Bitgets 387,5-Millionen-Dollar-Hack treibt Nordkoreas Krypto-Diebstähle auf über eine Milliarde Dollar

Eine Milliarde Dollar Schaden und ein kompromittiertes Freigabesystem

Der Diebstahl von 387,5 Millionen Dollar bei Bitget am 24. September 2026 hat die Nordkorea zugeschriebenen Verluste durch Hacker im laufenden Jahr auf mehr als eine Milliarde Dollar steigen lassen, teilte Chainalysis mit. Zusammen mit den Akteuren zugeschriebenen 643 Millionen Dollar in den ersten sechs Monaten beläuft sich die Summe auf mindestens 1,0305 Milliarden Dollar.

Der Angriff zielte auf etwas Komplexeres als ein gestohlenes Passwort oder einen offengelegten Wallet-Schlüssel. Vorläufige Untersuchungen beschreiben, wie ein Eindringling über externe Sicherheitsprodukte Zugang erlangte, die Kontrolle über einen Wallet-Verarbeitungsserver übernahm und Freigabeinformationen fälschte. Bitgets eigene Infrastruktur autorisierte daraufhin Überweisungen, die legitim wirkten.

Chainalysis erklärte, die am 1. Oktober veröffentlichte Untersuchung habe gestohlenes XRP bis zu Bitcoin verfolgt und dabei Geldwäschemuster gefunden, die mit nordkoreanischen Akteuren in Verbindung stehen. Die Ermittler setzten künstliche Intelligenz ein, um eine Aufgabe bei der Nachverfolgung in weniger als zehn Minuten zu automatisieren; manuell hätte sie mehr als 20 Stunden gedauert. Das bedeutete nicht, dass der gesamte Diebstahl aufgeklärt oder das Geld wiederbeschafft war.

Der Vorfall legte auch ein Finanznetzwerk offen, das über die Angreifer selbst hinausreicht. Untersuchungen zu nachfolgenden Transaktionen identifizierten Gebühreneinnahmen von Swap-Diensten, unterschiedliche Reaktionen auf verdächtige Gelder und mögliche Verbindungen zu spezialisierten Geldwäsche-Vermittlern. Diese Details verdeutlichen, warum die Identifizierung gestohlener Kryptowährungen auf einer öffentlichen Blockchain nur der Anfang ihrer Wiederbeschaffung ist.

Mehrere Erkenntnisse sind noch vorläufig. Chainalysis schrieb den Angriff nordkoreanischen Akteuren zu, während Elliptic diesen Zusammenhang als sehr wahrscheinlich einstufte. Öffentliche Berichte belegen keine eindeutige Zuordnung zur Lazarus Group. Auch die Sicherheitsanbieter, deren Produkte den Zugang ermöglicht haben sollen, wurden nicht genannt.

Wie der Schaden um 35,9 Millionen Dollar stieg

Bitget schätzte den Diebstahl zunächst auf 351,6 Millionen Dollar. Am 25. September erhöhte die Börse die Summe auf 387,5 Millionen Dollar, nachdem weitere betroffene Vermögenswerte identifiziert worden waren, darunter Überweisungen mit Zcash und Tron. Der Anstieg um 35,9 Millionen Dollar ging laut der Börse auf eine zusätzliche Erfassung zurück, nicht auf einen zweiten Angriff.

Die Summen unterscheiden sich je nach Untersuchung leicht. Bitquery verfolgte 386,80 Millionen Dollar über 23 Überweisungen auf neun Blockchains. Eine technische Darstellung bezifferte Bitgets umfassendere Zählung auf rund 388 Millionen Dollar über 11 Blockchains. Chainalysis beschrieb die anfängliche Verteilung über vier Hauptnetzwerke: 49,7 Prozent entfielen auf Ethereum, 40,8 Prozent auf XRP, 7,6 Prozent auf Zcash und 1,8 Prozent auf Tron. Zusammengerechnet ergeben die gerundeten Prozentsätze 99,9 Prozent.

Die Zahlen beziehen sich auf unterschiedliche Umfangsbereiche der Nachverfolgung und sollten nicht als identische Bestandsaufnahmen behandelt werden. Die technische Darstellung bezifferte den XRP-Anteil auf 157,8 Millionen Dollar und schätzte, dass rund 214 Millionen Dollar aus Wallets stammten, die Bitquery als Hot Wallets einstufte. Hot und Warm Wallets sind operative Kryptowährungsbestände, die Transaktionen und Auszahlungen ermöglichen, und keine vollständig offline verwahrten Reserven.

Auch beim Zeitpunkt, zu dem Bitget das Problem erkannte, unterscheiden sich die Berichte. Mehrere nennen den 24. September um 18:31 Uhr UTC. Eine detaillierte Rekonstruktion ordnet dieser Zeit die ersten kleinen Überweisungen zu und datiert den Abgleichsalarm auf 19:05 Uhr. Dieser Unterschied ist wichtig, denn der später veröffentlichte Bericht schätzt, dass nach dem Alarm rund 238 Millionen Dollar, also etwa 61 Prozent des Verlusts, abgeflossen sind.

Eine Zeitleiste vom Eindringen bis zur Wiederaufnahme

Vorläufige Erkenntnisse von Mandiant und SlowMist datieren die frühesten protokollierten bösartigen Aktivitäten auf den 31. August, mehr als drei Wochen vor dem Diebstahl. Die öffentliche Zeitleiste unterscheidet zwischen dem ersten Zugriff, der Bewegung der Gelder und der Reaktion der Börse.

• 31. August: Die frühesten protokollierten bösartigen Aktivitäten nutzten mutmaßlich eine unbekannte Schwachstelle in einem Sicherheitsprodukt aus.
• 24. September, 17:49 Uhr UTC: Auf dem Wallet-Host wurde ein eigens entwickeltes Auszahlungstool gestartet.
• 24. September, 18:31 Uhr UTC: Die ersten nachverfolgten Überweisungen bewegten zunächst 93 TRX und anschließend 0,84 ETH.
• 24. September, 19:05 Uhr UTC: Die detaillierte Rekonstruktion datiert Bitgets Abgleichsalarm und die Einschränkungen bei Auszahlungsanfragen von Kunden auf diesen Zeitpunkt.
• 24. September, 21:23 Uhr UTC: Die letzte nachverfolgte Überweisung bewegte 223,20 ETH. Die Wallet-Auszahlungsdienste einschließlich der Signierung wurden um 21:44 Uhr abgeschaltet.
• 25. September: Bitget identifizierte die mutmaßliche Ursache, meldete den Vorfall den Strafverfolgungsbehörden und passte die Verlustschätzung an.
• 28. bis 30. September: Auszahlungen in Bitcoin, Ethereum und USDT wurden schrittweise wieder freigeschaltet. Vorläufige forensische Berichte erschienen am 30. September.
• 1. Oktober: Chainalysis veröffentlichte seine Erkenntnisse zur Zuordnung und Nachverfolgung. Die übrigen Dienste sollten bis zum 2. Oktober wieder verfügbar sein.

Dem detaillierten Bericht zufolge blieb der Signierdienst nach dem Alarm um 19:05 Uhr noch zwei Stunden und 39 Minuten aktiv. Die Sperrung regulärer Kundenanfragen stoppte daher nicht unmittelbar den separaten Zugang des Angreifers zum Auszahlungsprozess.

Der Angreifer nutzte den Signierdienst, ohne die Schlüssel zu stehlen

Bitget erklärte, dass beim Angriff weder die Schlüssel seiner Cold Wallets kompromittiert noch gefälschte Auszahlungsanfragen von Kunden verwendet worden seien. Stattdessen soll der Angreifer aus der Wallet-Infrastruktur heraus falsche Transaktionsfreigabedaten übermittelt haben. Ein privater Schlüssel ist ein geheimer Berechtigungsnachweis, mit dem eine Kryptowährungsüberweisung autorisiert wird. Hier bestand die Sorge darin, dass ein legitimer Signierdienst angewiesen werden konnte, eine illegitime Transaktion freizugeben.

Die vorläufige technische Rekonstruktion beschreibt zwei nicht genannte Sicherheitsprodukte. Aktivitäten beim ersten Produkt sollen es einem verborgenen Skript ermöglicht haben, ein Datenbankpasswort auszulesen, das in einer Umgebungsvariable gespeichert war. Der Angreifer bediente die Verwaltungsplattform des zweiten Produkts später mit der Identität eines internen Mitarbeiters, bevor er einen Wallet-Produktionsserver erreichte und dort Schadsoftware installierte.

SlowMist soll ein gelöschtes Tool wiederhergestellt haben, das speziell auf Bitgets Auszahlungssystem zugeschnitten war. Es fälschte Felder der Risikokontrolle und rief den Auszahlungsprozess auf. Der genaue Zusammenhang zwischen dem anfänglichen Datenbankzugriff und der bei dem zweiten Produkt verwendeten Identität ist noch nicht bestätigt.

Bitget bezeichnete den Einstiegspunkt als Zero-Day-Schwachstelle, also einen zuvor unbekannten Softwarefehler. Bis zum 2. Oktober waren in der technischen Darstellung weder die Anbieter genannt noch eine öffentliche Schwachstellenkennung oder -warnung verfügbar. Bitget erklärte, die Schwachstelle behoben zu haben. Die öffentlichen Informationen reichten jedoch nicht aus, damit andere Kunden die betroffenen Produkte identifizieren konnten.

Bitgets separates Produkt Bitget Wallet war nicht betroffen. Dieser Dienst nutzt eine andere Infrastruktur und ermöglicht es Nutzern, ihre Vermögenswerte selbst zu kontrollieren. Diese Unterscheidung grenzt den bekannten Umfang des Angriffs ein, ändert aber nichts am Verlust aus den operativen Wallets der Börse.

Was für die Zuordnung zu Nordkorea spricht

Bitget-Chefin Gracy Chen verwies auf das Verhalten von Internetadressen und Signaturen von Blockchain-Transaktionen, als sie den vermuteten Zusammenhang mit Nordkorea erläuterte. Sie beschrieb die Technik mit diesen Worten:

im Einklang mit Techniken, die von mit der DVRK verbundenen Hackergruppen eingesetzt werden

Chen bezeichnete den Zusammenhang später als auf vorläufige Indikatoren gestützt. Chainalysis schrieb den Diebstahl unabhängig davon nordkoreanischen Akteuren zu. Elliptic verwies auf Verbindungen zu Geldwäsche-Adressen, die mit früheren Diebstählen, darunter dem Angriff auf Bybit, in Zusammenhang stehen. Auch TRM Labs stufte eine Verbindung zu Nordkorea in der technischen Darstellung als wahrscheinlich ein.

Diese Einschätzungen sind nicht mit einer öffentlichen strafrechtlichen Feststellung gleichzusetzen. Mandiants vorläufige Arbeit nannte keinen Angreifer, und die Untersuchungen haben öffentlich nicht belegt, dass eine bestimmte Untergruppe von Lazarus den Angriff auf Bitget verübt hat.

Auch die Jahreszahlen müssen mit Vorsicht betrachtet werden. Der Verlust von 285 Millionen Dollar bei Drift Protocol am 1. April und der Verlust von 292 Millionen Dollar bei KelpDAO am 18. April summieren sich auf 577 Millionen Dollar, etwa 90 Prozent der 643 Millionen Dollar, die in der ersten Jahreshälfte nordkoreanischen Akteuren zugeschrieben wurden. Forscher brachten den KelpDAO-Angriff mit TraderTraitor in Verbindung, einer Gruppe, der Angriffe auf die Infrastruktur zur Verbindung von Blockchains zugeschrieben werden. Elliptic zählte unabhängig davon für 2026 mehr als 51 mutmaßliche nordkoreanische Vorfälle, eine breiter gefasste Kategorie als bestätigte Verluste.

KI beschleunigte einen bestimmten Teil der Geldspur

Chainalysis teilte mit, gemeinsam mit Bitget und den Strafverfolgungsbehörden die gestohlenen Vermögenswerte verfolgt zu haben. Innerhalb von etwa drei Stunden waren die Gelder über 23 Überweisungen geflossen, bevor sie über Liquiditätsprotokolle, Messaging-Dienste, Sofort-Swaps und Geldwäschedienste weitergeleitet wurden.

Eine zentrale Aufgabe bestand darin, gestohlenes XRP, das bei einem Protokoll eingezahlt wurde, mit Bitcoin in Verbindung zu bringen, das andernorts ausgezahlt wurde. Solche Dienste ermöglichen den Tausch von Vermögenswerten zwischen verschiedenen Blockchains. Ermittler müssen die eingehenden und ausgehenden Transaktionen miteinander verknüpfen, selbst wenn sie unterschiedliche Vermögenswerte, Adressen und Transaktionsdatensätze betreffen.

Chainalysis verfolgte auf diesem Weg über etwa anderthalb Tage Vermögenswerte im Wert von mehreren zehn Millionen Dollar und erreichte Bitcoin-Adressen, die der Angreifer kontrollierte. Das Unternehmen erklärte, die mit seiner internen KI entwickelte Automatisierung habe die Abgleichsaufgabe von mehr als 20 Stunden auf weniger als zehn Minuten verkürzt. Menschliche Ermittler steuerten die Arbeit und prüften die Ergebnisse. Diesen Schätzungen zufolge dauerte die Aufgabe weniger als ein Hundertzwanzigstel der ursprünglichen Zeit.

Andere Geldbewegungen waren schwieriger nachzuverfolgen. Der Angreifer begann, Gelder in den abgeschirmten Pool von Zcash einzuzahlen, dessen Datenschutzfunktionen Transaktionsdetails verbergen, die sonst dazu beitragen würden, Absender, Empfänger und Beträge miteinander zu verknüpfen. Chainalysis erklärte, die Zieladressen weiter zu überwachen und Informationen mit Börsen und Strafverfolgungsbehörden auszutauschen.

Die Nachverfolgung allein ermöglicht keine Beschlagnahmung. Für Bitcoin und Ether gibt es keine zentrale ausgebende Stelle, die einen Kontostand einfrieren könnte. Eine Wiederbeschaffung erfordert in der Regel die Mitwirkung einer Plattform, einen Emittenten mit Sperrbefugnis oder Behörden, die die Kontrolle über die Vermögenswerte erlangen.

Swap-Dienste waren uneins über ein Eingreifen

NEAR Intents teilte mit, sein SHIELD-System habe versuchte Überweisungen im Zusammenhang mit dem Angriff im Wert von mehr als 50 Millionen Dollar blockiert und während der Ausführung rund 503.000 Dollar eingefroren. Geschäftsführer Alex Shevchenko zufolge flossen etwa 166.000 Dollar durch, bevor die mutmaßlichen Geldströme gestoppt wurden.

THORChain verarbeitete weiterhin Swaps und lehnte Bitgets Bitte um gezielte Eingriffe ab. Das Protokoll unterschied zwischen einem Notstopp des Netzwerks zum Schutz des eigenen Betriebs und der Sperrung einzelner Adressen oder Transaktionen. Es verwies auf den eigenen Exploit im Mai, bei dem 10,7 Millionen Dollar verloren gingen, und erklärte, dass die Angreifer anschließend ebenfalls nicht von Swaps ausgeschlossen worden seien.

Eine BlockSec-Momentaufnahme vom 29. September schätzte die Bitget-bezogenen Geldströme über 7.804 THORChain-Transaktionen auf etwa 269 Millionen Dollar. Das ist ein Transaktionsvolumen und nicht notwendigerweise ein eigenständiger Wert gestohlener Vermögenswerte: Dieselben Gelder können mehrfach gezählt werden, wenn sie den Dienst durchlaufen.

Auch die Schätzungen zu eingefrorenen Geldern unterscheiden sich. Ein Bericht bezifferte die von Circle und Tether gemeinsam eingefrorenen Stablecoins auf rund 318.000 Dollar. Eine umfassendere technische Schätzung vom 1. Oktober kam für die von diesen Emittenten und NEAR Intents eingefrorenen Gelder auf etwa 1,1 Millionen Dollar. Die Zahlen beziehen sich auf unterschiedliche Stichtage und Erfassungsbereiche und sollten nicht als getrennte Rückflüsse zusammengerechnet werden.

Geldwäschetransaktionen spülten Gebühren in die Kassen und ließen den Handel anschwellen

Der unabhängige Forscher Andrey Sergeenkov berechnete auf Grundlage der überprüften Transaktionen bis zum 2. Oktober um 10:22 Uhr UTC Gebühren von 761.725 Dollar für Dienste und Protokolle. In seiner Aufschlüsselung entfielen 573.226 Dollar auf Liquiditätsanbieter von THORChain, 149.417 Dollar auf MetaMask, 26.751 Dollar auf Chainflip und 12.332 Dollar auf CoW EthFlow.

Zusätzlich identifizierte er 259.718 Dollar an THORChain-Affiliate-Gebühren, die an sieben Adressen gezahlt wurden, bei denen weitere finanzielle Verbindungen zu an den Swaps beteiligten Wallets bestanden. Weitere 206.196 Dollar gingen an Empfänger, bei denen er solche zusätzlichen Verbindungen nicht festgestellt hatte. Diese Affiliate-Kategorien sind getrennte Analysewerte und keine wiederbeschafften Beträge.

Als Gebührenempfänger genannt zu werden, beweist nicht, dass eine Person oder Organisation hinter einer Adresse den Angreifern gehört. Sergeenkov verfolgte einen Teil der Einnahmen des größten verbundenen Empfängers, der 177.499 Dollar erhalten hatte, über USDT bis zu einer Adresse, die als „OKX Hot Wallet 5“ gekennzeichnet war. Diese Spur belegt weder die Identität des Börsenkunden noch eine Beteiligung am Diebstahl.

THORChain verzeichnete im September Systemerlöse von 3,01 Millionen Dollar und ein Swap-Volumen von 2,40 Milliarden Dollar. Zwischen dem 25. und 29. September verarbeitete das Netzwerk rund 1,37 Milliarden Dollar, 57 Prozent des Monatsvolumens, und erzielte etwa 1,9 Millionen Dollar beziehungsweise 63 Prozent der Monatseinnahmen. Diese Gesamtwerte des Zeitraums umfassen auch Aktivitäten jenseits der identifizierten gestohlenen Gelder.

In einer Erklärung beschrieb das Protokoll den Zeitpunkt des Anstiegs:

Zwischen dem 25. und 29. September lag das tägliche Volumen bei etwa 190 bis 460 Millionen Dollar, während Gelder im Zusammenhang mit dem Bitget-Angriff durch das Netzwerk flossen.

Die Zahl aktiver Wallets stieg von 23.500 im August auf 25.000 im September, also um etwa 6,4 Prozent. Dem bescheidenen Wachstum stand ein Anstieg des Swap-Volumens von 613 Millionen auf 2,40 Milliarden Dollar gegenüber. Die Zahlen deuten auf eine Konzentration großer Transaktionen hin, nicht auf einen vergleichbaren Zuwachs an Nutzern.

Vermittler könnten Angreifer auszahlen, bevor Gelder verschwinden

Untersuchungen zum Diebstahl bei Bybit am 21. Februar 2025 zeigen, warum sichtbare gestohlene Gelder nicht unbedingt noch unter der Kontrolle der ursprünglichen Hacker stehen. Das FBI schrieb den Angriff im Umfang von rund 1,5 Milliarden Dollar den TraderTraitor-Akteuren aus Nordkorea zu. Forscher vermuten, dass spezialisierte Vermittler gestohlene Vermögenswerte annahmen, die Angreifer abzüglich Gebühren auszahlten und das Risiko der anschließenden Geldwäsche übernahmen.

Das Sicherheitsunternehmen zeroShadow schätzte, dass zwischen Februar und Juni 2025 mehr als eine Milliarde Dollar aus dem Bybit-Angriff gewaschen wurden. Daraus geht weder hervor, dass der gesamte Betrag in konventionelle Währungen umgetauscht wurde, noch dass er den Nettogewinnen der Angreifer entsprach. Chainalysis beschrieb außerdem, wie Dutzende Millionen Dollar aus den Angriffen auf Bybit und WazirX über ein Anbieternetzwerk von Xinbi liefen. Vermittler sollen dort nachverfolgbare Vermögenswerte gegen Stablecoins aus anderen kriminellen Aktivitäten getauscht haben.

In einer am 5. Oktober veröffentlichten Mitteilung erklärte der pseudonyme Ermittler ZachXBT, er habe 349.700 Dollar in Stablecoins eingesetzt und bei jeder Order einen Verlust von fünf Prozent akzeptiert, während er sich als Kunde ausgab. Ein Betreiber namens Jimmy Green habe dazu beigetragen, eine Gruppe offenzulegen, die mehr als 12 Millionen Dollar aus dem Bybit-Angriff verwahrt habe. Tether habe daraufhin 442.000 USDT eingefroren.

ZachXBT behauptete, das Netzwerk sei in Hongkong und Festlandchina tätig gewesen und habe mehr als eine Milliarde Dollar für Lazarus gewaschen. Sein Umfang und die Identität des Betreibers wurden durch öffentliche Anklagen nicht unabhängig bestätigt. ZachXBT behauptete zudem, chinesische Akteure, die Gelder aus dem Bitget-Angriff bearbeiteten, hätten in öffentlichen Discord- und Telegram-Gruppen um Hilfe gebeten und ein Betreiber habe Erlöse aus dem KelpDAO-Angriff abgewickelt.

Bitgets finanzielle Absicherung und die Grenzen der Rückgewinnung

Bitget erklärte, sein Nutzerschutzfonds habe vor dem Angriff mehr als 464 Millionen Dollar umfasst und werde Kundenverluste abdecken. Der Diebstahl von 387,5 Millionen Dollar entspricht etwa 83,5 Prozent einer Reserve von 464 Millionen Dollar. Dieser Vergleich veranschaulicht die mögliche Belastung, belegt aber nicht, wie Entschädigungen ausgezahlt wurden oder aus welchen Vermögenswerten sie stammten.

Am 28. September versprach die Börse, den Fonds innerhalb einer Woche wieder auf mindestens 300 Millionen Dollar aufzufüllen. Am 30. September meldete sie den Abschluss. Außerdem bot sie Prämien von bis zu fünf Prozent für erfolgreich eingefrorene oder zurückgewonnene Gelder an, arbeitete mit Mandiant und SlowMist zusammen und veröffentlichte ein Dashboard zur Nachverfolgung von Wallets.

Während der Aussetzung blieben der Handel und Einzahlungen laut Bitget geöffnet. Bitcoin-Auszahlungen wurden am 28. September wieder aufgenommen, Ethereum folgte am 29. September und USDT am 30. September. Die Börse erklärte, während der Aussetzung habe es keine weiteren Verluste gegeben. Der Token BGB fiel im gemeldeten Handelsüberblick vorübergehend um fast sieben Prozent auf 1,93 Dollar, bevor er sich auf 1,97 Dollar erholte.

Auch der Umfang der Gesamtverluste im September war umstritten. PeckShield zählte 55 Hacks mit einem Gesamtschaden von 766,5 Millionen Dollar, während CertiK 97 Vorfälle mit 768,4 Millionen Dollar verzeichnete. Bitget machte etwa die Hälfte beider Summen aus. Berichten zufolge belief sich ein separater Verlust beim Liquid Network auf 319 bis 320 Millionen Dollar; mehr als 270 Millionen Dollar davon seien zurückgegeben worden. Bei einem weiteren gemeldeten Vorfall bei Coldcard im Juli ging es um rund 116 Millionen Dollar.

Ermittlungsmaßnahmen gehen über Diebstähle bei Börsen hinaus. Das US-Finanzministerium verhängte Sanktionen gegen acht Personen und zwei Organisationen, denen Geldwäsche im Zusammenhang mit Cyberkriminalität und Einnahmen aus IT-Arbeit im Ausland vorgeworfen wurde. Zu den Vorwürfen gehörte, dass Banker über die First Credit Bank mindestens 5,3 Millionen Dollar verwaltet und Gelder mithilfe von Vermittlern in China und Russland verschleiert hätten. Separate Maßnahmen des Justizministeriums betrafen 7,7 Millionen Dollar im Zusammenhang mit mutmaßlichem Betrug durch IT-Arbeiter und mehr als 15 Millionen Dollar aus vier Diebstählen, die APT38 zugeschrieben werden.

Diese Maßnahmen zeigen, warum Einfrieren, Beschlagnahmung und Rückerstattung verschiedene Schritte sind. Wie viel Bitget letztlich zurückgewinnt, welche Anbieter der betroffenen Sicherheitsprodukte waren und wie eine abschließende technische Darstellung aussieht, ist weiterhin offen. Ein konkreter Termin für den Abschluss der Untersuchung oder die Rückgabe der gestohlenen Vermögenswerte wurde nicht bekannt gegeben.

Die wichtigsten Punkte

• Der von Bitget revidierte Verlust von 387,5 Millionen Dollar erhöht die für 2026 genannte Summe der Nordkorea zugeschriebenen Diebstähle auf mindestens 1,0305 Milliarden Dollar.
• Vorläufige Erkenntnisse beschreiben gefälschte Freigabedaten und nicht gestohlene private Schlüssel als Mechanismus, der die Auszahlungen ermöglichte.
• Chainalysis schrieb den Angriff nordkoreanischen Akteuren zu; eine konkrete Zuordnung zu Lazarus ist öffentlich nicht bestätigt.
• KI verkürzte eine Aufgabe zur Nachverfolgung von Geldern auf weniger als zehn Minuten, brachte die Vermögenswerte aber nicht zurück.
• Swap-Dienste waren uneins über ein Eingreifen, während die untersuchten Geldwäschetransaktionen erhebliche Gebühren generierten.
• Bitget meldete, den Nutzerschutzfonds wieder auf mindestens 300 Millionen Dollar aufgefüllt zu haben, und nahm Auszahlungen schrittweise wieder auf.
• Die endgültige Summe der wiederbeschafften Gelder und die Identität der betroffenen Sicherheitsanbieter sind weiterhin unbekannt.