Cryptobeurs Bitget is getroffen door de grootste hack van 2026. Op 24 september detecteerde de exchange ongeautoriseerde transfers uit hot en warm wallets ter waarde van circa 351,6 miljoen dollar. De grootste buit is XRP: ongeveer 102,9 miljoen tokens, goed voor zo’n 157,5 miljoen dollar.
Vervalste transacties, geen gelekte sleutels
Volgens CEO Gracy Chen ging het niet om gestolen private keys. De aanvaller kraakte een kritiek backend-systeem in de wallet-infrastructuur, vervalste transactiedata en liet Bitgets eigen autorisatieproces de opnames ondertekenen. De cold wallets zouden volledig veilig zijn gebleven. Dat onderscheid is belangrijk: het duidt op een lek in de interne software, niet op een gecompromitteerde sleutelopslag.
Bitget legde de opnames tijdelijk stil zonder een hervattingsdatum te noemen. Storten en handelen blijven wel werken. De beurs stelt dat gebruikersgeld veilig is en dat het User Protection Fund van ruim 464 miljoen dollar het volledige verlies dekt.
XRP als grootste doelwit
Naast de XRP verdween ook 31.890 ETH, circa 85,8 miljoen dollar, plus USDT, USDC, USDT0, Tether Gold, BNB, AVAX en TRX. De buit was verspreid over Ethereum, de XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain en Base. De aanvaller zet de gestolen XRP en stablecoins inmiddels om naar ETH en sluist een deel via mixdienst Tornado Cash, wat het traceren bemoeilijkt.
Juist bij XRP wringt het. Meer dan 99 procent van de gestolen tokens staat in wallets die niemand kan bevriezen, omdat de XRP Ledger voor native XRP geen freeze-functie kent. Chen claimt dat enkele hacker-wallets wel zijn bevroren, maar dat is on-chain nog niet bevestigd. Voor wie de waardevastheid van de XRP koers volgt, illustreert het opnieuw dat de handelsrisico’s vooral bij de beurzen liggen, niet bij het netwerk zelf.
Verdenking richting Noord-Korea
Chen zegt dat Noord-Korea ‘zeer waarschijnlijk’ achter de aanval zit, op basis van Noord-Koreaanse IP-adressen. Formeel is dat nog niet bevestigd. De vergelijking met de Bybit-hack van februari 2025 ligt voor de hand: daarbij verdween circa 1,5 miljard dollar, door de FBI toegeschreven aan de aan Pyongyang gelieerde Lazarus-groep. Beursinfrastructuur blijft daarmee een gewild doelwit voor staatsgesteunde hackers die crypto inzetten als financieringsbron.
Bitget is qua handelsvolume een top-6 exchange en gevestigd op de Seychellen. Het eigen platformtoken BGB reageerde beperkt en zakte 3,3 procent naar 1,97 dollar. Dat de koersreactie mild bleef, wijst erop dat de markt de belofte over het schadefonds vooralsnog serieus neemt.
Wat het betekent voor gebruikers
Voor wie tegoeden op Bitget heeft, verandert er volgens de beurs niets aan het saldo, maar opnemen kan tijdelijk niet. Zolang er geen hervattingsdatum is, blijft die blokkade het meest tastbare gevolg. De centrale vraag is of het schadefonds inderdaad het volledige verlies opvangt zonder dat gebruikers een korting op hun tegoeden zien, en hoe snel de opnames weer opengaan.
