Bitget gab bekannt, dass der Diebstahl von Kryptowerten im Wert von 387,5 Millionen US-Dollar am 25. September 2026 darauf zurückzuführen war, dass Angreifer durch die Ausnutzung von Zero-Day-Schwachstellen in zwei Sicherheitsgeräte eines Drittanbieters in die Wallet-Umgebung des Unternehmens eindringen konnten. Dies ergaben zwei separate Untersuchungen des Blockchain-Sicherheitsunternehmens SlowMist und der Cyberabwehreinheit von Google Cloud, Mandiant.
Die Ergebnisse zeigen, dass der Einbruch nicht direkt von den Bitget-Wallets ausging, sondern von externen Sicherheitsgeräten, die in den beiden Untersuchungen als Product A und Product B bezeichnet wurden. Die Protokolle wiesen am 31. August die frühesten bösartigen Aktivitäten aus. Dabei nutzten die Angreifer einen auf einem der Product-A-Knoten laufenden Dienst aus und führten unter dem Dienstkonto ein verschleiertes Skript aus, um eine Umgebungsvariable mit dem Datenbankpasswort auszulesen und sich mit der Datenbank zu verbinden.
Von der Schwachstelle zur Wallet-Umgebung
Mandiant zufolge erlangten die Angreifer am 24. September erhöhte und nicht autorisierte Berechtigungen auf den beiden Sicherheitsgeräten. Anschließend platzierten sie eine Web Shell auf Gerät B und stellten eine Verbindung zu einem Command-and-Control-Server her. Über diesen Zugriff bewegten sie sich lateral zu einem Server für Produktions-Wallet-Aufgaben bei Bitget, auf dem sie bösartige Pakete verbreiteten.
Die Untersuchungen entdeckten außerdem Schadsoftware auf dem Server für Wallet-Aufgaben sowie ein speziell entwickeltes Drainage-Tool, das zum Starten des Diebstahls der Vermögenswerte verwendet wurde. SlowMist zufolge erfolgte die erste verdächtige Überweisung um 02:31 Uhr UTC+8, während die letzten Überweisungen um 05:23 Uhr abgeschlossen waren. Der Vorgang erstreckte sich somit über etwa drei Stunden und umfasste mehrere Blockchain-Netzwerke.
Betroffene Vermögenswerte und Netzwerke
Bitget stoppte die Auszahlungen, nachdem nicht autorisierte Überweisungen aus seinen Hot- und Warm-Wallets entdeckt worden waren. Zu den betroffenen Vermögenswerten gehörten ETH, XRP, BNB, AVAX, USDT, USDC und weitere Token, während sich die Überweisungen auf die Netzwerke Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC und Base erstreckten.
Die Vorstandsvorsitzende Gracy Chen erklärte, die Angreifer hätten ein wichtiges Backend-System innerhalb der Wallet-Infrastruktur kompromittiert und anschließend dazu genutzt, Transaktionsdaten zu fälschen. Dadurch sei der Autorisierungsmechanismus ausgelöst und Geld aus den kompromittierten Hot- und Warm-Wallets übertragen worden.
Warum ist dieser Einbruch wichtig?
Der Vorfall zeigt, dass die Abhängigkeit von Sicherheitsgeräten Dritter das Risiko eines Kettenangriffs nicht beseitigt. Der Zugriff auf eine Sicherheitsschicht im Umfeld sensibler Systeme bot den Angreifern einen Ausgangspunkt zu den Wallet-Servern und anschließend zum finanziellen Autorisierungspfad. Außerdem unterstreicht die Abfolge die Bedeutung der Überwachung vertrauenswürdiger Dienste, von Umgebungsvariablen und lateraler Bewegungen, anstatt die Überwachung auf die Vermögenswert-Wallets selbst zu beschränken.
Chen schrieb den Angriff anhand von IP-Adressmustern und einer Analyse der Transaktionen auf der Blockchain nordkoreanischen Akteuren zu. Die Quelle nennt jedoch keine bestimmte Gruppe. Ebenso veröffentlichten weder Bitget noch das veröffentlichende Unternehmen Einzelheiten zu den Schwachstellen oder die Namen der betroffenen Sicherheitsprodukte. Bitget kündigte ein Wiederherstellungsprämienprogramm an, das 5 % an Personen auszahlt, die bei der Wiedererlangung oder dem Einfrieren der gestohlenen Gelder helfen.