is om te stellen: als de bedrijven die we betalen om crypto te beveiligen nu de zwakste schakel in crypto zijn, waar betalen we dan precies voor — veiligheid, of het gevoel van veiligheid? Tot de industrie begint met het auditen van haar trust layer met dezelfde paranoïde zorgvuldigheid waarmee ze haar smart contracts auditeert, zal het antwoord steeds het tweede zijn. En de hackers weten dat.
FAQ
Was Bitget's privésleutel gecompromitteerd? Nee. Bitget bevestigde dat de cold wallets en privésleutels nooit zijn benaderd. De aanvallers gebruikten een zero-day kwetsbaarheid in third-party beveiligingsproducten om interne inloggegevens te stelen en frauduleuze opnamecommando's rechtstreeks tegen de wallet-backend uit te voeren — de sleutels bleven veilig, het proces eromheen niet.
Wie zat achter de Bitget-hack? Onderzoekers duiden het als de Noord-Koreaanse Lazarus Group, op basis van IP-gedrag, on-chain patronen en wallet-overlap met eerdere door staten gelinkte roofacties. De techniek lijkt op de inbraak van $1,5 miljard bij Bybit in februari 2025.
Wat is een supply-chain-aanval in crypto? Het is een aanval waarbij een leverancier of tool die het doelwit gebruikt, wordt gecompromitteerd — hier de beveiligingsapparatuur die Bitget heeft ingezet — in plaats van het doelwit zelf. De aanvaller breekt in via de vertrouwde software van de derde partij en maakt vervolgens een overstap naar de kernsystemen van het slachtoffer.
Worden blockchains zelf minder veilig? Nee. De consensuslagen en cryptografie bleven in elk van de recente incidenten intact. De fouten zitten in de middleware en de trustlaag bovenop de chain — bridges, multisig wrappers, intent solvers, beveiligingstools en governance — waar aanvallers zich nu concentreren.