Der Hacker hinter dem Bitget-Raub hat einen neuen Unterschlupf gefunden. Am 30. September begann der Angreifer, etwa 2.700 ZEC, rund 3,8 Millionen Dollar, im Ironwood-Privatsphärenpool von Zcash zu schützen. Dieser Schritt erfolgt, nachdem Near Intents mehr als 50 Millionen Dollar an Swaps im Zusammenhang mit dem Hack abgelehnt hatten, während Thorchain Bitgets Bitte ablehnte, die Adressen des Angreifers zu blockieren.
Bitget teilt mit, dass der Diebstahl 387,5 Millionen Dollar umfasst. Das Unternehmen und Elliptic verweisen beide auf Nordkorea, obwohl dies von keiner Regierung bestätigt wurde. Elliptic beschreibt eine nordkoreanische Verbindung als „sehr wahrscheinlich“ und bewertet sie als den größten vermuteten nordkoreanischen Diebstahl von 2026, was die Gesamtsumme des Jahres auf über eine Milliarde Dollar treibt.
Ironwood startet
Der Ironwood-Pool für Zcash verschlüsselt den Absender, den Empfänger und den Betrag und hält die Spur für jeden verborgen, der versuchen könnte, die Gelder zu verfolgen, sobald sie eingehen. Er übernahm von Orchard, das durch die Entdeckung eines Fehlers durch einen Forscher aufgedeckt wurde, der die Erstellung von gefälschten Coins ermöglicht hätte. Der Pool ging am 28. Juli live, und der dafür reservierte Betrag entspricht etwa einem Siebtel der im Hack verlorenen ZEC, wie On-Chain-Daten zeigen.
Der Pool führt ein Protokoll der Coins, die ein- und ausgehen, während das, was innerhalb passiert, geheim bleibt. Diese Geheimhaltung ist die ganze Idee hinter einem Privatsphärenpool: eine Aufzeichnung der Bewegung ohne Aufzeichnung des Eigentümers.
Am 24. September markierten Bitgets Systeme erstmals unbefugte Überweisungen aus seinen Hot Wallets. Die Angreifer verschafften sich Zugang zu Backend-Systemen und fälschten Transaktionsdaten, anstatt private Schlüssel zu stehlen, so Chen.
Nears Screening-System
Near Intents teilt mit, dass es mehr als 50 Millionen Dollar an Swaps im Zusammenhang mit dem Hack abgelehnt hat. Rund 503.000 Dollar gerieten mitten im Swap in Schwierigkeiten und wurden eingefroren, während etwa 166.000 Dollar stattdessen durchkamen.
Am Dienstag gab der Generaldirektor Alex Shevchenko bekannt, dass sein SHIELD-Screening-System über 50 Millionen Dollar an Swaps im Zusammenhang mit dem Bitget-Angreifer abgelehnt hat. Near-Mitbegründer Illia Polosukhin antwortete mit der Aussage, dass „permissionless“ nicht erfordert, dass jede App jede Transaktion abwickelt.
Near hat mitgeteilt, dass die eingefrorenen Vermögenswerte über rechtliche und Wiederherstellungsmaßnahmen abgewickelt werden.
Thorchains Position
In einem Beitrag auf X teilte Thorchain mit, dass ein Netzwerkanhalt als Notfallinstrument zur Absicherung des Protokolls dient. Das Unternehmen machte deutlich, dass Anhalte nicht als Mittel zum Einfrieren bestimmter Gelder oder einzelner Swaps verwendet werden.
Der Angriff, der im Mai stattfand, umfasste den Diebstahl von 10,7 Millionen Dollar aus den Liquiditätspools, wobei die Adressen der Angreifer durch die Ausnutzung bekannt als 2026 aufgedeckt wurden.
Thorchain sperrte sein gesamtes Netzwerk für etwa fünf Wochen nach einer Ausnutzung von 10,7 Millionen Dollar am 15. Mai und nahm den Betrieb am 22. Juni wieder auf. Mehrere Chargen mit insgesamt etwa 2.390 ETH—rund 6,3 Millionen Dollar—wurden über Thorchain in 75,2 BTC umgewandelt.
Der Pfad des Geldes
Der Angreifer verteilte die Gelder auf neue Wallets mit runden Beträgen, etwa 10.000 ETH oder 20 Millionen XRP pro Wallet. Die kleineren Beträge wurden über Cross-Chain-Swap-Dienste verschoben, darunter:
- Thorchain
- Across
- Bridgers
- Chainflip
- FixedFloat
Bitget hat eine Belohnung von 5 % für eingefrorene Gelder sowie zusätzlich 5 % für wiedergefunden Gelder einbehalten, sofern keine Anordnung von Gerichten oder Strafverfolgungsbehörden vorliegt.
Was Bitget sagt
Der Schutzfonds bei Bitget deckt den Verlust ab, was bedeutet, dass die Guthaben der Kunden nicht betroffen sind.
Keine Regierung hat eine Verbindung zu Nordkorea bestätigt, und die Einschätzung von Elliptic hat keine offizielle Autorität.
Bisherige Rückgewinnung
Die Ironwood-Ablage dient als Erklärung. Der Dieb platzierte etwa ein Siebtel des gestohlenen ZEC in einem Pool, wo die Spur endet – nicht für immer, aber lange genug, um jeden zu behindern, der versucht, sie zurückzuverfolgen.
Die Tatsache, dass Near 50 Millionen Dollar an Swaps abgelehnt hat, zeigt, wie gut das Screening funktioniert. Von diesen Swaps wurden etwa 503.000 Dollar mitten im Tauschvorgang eingefroren, während etwa 166.000 Dollar durchrutschten.
Die verbleibenden 387,5 Millionen Dollar abzüglich der Ironwood-Ablage sind weiterhin gefährdet.
Der Ironwood-Pool gewinnt Zeit.
Der Fall bisher
- Bitget schätzt den Diebstahl auf 387,5 Millionen Dollar
- Elliptic verweist auf Nordkorea und bezeichnet den Zusammenhang als „höchstwahrscheinlich“.
- Elliptic stuft ihn als den größten vermuteten Diebstahl nordkoreanischer Herkunft im Jahr 2026 ein, wodurch der Jahresbetrag auf über eine Milliarde Dollar steigt.
- Near lehnte mehr als 50 Millionen Dollar an Swaps ab, die mit dem Hack in Verbindung stehen
- Thorchain lehnte Bitgets Bitte ab, die Adressen des Angreifers zu blockieren.
- Das Ironwood-Depot enthält schätzungsweise 2.700 ZEC, oder 3,8 Millionen Dollar.
Eine Reaktion ist es, die Spur geheim zu halten, bis die Hitze nachlässt; das ist der Ironwood-Pool. Ein zweiter Ansatz ist es, die Swaps abzuhören, bevor sie abgeschlossen sind; das tun die Screening-Systeme.
Der Angreifer hat beide Optionen gewählt, und der Rest des Feldes wartet ab, welcher Ansatz besser funktioniert.
Wo die Zeitung steht
Die Zeitung unterstützt das Kleinunternehmen gegen die Behörde und den Giganten und gegen umfassende neue Regelwerke, die die Eintrittskosten für alle erhöhen würden. Hier hat der Dieb einen neuen Versteckort im Ironwood-Privacy-Pool von Zcash gefunden, und die Frage dreht sich darum, ob Screening-Systeme wie Near’s SHIELD die Swaps stoppen können, bevor sie ankommen. Der 387,5-Millionen-Dollar-Diebstahl ist eine Warnung für alle Unternehmen, die mit Krypto zu tun haben, aber keine Mahnung für neue Vorschriften, die die Eintrittskosten für alle anderen erhöhen würden.
Der Dieb hat mit seinem Vorgehen in Ironwood eine Aussage gemacht, keine Kapitulation. Es zeigt die Gefahr eines Datenschutzfeatures, das es ermöglicht, dass Gelder aus dem Blickfeld verschwinden. Die Screening-Systeme zeigen im Gegensatz dazu, was funktioniert, wenn Unternehmen das Geld tatsächlich prüfen, bevor es sich bewegt. Die Zeitung würde es vorziehen, wenn Unternehmen weiterhin prüfen würden, und dass große Unternehmen die Angst vor Kriminalität nicht dazu nutzen, Regelwerke zu erstellen, die kleine Unternehmen bestrafen.
Leser sollten beobachten, ob die Screening-Systeme halten. Nears Ablehnung von über 50 Millionen Dollar an Swaps zeigt, was funktioniert, und das Ironwood-Depot zeigt, welches Risiko der Dieb bereit ist einzugehen. Der Saldo von 387,5 Millionen Dollar bleibt exponiert, und der Fall hat noch keinen Abschluss gefunden.
Quellenmaterial: „Bitget Hacker Turns to Zcash Privacy Pool After Near Rejects $50M in Swaps,“ Decrypt.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.