Gracy Chen, CEO van Bitget, rekent er niet op dat het grootste deel van de gestolen $388 miljoen ooit terugkomt. In de Chain Reaction-podcast van Cointelegraph noemde ze de hack op Bybit in februari 2025 een “goed referentiepunt”. Dat is geen geruststellende vergelijking. Bybit verloor toen ongeveer $1,5 miljard aan Ether, en daarvan is volgens het bedrijf zelf maar $80 miljoen bevroren of teruggehaald.
Kerncijfers
- Gestolen bij Bitget: ongeveer $388 miljoen (eerst gemeld: $352 miljoen)
- Door NEAR Intents geblokkeerd: meer dan $50 miljoen, waarvan circa $500.000 bevroren
- Bevroren door Tether en Circle: $318.013
- Netto uitstroom in 24 uur: ongeveer $463 miljoen
“Ik ben eigenlijk niet erg optimistisch, want een jaar na de hack op Bybit hebben ze pas ongeveer 3,5% van het totaal gestolen bedrag kunnen bevriezen”, zei Chen. Ze voegde eraan toe dat het dan nog alleen over bevriezen gaat en niet over teruggeven. Dat onderscheid zien veel beleggers over het hoofd. Bevroren geld zit vast bij een stablecoin-uitgever of protocol, maar staat daarmee nog niet op de rekening van het slachtoffer.
Hoe de aanvallers binnenkwamen
De aanval vond plaats op donderdag 24 september. Bitget meldde eerst een verlies van $352 miljoen en schroefde dat later op naar ongeveer $388 miljoen, na wat Chen een vollediger overzicht van de transfers noemde. Volgens de CEO zat het lek in een beveiligingsproduct van een externe partij. Via die kwetsbaarheid kwam de aanvaller aan interne inloggegevens met hoge rechten, en daarmee gaf hij frauduleuze opnameopdrachten. Private keys zijn volgens Bitget niet buitgemaakt en de cold wallets bleven buiten schot. Het geld verdween uit de hot en warm wallets, dus de voorraad die online staat voor dagelijkse opnames.
Wie erachter zit, is nog niet officieel vastgesteld. Chen wees direct na de aanval naar Noord-Korea, op basis van IP-adressen die passen bij de VPN-keuzes van een bekende Noord-Koreaanse groep. Een inside job wilde ze eerst niet helemaal uitsluiten, maar op basis van het voorlopige onderzoek is die mogelijkheid inmiddels van tafel.
Het echte gevecht speelt zich af op bridges
Voor wie wil weten waarom terughalen zo lastig is: hackers zetten gestolen tokens zo snel mogelijk om via cross-chain protocollen, vaak richting Bitcoin. Elke stap maakt het spoor troebeler. Hoeveel er uiteindelijk terugkomt, hangt dus vooral af van de vraag of die tussenstations willen meewerken.
Op dat punt lopen de meningen flink uiteen. NEAR Intents zegt meer dan $50 miljoen aan pogingen te hebben tegengehouden en ongeveer $500.000 te hebben bevroren. THORChain weigert juist om transacties selectief te blokkeren. Chen reageerde daar scherp op: “Decentralisatie is een ontwerpprincipe, geen schild om bekend gestolen geld door te sluizen.” Stablecoin-uitgevers Tether en Circle zetten een wallet die aan de aanval is gelinkt op de zwarte lijst, goed voor $318.013 aan USDT en USDC. Bitget zelf biedt een premie van 5% op bevroren én op teruggehaalde bedragen.
| Hack | Jaar | Buit |
|---|---|---|
| Bybit | 2025 | ca. $1,5 miljard |
| Ronin Bridge | 2022 | $615 miljoen |
| Poly Network | 2021 | $611 miljoen |
| Bitget | 2026 | ca. $388 miljoen |
| Liquid Network | 2026 | $320 miljoen |
Klanten stemmen met hun voeten
Bitget zegt dat de saldi van gebruikers intact zijn en dat het eigen beschermingsfonds de schade dekt. Opnames komen gefaseerd terug: Bitcoin op maandag, Ether op dinsdag. Klanten wachten dat niet rustig af. Volgens Bloomberg, geciteerd door PYMNTS, vloeide er in de 24 uur tot dinsdag netto zo’n $463 miljoen weg, meer dan het gestolen bedrag zelf. Het gaat om de grootste uitstroom op één dag sinds DefiLlama vier jaar geleden begon met het volgen van proof-of-reserves.
Daarin zit misschien wel de belangrijkste les. De buit is waarschijnlijk grotendeels verloren, maar gebruikers lopen zelf geen verlies zolang het fonds de schade betaalt. Wat Bitget nu op het spel heeft staan is vertrouwen, en de komende weken moet blijken hoeveel klanten na de heropening van alle opnames blijven.
