Bei der Kryptobörse Bitget sind nach eigenen Angaben rund 351,6 Millionen Dollar aus Hot- und Warm-Wallets abgeflossen. Drei Tage nach dem Angriff können Kunden weiterhin handeln und neue Gelder einzahlen, aber noch nicht frei über ihre Bestände verfügen. Die Auszahlungen sollen erst ab Montag schrittweise zurückkehren.
Bitget versichert, dass Kundengelder sicher seien und der eigene Schutzfonds den Schaden vollständig abdecke. Das ist eine wichtige Zusage, aber noch kein abgeschlossener Nachweis. Für Anleger zählt im Ernstfall nicht nur der Kontostand auf dem Bildschirm, sondern ob sich Vermögen tatsächlich auf eine eigene Wallet übertragen lässt.
Der Angriff traf die beweglichen Börsenbestände
Bitget entdeckte die unautorisierten Überweisungen am 24. September um 18.31 Uhr koordinierter Weltzeit. Betroffen war nach Darstellung des Unternehmens ein Teil der Hot- und Warm-Wallet-Infrastruktur. Diese Wallets halten Vermögenswerte für den laufenden Börsenbetrieb bereit und sind deshalb stärker mit internen Systemen verbunden als reine Cold Wallets.
Die Cold Wallets seien nicht betroffen. Bitget erklärte außerdem, die zugrunde liegende Schwachstelle identifiziert und behoben zu haben. Unabhängige Fachleute von Mandiant und SlowMist unterstützten die Untersuchung. Ein vollständiger technischer Bericht mit nachvollziehbarer Ursachenanalyse lag am Sonntagmorgen jedoch noch nicht öffentlich vor.
Einzahlungen offen und Auszahlungen geschlossen
Der eigentliche Aufreger liegt in der unterschiedlichen Behandlung der Geldströme. Bitget ließ Einzahlungen und den Handel weiterlaufen, setzte Auszahlungen aber für alle Nutzer aus. Aus Sicht der Börse verhindert diese Sperre weitere Verluste während der Sicherheitsprüfung. Aus Kundensicht bedeutet sie, dass Vermögen zwar intern gehandelt, aber nicht aus dem System gebracht werden kann.
Eine solche Maßnahme kann nach einem Angriff vernünftig sein. Sie erinnert Anleger aber daran, dass ein Börsenguthaben kein frei kontrolliertes Wallet-Guthaben ist. Solange eine Plattform die Auszahlung stoppt, besitzt der Nutzer nur einen Anspruch gegen den Betreiber und keine unmittelbare Verfügungsgewalt über die privaten Schlüssel.
Bitcoin soll am Montag zuerst freigegeben werden
Bitget hat inzwischen einen gestaffelten Zeitplan veröffentlicht. Bitcoin-Auszahlungen sollen am 28. September um 8 Uhr koordinierter Weltzeit wieder beginnen. Das entspricht 10 Uhr deutscher Zeit. Ether soll am 29. September folgen, USDT am 30. September. Andere Token sowie Fiat- und P2P-Auszahlungen sind für den 2. Oktober vorgesehen.
Der Plan ist eine Ankündigung und keine Garantie dafür, dass jede Auszahlung zu diesem Zeitpunkt reibungslos funktioniert. Nach einer mehrtägigen Sperre kann sich aufgestaute Nachfrage bilden. Zusätzliche Sicherheitsprüfungen, Limits oder technische Verzögerungen sind möglich. Nutzer sollten deshalb die offiziellen Statusmeldungen verfolgen und nicht auf Links aus E-Mails oder sozialen Netzwerken reagieren.
Der Schutzfonds wird jetzt zum Stresstest
Bitget beziffert seinen Nutzer-Schutzfonds auf mehr als 464 Millionen Dollar. Damit wäre der offiziell bestätigte Schaden von 351,6 Millionen Dollar rechnerisch gedeckt. Offen bleibt, wie liquide die Fondsbestände sind, zu welchen Marktpreisen sie bewertet werden und in welchem Verfahren sie zur Verlustdeckung eingesetzt werden.
Ein Fonds ist nur so belastbar wie seine verfügbaren Vermögenswerte und seine Regeln. Anleger sollten deshalb nicht allein auf eine große Dollarzahl vertrauen. Entscheidend wird sein, ob alle Auszahlungswünsche erfüllt werden, ob die Börse die Zusammensetzung des Fonds transparent belegt und welche Verluste letztlich in der Unternehmensbilanz landen.
Was deutsche Nutzer jetzt tun können
- Keine Paniküberweisung vorbereiten Zieladresse und Netzwerk sollten schon vor der Freigabe sorgfältig geprüft werden. Ein Angriff auf die Börse rechtfertigt keinen Fehler bei der eigenen Auszahlung.
- Mit einer kleinen Testsumme beginnen Sobald Auszahlungen wieder möglich sind, kann eine kleine erste Transaktion zeigen, ob Adresse, Netzwerk und Gutschrift funktionieren.
- Kontostand und Verlauf sichern Screenshots, Handelsabrechnungen sowie Ein- und Auszahlungsnachweise helfen bei späteren Rückfragen und bei der Steuerdokumentation.
- Phishing erwarten Angreifer nutzen Sicherheitsvorfälle für gefälschte Entschädigungsseiten. Seed Phrase, Passwort und Zwei-Faktor-Codes gehören niemals in ein angebliches Rückerstattungsformular.
- Langfristige Bestände trennen Vermögen, das nicht aktiv gehandelt wird, sollte nicht allein aus Bequemlichkeit dauerhaft auf einer Börse liegen.
Warum dieser Hack größer ist als eine Verlustzahl
Der Angriff stellt nicht nur die Sicherheit einer einzelnen Börse infrage. Er trifft das zentrale Versprechen großer Handelsplätze, dass interne Kontrollen, getrennte Wallet-Schichten und Schutzfonds das Gegenparteirisiko beherrschbar machen. Wenn ein Backend-System gefälschte Transaktionsdaten akzeptiert, können selbst intakte private Schlüssel nutzlos sein.
Die wichtige Trennlinie verläuft deshalb nicht nur zwischen Hot und Cold Wallet. Sie verläuft zwischen eigener Kontrolle und dem Vertrauen in die Prozesse eines Unternehmens. Cold Storage beim Betreiber bleibt fremdverwahrt. Erst eine Auszahlung auf eine selbst kontrollierte Wallet beseitigt das Börsenrisiko, schafft dafür aber neue Verantwortung für Schlüssel und Sicherungen.
Am Montag beginnt die eigentliche Bewährungsprobe
Bitget hat schnell reagiert, den Vorfall bestätigt und einen Zeitplan vorgelegt. Das spricht für eine geordnetere Krisenkommunikation als bei vielen früheren Börsenpleiten. Dennoch bleibt die entscheidende Leistung noch aus. Die Plattform muss beweisen, dass Kunden ihre ausgewiesenen Bestände tatsächlich abziehen können.
Für Anleger ist der Fall eine teure Erinnerung an eine alte Krypto-Regel. Wer seine privaten Schlüssel nicht selbst hält, trägt zusätzlich zum Kursrisiko immer das Betriebsrisiko der Börse. Der Schutzfonds kann den finanziellen Schaden begrenzen. Die verlorene Verfügungsfreiheit während einer Auszahlungsstoppung ersetzt er nicht.
Quellen
- Bitget mit der Sicherheitsmeldung vom 24. September 2026
- Bitget mit dem Zeitplan zur Wiederaufnahme der Auszahlungen
- CoinDesk mit der Einordnung des bestätigten Sicherheitsvorfalls
Disclaimer
Keine Anlageberatung: Dieser Artikel dient der journalistischen Information und Einordnung. Kryptowährungen und die Verwahrung auf zentralen Börsen sind mit erheblichen Kurs-, Technik-, Betrugs- und Gegenparteirisiken verbunden. Verluste bis hin zum Totalverlust sind möglich.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.