Op 24 september 2026 werd de cryptocurrency-uitwisseling Bitget getroffen door een grootschalige cyberaanval, waarbij naar schatting 387,5 miljoen dollar aan digitale activa werd buitgemaakt. De aanvallers exploiteerden een kwetsbaarheid in de backend wallet-infrastructuur, wat leidde tot de diefstal uit 'hot' en 'warm' wallets. De gestolen activa omvatten onder meer XRP, ETH, USDT, ZEC, USDC, XAUt, BNB, AVAX en TRX. De initiële schatting van het verlies bedroeg 351,6 miljoen dollar, maar dit bedrag werd later verhoogd na de identificatie van aanvullende gestolen Zcash en TRON-transacties.

Cruciaal is dat de aanval geen toegang kreeg tot de privé-sleutels van Bitget. De offline 'cold' wallets en de afzonderlijke, zelf-custodiale Bitget Wallet-dienst bleven onaangetast. Bitget heeft de gecompromitteerde kwetsbaarheid inmiddels gedicht, waardoor verdere ongeautoriseerde transacties zijn uitgesloten.

Het incident kwam aan het licht om 18:31 UTC op 24 september 2026, toen Bitget ongeautoriseerde overschrijvingen detecteerde en onmiddellijk de opnamefaciliteit opschortte. De CEO van Bitget verklaarde dat de indringers een kritiek backend-onderdeel hadden gecompromitteerd, transactiegegevens vervalsten en vervolgens het eigen autorisatieproces van het platform misbruikten om frauduleuze overschrijvingen goed te keuren.

XRP vormde de grootste component van de diefstal, met een gestolen hoeveelheid van ongeveer 102,93 miljoen XRP, destijds gewaardeerd op zo'n 157,5 miljoen dollar. Daarnaast werden 31.890 ETH meegenomen, met een waarde van ongeveer 85,75 miljoen dollar.

Een deel van de gestolen fondsen werd na de hack actief geconverteerd, gebrugd of herverdeeld over diverse netwerken. De opbrengsten werden waargenomen tijdens hun reis door cross-chain bridges, asset swaps en het gebruik van privacytools. Eén specifiek spoor leidde van TRX naar USDT, vervolgens naar USDT0 op Ethereum, daarna naar circa 145 ETH, via THORChain en uiteindelijk naar ongeveer 4,59 BTC.

Ongeveer vier BTC van de gestolen fondsen ondergingen vervolgens een Wasabi CoinJoin-transactie. Dit is een techniek die de traceerbaarheid bemoeilijkt door transacties van meerdere deelnemers te combineren.

Publieke communicatie in Discord-servers en Telegram-kanalen suggereert dat Chinese illegale actoren betrokken waren bij het witwassen van de opbrengsten, mogelijk ten behoeve van vermeende Noord-Koreaanse aanvallers. Screenshots tonen gebruikers die openlijk om technische hulp vragen voor het voltooien van grote XRP-naar-BTC-transacties, waarbij ze transactie-identificaties deelden en dienstoperatoren tagden. Aliassen die naar voren kwamen in de analyse van transacties zijn onder andere "jack", "HELP ME", "Melon", "Cc" en "lolo/Marin".

Het alias "lolo" of "Marin" was ook betrokken bij het witwassen van fondsen afkomstig van de Kelp DAO-exploit van 292 miljoen dollar, die eerder in 2026 plaatsvond.

Bitget heeft de operatie met grote zekerheid toegeschreven aan een groep die gelinkt is aan Noord-Korea (DPRK). Er is echter nog geen definitieve toewijzing door onafhankelijke autoriteiten publiekelijk bevestigd. Bedrijven als Mandiant en SlowMist verlenen assistentie bij het onderzoek, en de betrokken wetshandhavingsinstanties zijn geïnformeerd.

De financiële impact van de hack wordt volledig gedekt door het beschermingsfonds van Bitget. De tegoeden van klanten blijven intact. Bitget is begonnen met het gefaseerd herstellen van de opnames: Bitcoin-opnames werden hervat op 28 september, gevolgd door Ethereum op 29 september, USDT op 30 september, en andere tokens, fiat en peer-to-peer services op 2 oktober.