Bei der Kryptobörse Bitget sind nach Angaben des Unternehmens rund 351,6 Millionen Dollar aus Hot- und Warm-Wallets abgeflossen. Drei Tage nach dem Angriff dürfen Kunden weiter handeln und zusätzliches Geld einzahlen. Nur eines können sie noch nicht: ihre Bestände von der Plattform abziehen.

Bitget erklärt, die Kundengelder seien sicher und der eigene Schutzfonds werde den Schaden vollständig abdecken. Für Anleger bleibt diese Zusage allerdings wertlos, solange sich das angezeigte Guthaben nicht auf eine eigene Wallet übertragen lässt. Ein Kontostand auf dem Bildschirm ist keine Verfügungsgewalt.

Einzahlen erlaubt und Auszahlen verboten

Der Angriff wurde am 24. September entdeckt. Betroffen war nach Darstellung der Börse ein Teil der für den laufenden Betrieb genutzten Hot- und Warm-Wallet-Infrastruktur. Cold Wallets seien nicht betroffen. Die Schwachstelle sei inzwischen gefunden und geschlossen worden. Ein vollständiger technischer Bericht liegt bislang jedoch nicht öffentlich vor.

Dass Bitget aus Sicherheitsgründen Auszahlungen stoppt, ist nachvollziehbar. Dass Handel und Einzahlungen währenddessen weiterlaufen, hinterlässt trotzdem einen üblen Beigeschmack. Die Plattform nimmt weiterhin Geld an, während vorhandene Bestände hinter einer digitalen Schranke festhängen.

Ab Montag beginnt der Stresstest

Bitcoin-Auszahlungen sollen laut dem Zeitplan von Bitget am Montag um 10 Uhr deutscher Zeit wieder beginnen. Ether soll am Dienstag folgen und USDT am Mittwoch. Andere Token sowie Auszahlungen über Fiat- und P2P-Kanäle sind erst für den 2. Oktober vorgesehen.

Dann zeigt sich, ob der Schutzfonds von mehr als 464 Millionen Dollar tatsächlich hält, was die Börse verspricht. Rechnerisch wäre der gemeldete Schaden gedeckt. Entscheidend sind jedoch die Liquidität des Fonds und die Frage, ob Bitget alle aufgestauten Auszahlungswünsche ohne neue Limits und Verzögerungen bedienen kann.

Für Kunden gilt jetzt erhöhte Vorsicht. Betrüger nutzen solche Vorfälle für gefälschte Entschädigungsseiten und angebliche Sicherheitsprüfungen. Seed Phrase, Passwort und Zwei-Faktor-Code gehören niemals in ein Rückerstattungsformular. Nach Freigabe der Auszahlungen sollte zunächst eine kleine Testsumme an eine sorgfältig geprüfte Adresse geschickt werden.

Die ausführliche Analyse mit dem vollständigen Auszahlungsplan und konkreten Hinweisen für Betroffene steht bei der Coinzeitung. Der Fall erinnert erneut an die wichtigste Grenze im Kryptomarkt. Wer seine privaten Schlüssel nicht selbst hält, besitzt zusätzlich zum Kursrisiko immer das Betriebsrisiko der Börse.