Dieser Artikel wurde von BlockWeeks zusammengestellt und organisiert
Der Forschungskurzbericht dieser Woche konzentriert sich auf drei Dinge: einen Rückblick auf den Bitget-Diebstahl in Höhe von 387,5 Millionen US-Dollar, die häufig gestellten Fragen (FAQ) der SEC zu Token-Rückkäufen und die Kernpunkte des KI-Gipfels im Weißen Haus.
1. Lazarus schlägt erneut zu: Ein Rückblick auf den Bitget-Diebstahl in Höhe von 387,5 Millionen US-Dollar
Letzte Woche gab Bitget bekannt, dass Angreifer durch eine Reihe unbefugter Überweisungen 387,5 Millionen US-Dollar aus seinen Hot Wallets und Warm Wallets gestohlen haben, und setzte vorübergehend alle Auszahlungen aus. Die Verluste erstreckten sich über 11 Blockchains, darunter Ethereum, XRP, TRON, Arbitrum, Base und BSC, wobei der größte Einzelkettenverlust auf XRP mit etwa 83 Millionen US-Dollar entfiel.
Laut Bitget-CEO Gracy Chen wurden die privaten Schlüssel und Cold Wallets nicht kompromittiert – eine Behauptung, die auch durch die Hunderte Millionen Dollar an Token gestützt wird, die noch immer auf den angegriffenen Adressen verbleiben. Was die Angreifer tatsächlich ausnutzten, waren zwei Sicherheitsprodukte von Drittanbietern (unter Verwendung einer Zero-Day-Schwachstelle, um hochrangige interne Anmeldeinformationen zu erlangen), indem sie gefälschte Auszahlungsanweisungen in das Wallet-Backend einschleusten und diese Anweisungen nach der Überweisung der Gelder löschten. SlowMist, das von Bitget beauftragte Sicherheitsunternehmen, führte die früheste bösartige Aktivität auf den 31. August zurück und rekonstruierte ein maßgeschneidertes Auszahlungstool, das um die Auszahlungslogik von Bitget herum aufgebaut war. Insgesamt deutet dies auf einen hochgradig recherchierten, äußerst gezielten Angriff auf die Wallet-Verwaltung hin.
Basierend auf IP-Verhalten und On-Chain-Analysen schrieb Bitget den Angriff nordkoreanischen Akteuren zu; die On-Chain-Tracking-Unternehmen Elliptic und TRM fanden Überschneidungen zwischen den relevanten Wallets und früheren Hacking-Vorfällen. Der Großteil der gestohlenen Gelder wurde über THORChain transferiert, und THORChain lehnte Chens Anfrage, den Dienst einzustellen, mit der Begründung ab, „dezentral und genehmigungsfrei“ zu sein. NEAR Intents verfolgte den entgegengesetzten Ansatz, fing mehr als 50 Millionen US-Dollar an Geldwäscheströmen ab und fror dabei etwa 503.000 US-Dollar ein. Der Schutzfonds von Bitget und die anwendbare Überbesicherung des Reserve-Nachweises (PoR) deckten diesen Verlust ab, wobei alle Verluste vom Schutzfonds getragen wurden, der wieder auf 300 Millionen US-Dollar aufgefüllt wurde.
Dann wurde am Donnerstag NEAR Intents selbst angegriffen: Eine Schwachstelle in seiner Omni-Ein-/Auszahlungsinfrastruktur verursachte Verluste von etwa 3,8 Millionen US-Dollar, und Beamte erklärten, sie würden vollständig entschädigen. ZachXBT meldete mehrere abnormale Abflüsse aus BSC-Hot-Wallets, wobei Gelder an KuCoin transferiert und weiter nach Bitcoin gebrückt wurden.
2. Private Schlüssel wurden „gelöst“; das eigentliche Ziel ist die Genehmigungspipeline
Wenn dieser Vorfall bekannt vorkommt, liegt das daran, dass im Februar 2025 die nordkoreanische Hackergruppe Lazarus auf die gleiche Weise 1,5 Milliarden US-Dollar von Bybit stahl – sie stahlen nicht die privaten Schlüssel von Bybit, sondern kompromittierten die Infrastruktur von Safe{Wallet}, zeigten den Unterzeichnern eine manipulierte Oberfläche, woraufhin die Unterzeichner eine scheinbar routinemäßige Überweisung genehmigten. Die Kryptographie selbst war völlig normal; sie signierte einfach treu das, was ihr aufgetragen wurde.
Genau das ist die aktuelle Landschaft der großen Angriffe: Niemand greift die Mathematik privater Schlüssel an, weil diese Mathematik (derzeit) nicht gebrochen werden kann; sie greifen die Personen oder Systeme an, die „dieser Mathematik sagen, was sie tun soll“. Die Sicherheit privater Schlüssel großer Krypto-Börsen gehört zu den besten der Welt, und das letzte Mal, dass eine große Börse ihre privaten Schlüssel kompromittiert hatte, ist Jahre her. Der Angriff auf private Schlüssel, den Phemex im Januar 2025 erlitt, führte zu Verlusten von nur etwa 50 Millionen US-Dollar, und der Fall Coincheck aus dem Jahr 2018 mit mehr als 500 Millionen US-Dollar ist bereits „uralte Geschichte“. Die Sicherheit privater Schlüssel ist im Grunde gelöst, daher ist für Angreifer das wertvollste Ziel nicht der Schlüssel selbst, sondern das Glied, das bestimmt, „was dem Schlüssel präsentiert wird“. Bitget hat bisher die Namen der ausgenutzten Anbieter nicht bekannt gegeben, und der forensische Bericht bezeichnet sie nur als „Produkt A“ und „Produkt B“.
Die Form des Diebstahls selbst veranschaulicht auch das Problem: Hätten die Angreifer die privaten Schlüssel erlangt, hätten sie alle Gelder abgeräumt; aber Bitgets erste Mitteilung beschrieb nur unbefugte Überweisungen von einer begrenzten Anzahl von Hot Wallets. Ein langsames Abfließen ist der Fingerabdruck eines „kompromittierten Zwischendienstes“ und nicht „kompromittierter privater Schlüssel“.
Nick Szabo schrieb bereits 2001 in „Trusted Third Parties Are Security Holes“. Diese Branche zahlt jedes Jahr einen Preis von ungefähr neunstelligen Beträgen, um diese Lektion neu zu lernen: Die Mathematik der Kryptographie ist sicher; was gehärtet werden muss, ist die Struktur um sie herum. In diesem Sommer lernte die KI-Branche eine ähnliche Lektion.
3. SEC-Rückkauf-FAQ: Die Grenze zwischen funktionalen Systemen und „keine zentrale Partei“
Die von der SEC veröffentlichte FAQ bietet eine detailliertere Erklärung zu Token-Rückkäufen. Zur Frage des „Investmentvertrags“: Die Förderung des aktuellen Nutzens eines Krypto-Systems oder die Förderung seiner Zukunftsvision, ohne Gewinnimplikationen anzuhängen, stellt wahrscheinlich kein Versprechen „wesentlicher Managementanstrengungen“ im Sinne des Howey-Tests dar; sobald das System bereits in Betrieb ist, stellen Dienstleistungen, die erbracht werden, um es zu sichern, zu warten, zu verbessern oder zu erweitern, oder um Netzwerkeffekte zu fördern, ebenfalls keine wesentlichen Managementanstrengungen dar.
Der am genauesten beachtete Teil ist der Abschnitt über Rückkäufe. FAQ Q2.5 fragt: ob die Ankündigung eines Rückkaufplans für Nicht-Wertpapier-Krypto-Assets durch einen Emittenten (sei es für Treasury-Management, Angebotsreduzierung, protokollfinanzierte Verbrennungen oder Rebalancing) selbst ein Versprechen „wesentlicher Managementanstrengungen“ darstellt – was einer der Wege ist, über die ein Token-Verkauf unter einen Howey-Investmentvertrag fallen könnte. Die Antwort des Personals lautet: Wenn das Krypto-System bereits in Betrieb ist und es keine zentrale Partei gibt, stellt eine solche Ankündigung kein derartiges Versprechen dar.
Es ist erwähnenswert, dass die Formulierung „und es gibt keine zentrale Partei“ erst am 28. September 2026 hinzugefügt wurde – drei Tage nach Veröffentlichung der FAQ, nach Branchenkritik, dass die ursprüngliche Formulierung (die nur verlangte, dass es „bereits in Betrieb“ ist) zu weit gefasst sei. Wenn das System noch nicht in Betrieb ist, kann die Ankündigung, solange der Emittent den Rückkauf als Vorteil oder Rendite für Token-Inhaber darstellt, dennoch ein solches Versprechen darstellen. Die FAQ erklärt jedoch nicht, wie mit Rückkaufankündigungen in Systemen umzugehen ist, die „bereits in Betrieb, aber mit einer zentralen Partei“ sind – da die Antwort dieses Szenario nicht mehr abdeckt, wird es wahrscheinlich auf die allgemeine Howey-Analyse nach den Umständen des Einzelfalls zurückfallen.
