Bitget-Hack über 351 Millionen Dollar: Was du bei deiner Krypto-Börse jetzt prüfst

Am Donnerstagabend, dem 24. September 2026, hat die Krypto-Börse Bitget nach eigenen Angaben um 18:31 Uhr UTC unautorisierte Abflüsse aus einem Teil ihrer Wallets festgestellt und daraufhin die Auszahlungen ausgesetzt. Die Summe, die das Unternehmen selbst nennt, liegt bei rund 351,6 Millionen US-Dollar. Für dich als deutschen Anleger ist die wichtigste Information nicht die Schadenshöhe, sondern der Auszahlungsstopp: Wer bei Bitget noch ein Restguthaben liegen hat, kommt in diesem Moment nicht daran.

Das trifft eine Gruppe, die ohnehin unter Zeitdruck steht. Seit dem 1. Juli 2026 dürfen Anbieter ohne MiCA-Zulassung im Europäischen Wirtschaftsraum keine neuen Geschäfte mehr machen. Bitget hat den EWR-Markt in Stufen verlassen und Bestandskunden darauf verwiesen, ihre Guthaben abzuziehen. Genau dieser eine verbliebene Weg ist jetzt vorübergehend zu.

Was bei Bitget geschehen ist: Hot Wallets, Warm Wallets und 351,6 Millionen Dollar

Eine Hot Wallet ist eine Geldbörse einer Börse, deren privater Schlüssel dauerhaft mit dem Internet verbunden ist. Sie muss das sein, weil Auszahlungen in Sekunden laufen sollen. Eine Cold Wallet hält den Schlüssel dagegen offline, meist auf abgetrennter Hardware; sie ist träge, dafür für Angreifer aus dem Netz nicht erreichbar. Dazwischen liegt die Warm Wallet, eine Zwischenstufe mit eingeschränktem, aber vorhandenem Netzzugang.

Bitget beschreibt seine Verwahrung als dreistufige Architektur aus genau diesen Ebenen. Nach Darstellung von Geschäftsführerin Gracy Chen, die CoinDesk zitiert, ist nur ein Teil der Hot- und Warm-Wallet-Ebene betroffen, die Cold Wallets seien unversehrt. Die Beträge, die Beobachter in der Kette sehen, lagen zunächst auseinander: Blockchain-Analysten meldeten in den ersten Stunden Bewegungen zwischen rund 178 und 183 Millionen US-Dollar, während das Unternehmen selbst 351,6 Millionen US-Dollar nennt. Eine solche Spanne ist in den ersten Stunden nach einem Vorfall normal, weil externe Beobachter nur die Transaktionen sehen, die sie bereits zuordnen können.

Die Abflüsse verteilten sich nach Auswertung von CryptoSlate auf fünfzehn Überweisungen und sieben Vermögenswerte über mehrere Netzwerke hinweg. Der größte Einzelblock entfiel mit 44,4 Prozent auf Ethereum; betroffen waren daneben unter anderem BNB, AVAX und der Stablecoin USDT. Auffällig ist, dass die Gelder anschließend auf einer einzigen Adresse zusammengeführt wurden.

Ein- und Auszahlungen behandelt die Börse unterschiedlich: Einzahlungen und Handel laufen nach Unternehmensangaben weiter, nur die Auszahlungen ruhen für die Dauer der Sicherheitsprüfung. Das Unternehmen kündigte stündliche Aktualisierungen an sowie einen vollständigen Bericht zur Ursache innerhalb von 24 Stunden. Beides stand zum Redaktionsschluss noch aus.

Warum der Auszahlungsstopp gerade deutsche Bestandskunden trifft

Für einen deutschen Anleger klingt der Fall zunächst weit weg, weil Bitget hierzulande kein Neugeschäft mehr betreiben darf. Genau das macht die Lage aber unangenehmer, nicht harmloser. Beim geordneten Rückzug eines Anbieters aus dem EWR bleibt Bestandskunden regelmäßig genau eine Handlung übrig: auszahlen. Wenn dieser Weg für unbestimmte Zeit gesperrt ist, verlieren Betroffene die einzige Option, die ihnen die Regulierung noch gelassen hatte.

Dazu kommt eine zweite Frist, die mit dem Vorfall nichts zu tun hat und trotzdem mitläuft. Bitget hatte am 18. September angekündigt, die Handelspaare COTI/USDT, SAGA/USDT und RVN/USDT zum 24. September um 10:00 Uhr UTC zu streichen. Für diese drei Werte laufen Auszahlungen laut Ankündigung bis zum 24. Dezember 2026, 10:00 Uhr UTC. Wer dort noch Bestände hält, hat also eine Frist im Kalender und gleichzeitig einen gesperrten Auszahlungsweg. Beides gleichzeitig ist der Grund, warum sich Abwarten hier nicht von selbst erledigt.

Praktisch heißt das: Prüfe heute, ob du überhaupt betroffen bist. Melde dich an, notiere den Kontostand mit Datum und Uhrzeit, mache einen Bildschirmabzug und stelle einen Auszahlungsauftrag, sobald die Funktion wieder freigegeben ist. Ein dokumentierter Stand ist später die Grundlage für jede Forderung und für deine Steuererklärung. Reagiere nicht auf E-Mails oder Direktnachrichten, die dir in dieser Lage Hilfe beim Abzug anbieten: Ein Auszahlungsstopp ist der Moment, in dem Betrüger mit angeblichen Wiederherstellungsdiensten auf Kundenlisten zugehen.

MiCA und das ESMA-Register: Welche Börse dich überhaupt bedienen darf

Die europäische Verordnung über Märkte für Kryptowerte, kurz MiCA, verlangt seit 2025 von jedem Anbieter, der im EWR Dienstleistungen rund um Kryptowerte erbringt, eine Zulassung als CASP (Crypto-Asset Service Provider). Zugelassene Anbieter stehen in einem öffentlichen Register der europäischen Wertpapieraufsicht ESMA. Die Übergangsregeln für Altanbieter liefen zum 1. Juli 2026 aus.

Bitget verfügt über keine solche Zulassung und steht nicht in diesem Register. Das Unternehmen hat eine Lizenz in Österreich beantragt und baut in Wien eine europäische Einheit auf; bis zu einer Erteilung bietet es im EWR keine Dienste an. Was in der Rückschau wie eine Formalie aussieht, ist der eigentliche Unterschied für dich: Bei einem zugelassenen Anbieter hättest du eine europäische Aufsichtsbehörde als Adressat, Berichtspflichten und dokumentierte Anforderungen an die Verwahrung. Ohne Zulassung fehlt dieser gesamte Apparat, und du bist auf die Zusagen des Unternehmens angewiesen.

Daraus folgt der erste Prüfschritt, der über diesen einen Fall hinausreicht. Schau nach, unter welcher Firma und in welchem Land dein Anbieter tatsächlich zugelassen ist, und gleiche das mit dem ESMA-Register ab. Wer hier Orientierung sucht, findet in unserem Überblick zu regulierten Krypto-Börsen für deutsche Anleger die Anbieter, die diese Hürde genommen haben. Welche Pflichten dabei auf die Unternehmen zukommen, haben wir in unserer Übersicht zu den MiCA-Lizenzpflichten für Krypto-Unternehmen zusammengestellt.

Ein Missverständnis begegnet dabei häufig: Eine MiCA-Zulassung ist kein Schutzschild gegen Hacks. Sie verpflichtet den Anbieter zu Organisationsanforderungen und zur Trennung von Kundenvermögen, und sie gibt dir im Schadensfall einen regulierten Ansprechpartner. Den technischen Einbruch verhindert sie nicht.

Drei Wallet-Ebenen einer Börse: Was davon dein Guthaben wirklich schützt

Wenn du Coins auf einem Börsenkonto hältst, gehören dir keine Coins auf der Blockchain, sondern ein Anspruch gegen das Unternehmen. Die Börse führt intern ein Konto über dein Guthaben und hält die Bestände aller Kunden gesammelt in ihren eigenen Wallets. Dieser Unterschied wird in dem Moment relevant, in dem die Bestände der Börse kleiner werden als die Summe der Ansprüche.

Die Aufteilung in Hot, Warm und Cold ist die übliche Antwort auf dieses Risiko. Der weit überwiegende Teil der Kundenbestände soll offline liegen, während nur ein Arbeitsvorrat online gehalten wird, groß genug für den täglichen Auszahlungsbetrieb. Funktioniert die Aufteilung wie vorgesehen, trifft ein Einbruch in die Hot Wallet nur diesen Arbeitsvorrat. Im vorliegenden Fall liegt die vom Unternehmen genannte Summe allerdings im dreistelligen Millionenbereich, was zeigt, wie groß dieser Arbeitsvorrat bei einer großen Börse ausfällt.

Für dich ist daraus eine Frage ableitbar, die du jedem Anbieter stellen kannst: Veröffentlicht er einen Nachweis über seine Reserven, und lässt sich dieser Nachweis unabhängig prüfen? Ein aussagekräftiger Beleg nennt Adressen, einen Stichtag und ein Verfahren, mit dem Kunden die Aufnahme ihres eigenen Guthabens nachvollziehen können. Eine Pressemitteilung mit einer Gesamtsumme ohne prüfbare Adressen erfüllt das nicht.

Der Schutzfonds ist keine Einlagensicherung: Was 464 Millionen Dollar Deckung bedeuten

Bitget verweist auf einen eigenen Schutzfonds, der nach Unternehmensangaben mehr als 464 Millionen US-Dollar hält und den Schaden vollständig abdecke. Das ist eine belastbare Zusage nur in dem Rahmen, in dem sie gemeint ist, und dieser Rahmen unterscheidet sich grundlegend von dem, was du von deinem Bankkonto kennst.

Die gesetzliche Einlagensicherung in der Europäischen Union schützt Bankguthaben bis 100.000 Euro je Kunde und Institut. Sie beruht auf einer Richtlinie, wird staatlich beaufsichtigt und greift unabhängig davon, ob die Bank zahlen will. Ein Schutzfonds einer Krypto-Börse ist demgegenüber eine freiwillige Rücklage des Unternehmens. Über Auszahlung, Reihenfolge und Höhe entscheidet das Unternehmen selbst. Für Kryptowerte existiert in der EU keine gesetzliche Einlagensicherung, auch nicht unter MiCA.

Das ist keine Aussage über die Zahlungsbereitschaft von Bitget, sondern über die Natur des Instruments. Ein Schutzfonds kann einen Schaden vollständig auffangen, und er hat das in der Branche bereits getan. Verlassen kannst du dich darauf in dem Sinne, in dem du dich auf eine Bankgarantie verlässt, jedoch nicht.

Self-Custody und Hardware-Wallet: Wann sich der Umzug vom Börsenkonto lohnt

Self-Custody heißt, dass du den privaten Schlüssel zu deinen Coins selbst hältst und niemand sonst über sie verfügen kann. Ein Hardware-Wallet ist ein kleines Gerät, das diesen Schlüssel erzeugt und dauerhaft von deinem Computer getrennt hält; Überweisungen werden auf dem Gerät bestätigt, der Schlüssel verlässt es nie. Die Seed Phrase ist die Wortfolge, aus der sich dieser Schlüssel wiederherstellen lässt, und damit der eigentliche Zugang zu deinem Vermögen.

Der Vorteil liegt auf der Hand: Ein Einbruch bei einer Börse erreicht Bestände nicht, die auf einem eigenen Gerät liegen. Die Kehrseite wird oft unterschätzt. Wer selbst verwahrt, hat keine Wiederherstellungshotline. Ein verlorener oder abfotografierter Seed bedeutet den endgültigen Verlust, und im August 2026 zeigte ein Fehler in der Schlüsselerzeugung bestimmter Offline-Geräte, dass auch dieser Weg eigene Risiken trägt.

Eine brauchbare Faustregel trennt nach Verwendungszweck. Beträge, mit denen du aktiv handelst, dürfen auf einer regulierten Börse liegen, weil du dort schnell handlungsfähig sein musst. Alles, was du über Monate halten willst und dessen Verlust dir wehtun würde, gehört auf eigene Hardware. Wenn du zum ersten Mal umziehst, lies dich vorher in den Vergleich der Hardware-Wallets ein und überweise zunächst einen kleinen Testbetrag, bevor du den Rest nachschickst.

Zur Sorgfalt gehört ein Punkt, der nichts kostet und regelmäßig vergessen wird: Schreibe die Seed Phrase mit der Hand auf, bewahre sie getrennt vom Gerät auf, und lege sie niemals als Foto, als Textdatei oder in einem Cloud-Speicher ab. Der häufigste Totalverlust in der Selbstverwahrung geht selten auf einen Angriff gegen das Gerät zurück. Meist existierte eine Kopie des Seeds an einem Ort, an den jemand anders herankam.

Steuer und Haltefrist: Was ein eingefrorenes Guthaben für deine Erklärung bedeutet

Ein Auszahlungsstopp ist steuerlich zunächst ein Nichtereignis. Solange deine Coins auf dem Konto stehen und nur nicht bewegt werden können, hast du weder verkauft noch getauscht, und es entsteht kein Veräußerungsgeschäft. Die einjährige Haltefrist nach § 23 Einkommensteuergesetz läuft in dieser Zeit weiter, denn sie knüpft an Anschaffung und Veräußerung an, nicht an die Verfügbarkeit.

Anders sieht es aus, sobald aus dem gesperrten Guthaben ein tatsächlicher Ausfall wird. Ob und wie sich ein Verlust aus gestohlenen oder nicht mehr auszahlbaren Kryptowerten steuerlich geltend machen lässt, ist in Deutschland nicht abschließend geklärt und hängt am Einzelfall. Das Bundesfinanzministerium hat sich in seinem Schreiben zu Kryptowerten zu Diebstahlsverlusten nicht eindeutig positioniert. Für dich folgt daraus vor allem eine Dokumentationspflicht in eigener Sache: Sichere Kontoauszüge, Transaktionslisten und die Mitteilungen des Anbieters mit Datum, solange du noch Zugriff auf dein Konto hast.

Führst du ohnehin ein Portfolio-Werkzeug, trag den Vorgang dort als eigenen Posten ein, statt ihn im Kopf zu behalten. Welche Programme die Belege in einer Form ausgeben, die ein Finanzamt akzeptiert, zeigt unsere Übersicht der Krypto-Steuer-Tools und Portfolio-Tracker. Bei größeren Beträgen ist der Gang zum Steuerberater die günstigere Variante, weil eine falsch angesetzte Verlustposition später Rückfragen auslöst.

September 2026 in der Hack-Bilanz: Liquid Network, Bitget und die Summe des Jahres

Der Vorfall steht nicht allein. Nach Zahlen, die CryptoSlate unter Berufung auf DeFiLlama zusammenträgt, lagen die Verluste durch Angriffe im September 2026 bereits vor dem Bitget-Vorfall bei rund 342 Millionen US-Dollar. Mit dem jetzt gemeldeten Schaden summiert sich der Monat auf mehr als 684 Millionen US-Dollar und übertrifft damit den bisherigen Jahreshöchstwert vom April, der bei 646,9 Millionen US-Dollar lag.

Den größten Einzelposten davor stellte Anfang September das Liquid Network mit rund 320 Millionen US-Dollar, wobei die Angreifer dort erklärten, als Whitehat gehandelt zu haben. Dazu kamen kleinere Vorfälle, unter anderem ein Angriff auf eine Hot Wallet des Anbieters Duelbits mit etwa 7 Millionen US-Dollar. Einordnend bleibt festzuhalten, dass eine Monatsbilanz stark von wenigen großen Einzelfällen abhängt und daraus kein Trend für das kommende Quartal abzulesen ist.

Für die Bewertung deines eigenen Risikos ist ohnehin eine andere Beobachtung nützlicher. Die großen Schäden dieses Jahres entstanden weit überwiegend dort, wo Vermögen gebündelt bei einem Verwahrer lag. Das gilt auch für die geordneten Fälle: Sowohl die Abschaltung von BitMEX am 23. September als auch die angekündigte Schließung von CoinEx zum Jahresende haben Kunden in dieselbe Lage gebracht, nämlich Guthaben unter Zeitdruck von einer Plattform holen zu müssen, die sie sich nicht mehr aussuchen konnten. Bitcoin selbst reagierte auf die Meldung am Abend kaum; der Markt behandelt einen Einbruch bei einer einzelnen Börse inzwischen als Ereignis dieser Börse.

Bitget-Hack prüfen: Was du daraus mitnimmst

1. Kläre heute, ob du betroffen bist, und dokumentiere den Stand. Melde dich an, notiere Guthaben mit Datum und Uhrzeit, sichere Transaktionsliste und Anbietermitteilungen und stelle den Auszahlungsauftrag, sobald die Funktion wieder offen ist. Für die drei zum 24. September gestrichenen Handelspaare endet das Auszahlungsfenster am 24. Dezember 2026. Halte die Belege so, wie es ein Finanzamt später sehen will — die passenden Werkzeuge dafür stehen im Vergleich der Krypto-Steuer-Tools.
2. Prüfe bei jeder Börse, die du nutzt, die Zulassung. Sieh nach, welche Firma in welchem Land für dein Konto haftet, und gleiche sie mit dem ESMA-Register ab. Ein Anbieter ohne CASP-Zulassung darf dich im EWR nicht bedienen, und im Streitfall fehlt dir die europäische Aufsicht als Adressat. Welche Häuser diese Hürde genommen haben, steht im Überblick der regulierten Krypto-Börsen.
3. Trenne Handelsbestand und Langfristbestand. Was du bewegst, darf auf der Börse liegen; was du über Monate hältst, gehört auf eigene Hardware, mit handschriftlich notierter Seed Phrase getrennt vom Gerät und einem kleinen Testbetrag vor dem ersten großen Übertrag. Die Geräte und ihre Unterschiede findest du im Hardware-Wallet-Vergleich.

Eine letzte Einordnung, die zum Zeitpunkt dieses Textes gilt: Bitget hat den Vorfall selbst gemeldet, den Schaden beziffert und Deckung durch den eigenen Schutzfonds zugesagt. Ob die Auszahlungen zügig wieder öffnen und ob der angekündigte Ursachenbericht die offenen Fragen beantwortet, war bei Redaktionsschluss nicht absehbar. Bis dahin gilt für dich die nüchterne Regel, die dieser Abend wieder bestätigt hat: Guthaben auf einer Börse ist eine Forderung gegen ein Unternehmen, und ihr Wert hängt daran, dass dieses Unternehmen zahlen kann und darf.

(Stand: 24. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)