Bitget verhoogt schade na diefstal tot $387,5 miljoen

Bij cryptobeurs Bitget is op 24 september circa $387,5 miljoen naar adressen van een aanvaller overgemaakt. De beurs verhoogde haar eerste schatting van $351,6 miljoen nadat ook transacties op Zcash en Tron waren meegeteld. De overdrachten hoorden volgens Bitget al bij het oorspronkelijke incident.

De aanvaller drong volgens een verklaring van Bitget-topvrouw Gracy Chen binnen in een belangrijk back-endsysteem voor wallets, vervalste transfergegevens en activeerde daarmee Bitgets eigen autorisatie- en ondertekenproces. De privésleutels bleven volgens Bitget buiten bereik. Blockchainanalysebedrijf Bitquery stelde vast dat de transacties door wallets van Bitget zelf waren ondertekend.

Bitgets analyseleverancier Chainalysis schrijft de aanval zonder voorbehoud toe aan Noord-Korea. De geraadpleegde bronnen bevatten daarvoor geen bevestiging van politie of justitie. De analysebedrijven TRM Labs en BlockSec laten de identiteit open, terwijl Elliptic een Noord-Koreaanse koppeling “zeer waarschijnlijk” noemt.

Overboekingen volgden elkaar snel op

Bitquery reconstrueerde 21 overdrachten op acht blockchains tussen 18.31 en 21.23 uur UTC, waaronder drie kleine tests. Om 19.01 uur gingen binnen vijftien seconden transacties uit op vijf blockchains. Een kwartier later gebeurde dat opnieuw, nu binnen negen seconden. De laatste overdracht volgde 2 uur en 52 minuten na het door Bitget genoemde detectiemoment.

Het analysebedrijf waardeerde die 21 transacties tegen uurprijzen op $357,4 miljoen. Chainalysis telt 23 overdrachten in de eerste drie uur en komt afgerond uit op $387 miljoen; zijn publicatie laat de transactielijst en gebruikte koersen achterwege. Bitget verklaart zijn eigen hogere eindraming door de later toegevoegde Zcash- en Tron-activa. De bedragen meten daardoor verschillende verzamelingen tegen verschillende koersmomenten.

Volgens Chainalysis zat 49,7 procent van de gestolen waarde op Ethereum, 40,8 procent op XRP Ledger, 7,6 procent op Zcash en 1,8 procent op Tron. Bitget noemt daarnaast cryptomunten op BNB Chain en Avalanche als getroffen activa.

De openbare aanwijzingen voor Noord-Korea bestaan volgens nieuwszender CNBC uit IP-adressen van VPN-diensten die eerder door een Noord-Koreaanse hackgroep zouden zijn gebruikt, plus overeenkomsten met eerdere aanvalspatronen. Chainalysis laat bij zijn stellige toeschrijving IP-adressen, malwarekenmerken, walletadressen en andere concrete indicatoren achterwege.

Geld stroomde door meerdere diensten

Na de diefstal verplaatste de aanvaller tegoeden via verschillende diensten die cryptomunten tussen blockchains overzetten. Verdere routes liepen via ruildiensten en THORChain. Beveiligingsbedrijf BlockSec zag daarbij overlap met witwasroutes na eerdere diefstallen bij onder meer Bybit en AFX Bridge. Dat wijst volgens het bedrijf directer op gedeelde witwassers dan op dezelfde aanvallers.

BlockSec schatte op 29 september dat gekoppelde adressen nog circa $342 miljoen, of 88,3 procent van de gestolen waarde beheersten. Ongeveer $3,9 miljoen was toen in verhullende bitcointransacties beland. Een optelsom van de gemeten doorvoer langs verschillende diensten zou overlappende bedragen dubbeltellen.

Circa $840.000 was publiek zichtbaar geblokkeerd of tijdens uitvoering vastgehouden, waarvan ongeveer $340.000 door de uitgevers Tether en Circle en circa $503.000 door NEAR Intents. De status bleef blokkade of inhouding; terugbetaling aan Bitget is onbekend. De beurs zegt dat haar beschermingsfonds de schade dekt en dat de klanttegoeden kloppen.

TRM telde vóór Bitget circa $690 miljoen aan Noord-Korea toegeschreven cryptodiefstallen in 2026. Alleen wanneer Bitget wordt meegeteld, komt dat totaal boven $1 miljard. De diefstal staat vast; de staatsattributie blijft een inschatting van analysebedrijven.