Seit dem Angriff auf Bitget am 24. September entwickelt sich der Fall damit zunehmend zu einer öffentlichen Verfolgungsjagd auf der Blockchain. Während Bitget versucht, gestohlene Gelder einzufrieren, bewegen die Angreifer beziehungsweise mutmaßliche Geldwäscher die Kryptowährungen über verschiedene Blockchains und dezentrale Swap-Dienste weiter.
Das ist seit dem Bitget-Hack passiert
- Bitget korrigierte den Gesamtschaden von zunächst 351,6 auf 387,5 Millionen US-Dollar.
- Unter den gestohlenen Kryptowährungen befanden sich fast 103 Millionen XRP.
- Mindestens 54 Millionen XRP verließen anschließend die ursprünglichen Hacker-Wallets.
- Der Wert der bereits bewegten XRP lag zeitweise bei rund 83 Millionen Dollar.
- Gestohlene Kryptowährungen werden über Cross-Chain-Dienste zunehmend in Richtung Bitcoin bewegt.
- Mutmaßliche Geldwäscher baten öffentlich um Hilfe bei fehlgeschlagenen XRP-zu-Bitcoin-Swaps.
- THORChain lehnte eine gezielte Sperrung der bekannten Hacker-Adressen ab.
- NEAR Intents blockierte nach eigenen Angaben Transaktionsversuche von mehr als 50 Millionen Dollar.
- Bitget hat unterdessen begonnen, Auszahlungen schrittweise wieder freizugeben.
83 Millionen Dollar in XRP verlassen Hacker-Wallets
Ein neuer Bericht von CoinDesk zeigt, wie schnell sich insbesondere die gestohlenen XRP inzwischen bewegen.
Beim Angriff wurden demnach fast 103 Millionen XRP entwendet und zunächst auf fünf Konten verteilt. Bis zum Wochenende hatten rund 54 Millionen XRP diese ursprünglichen Wallets wieder verlassen.
Das Problem für die Rückgewinnung: Native XRP können nicht einfach von Ripple eingefroren werden. Kryptobörsen können zwar Empfängerkonten sperren, sobald gestohlene XRP dort ankommen. Solange sich die Coins jedoch in selbst kontrollierten Wallets befinden, kann Ripple die entsprechenden Transaktionen nicht zentral stoppen.
Anders sieht es bei Stablecoins aus. Circle und Tether konnten rund 320.000 Dollar in USDC und USDT blockieren, die mit dem Angriff in Verbindung gebracht werden.
Öffentliche Hilfe gefordert
Inzwischen wird immer deutlicher, wohin zumindest ein Teil der gestohlenen Kryptowährungen fließen soll: in Bitcoin.
Der Blockchain-Ermittler ZachXBT veröffentlichte am 28. September Informationen über fünf Accounts, die er mit der Geldwäsche der gestohlenen Bitget-Gelder in Verbindung bringt. Die Personen sollen nach seiner Darstellung für mutmaßliche nordkoreanische Angreifer tätig sein.
Besonders ungewöhnlich: Die Beteiligten sollen sich nicht ausschließlich im Verborgenen bewegt haben, sondern öffentlich in Discord- und Telegram-Supportkanälen um Hilfe gebeten haben.
Wie BeInCrypto unter Berufung auf ZachXBT berichtet, beschwerten sich mehrere Accounts über Probleme bei XRP-zu-Bitcoin-Transaktionen.
Ein Nutzer gab demnach an, 277.724 XRP in einen Swap geschickt, anschließend aber lediglich 431 XRP zurückerhalten zu haben. Ein weiterer Account beklagte sich darüber, dass ein Verlust der übertragenen Vermögenswerte für ihn erhebliche persönliche Probleme verursachen würde.
Die von ZachXBT identifizierten Accounts sind mutmaßliche Geldwäscher und nicht automatisch die eigentlichen Angreifer auf Bitget.
THORChain weigert sich, Hacker-Wallets zu sperren
Die Spur führt unter anderem zu THORChain. Das Cross-Chain-Protokoll ermöglicht den direkten Tausch verschiedener Kryptowährungen, ohne dass Nutzer dafür ein Konto bei einer klassischen Kryptobörse benötigen.
Bitget hatte THORChain öffentlich aufgefordert, die bereits bekannten Angreifer-Adressen nicht mehr zu bedienen. Das Protokoll lehnte eine solche selektive Sperrung jedoch ab.
CoinDesk konnte allein am Montag 27 erfolgreiche Transaktionen nachvollziehen, bei denen rund 2.390 ETH über THORChain in etwa 75,2 Bitcoin getauscht wurden. Der Gegenwert lag bei rund 6,3 Millionen Dollar. Die BTC landeten anschließend auf einer einzigen Bitcoin-Adresse.
Damit zeigt sich eines der zentralen Probleme bei der Rückverfolgung gestohlener Kryptowährungen: Selbst wenn die ursprünglichen Wallets bekannt sind, können dezentrale Cross-Chain-Protokolle genutzt werden, um Vermögenswerte von einer Blockchain auf eine andere zu verschieben.
NEAR Intents stoppt Transaktionen über 50 Millionen Dollar
Andere Anbieter gehen deutlich offensiver gegen die gestohlenen Gelder vor.
Das Cross-Chain-Protokoll NEAR Intents erklärte am 29. September, über sein Sicherheitssystem SHIELD Transaktionsversuche im Umfang von mehr als 50 Millionen Dollar erkannt und blockiert zu haben, die mit dem Bitget-Hack in Verbindung stehen.
Während der Abwicklung konnten rund 503.000 Dollar tatsächlich eingefroren werden.
Bitget erklärt inzwischen, wie der Angriff funktioniert haben soll
Nach Angaben der offiziellen Bitget-Timeline nutzten die Angreifer eine Schwachstelle in einem externen Sicherheitsprodukt. Dadurch sollen sie interne Zugangsdaten erhalten und anschließend manipulierte Auszahlungsbefehle an das Wallet-System gesendet haben.
Das System führte daraufhin Transaktionen aus, obwohl diese eigentlich vom System hätten gestoppt werden sollen.
Die privaten Schlüssel der Börse sollen dagegen nicht kompromittiert worden sein. Auch die Cold Wallets seien laut Bitget nicht betroffen. Die zugrundeliegende Schwachstelle wurde nach Angaben des Unternehmens inzwischen geschlossen.
Der endgültig bestätigte Schaden liegt bei 387,5 Millionen Dollar. Betroffen waren neben XRP unter anderem ETH, USDT, USDC, Zcash, TRON, BNB und Avalanche.
Bitget: Betrieb läuft (bald) weiter
Trotz der laufenden Suche nach den gestohlenen Geldern hat Bitget begonnen, seine Auszahlungsdienste wieder zu öffnen.
Bitcoin-Auszahlungen wurden am 28. September wieder freigegeben. Für Ethereum nennt Bitget den 29. September um 08:00 UTC als nächsten Schritt. USDT soll am 30. September folgen.
Andere Kryptowährungen und damit voraussichtlich auch XRP sollen nach dem aktuellen Zeitplan ab dem 2. Oktober wieder ausgezahlt werden können.
Bitget erklärt weiterhin, dass Kundenguthaben nicht von dem Verlust betroffen seien. Der Schaden soll durch den sogenannten User Protection Fund gedeckt werden, dessen Volumen das Unternehmen mit mehr als 464 Millionen Dollar angibt.
Aus dem Hack wird eine Jagd über mehrere Blockchains
Ein Teil der XRP wurde bereits auf neue Wallets verteilt. Ethereum wurde über THORChain in Bitcoin getauscht. NEAR Intents versucht verdächtige Transaktionen aktiv zu stoppen. Gleichzeitig tauchen mutmaßliche Geldwäscher ausgerechnet in öffentlichen Supportkanälen auf, weil einzelne XRP-zu-Bitcoin-Swaps offenbar nicht wie geplant funktionieren.
Dieser Fall zeigt: Die Blockchain ist transparent, dennoch ist eine tatsächliche Umkehr und Wiederbeschaffung nicht so einfach möglich.
