Bitget gehackt, $351,6 miljoen gestolen

Om 18:31 UTC ging er bij Bitget een alarm af. Uit de wallets van de cryptobeurs verdween in ruim een uur voor $351,6 miljoen aan munten, en tegen de tijd dat topvrouw Gracy Chen er die avond mee naar buiten kwam, had de aanvaller het grootste deel al omgezet in ether en over meerdere blockchains verspreid. Dat is geen paniek. Dat is routine.

Chen zei dat klantgeld veilig is. Het verlies past binnen het beschermingsfonds van de beurs, dat ruim $464 miljoen groot is — een pot die precies voor dit moment bestaat en er nu voor driekwart in opgaat. Opnames gingen tijdelijk op slot; storten en handelen bleven gewoon open.

Onderzoekers tellen de helft

Wie de transacties op de blockchain natelde, kwam een stuk lager uit. Blockchainanalysebedrijf Arkham Intelligence zag ongeveer $178 miljoen wegstromen. Nieuwssite Decrypt telde circa $183 miljoen. Dat is ruwweg de helft van wat de beurs zelf noemt, en waar dat verschil vandaan komt moet het incidentrapport uitwijzen.

De buit was een dwarsdoorsnede van wat er op zo'n beurs staat: ether, de stablecoins USDT en USDC, AVAX, BNB, en zelfs XAUT, een munt die door goud wordt gedekt. Arkham-analist Emmett Gallic zag overboekingen vanuit drie hot wallets én één cold wallet, terwijl Chen verklaarde dat juist de cold wallets volledig veilig bleven. Wie daarin gelijk heeft, moet het rapport uitwijzen.

Haast kostte een miljoen

Dan de omwisseling, en die is het interessantst. Op Arbitrum ging $19,7 miljoen aan USDT0 in zes minuten naar 7.111 ether, via de handelsdiensten UniswapX en 1inch Fusion, tegen ongeveer vijf procent boven de marktprijs. Dat is een dure manier van handelen. Het kostte hem zo'n miljoen dollar, en hij betaalde het zonder morren.

Daar zit ook de logica. De uitgever van een stablecoin kan munten op een adres bevriezen, en bij dit soort zaken gebeurt dat binnen enkele uren; ether kent die knop niet. Elke minuut dat de buit in USDT staat, is een minuut waarin iemand hem kan tegenhouden. Een miljoen is dan een schappelijke prijs voor zekerheid.

Daarna ging het geld door naar 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee en van daar verder naar 0x469Ac1406dE92f82C0563477240a3627057425DC, aldus Decrypt. Volgens Bitget stopten de uitgaande stromen ongeveer zes minuten nadat het verdachte verkeer begon.

Duurste maand van het jaar

Wat de beurs precies is overkomen, houdt ze voorlopig voor zich: geen woord over de aanvalsroute zolang het onderzoek loopt. Er was een incidentrapport beloofd binnen 24 uur. Op het moment van schrijven is dat er nog niet.

Zoom je uit, dan is dit de tweede klap van de maand. September stond al op ongeveer $342 miljoen aan gemelde verliezen, waarvan $320 miljoen bij Liquid Network — nog geen twee weken eerder, ook een netwerk dat werd stilgelegd, ook een aanvaller die zijn buit over meerdere ketens uitsmeerde. Met Bitget erbij komt de maand boven $684 miljoen uit, becijferde gegevensdienst DeFiLlama, en passeert september april als duurste maand van 2026.

Vijf dagen te gaan.