Am 21. Februar 2025 verschwanden mit einer einzigen Unterschrift 1,5 Milliarden Dollar von der zweitgrößten Kryptobörse der Welt — der größte Diebstahl in der Geschichte des Geldes. So hat Nordkorea es gemacht. Und so kam es, dass am Ende kein einziger Kunde einen Cent verlor.
Die Routineüberweisung
Es ist ein ganz gewöhnlicher Donnerstagnachmittag. Bei Bybit steht Routinearbeit an: Ether von einer Cold Wallet — offline, der Tresor — in eine warme Wallet verschieben. Mehrere Führungskräfte müssen unterschreiben; es ist eine Multisig, genau die Konstruktion, die als sicher gilt.
Die Signer schauen auf ihren Bildschirm. Sie sehen die richtige Adresse, den richtigen Betrag. Sie unterschreiben. Und während sie glauben, eine gewöhnliche Überweisung freizugeben, unterschreiben sie in Wahrheit etwas ganz anderes: eine Änderung der Logik des Smart Contracts, der den Tresor verwaltet.
All the signers saw the “musked” UI which showed the correct address.Ben Zhou, CEO von Bybit
Innerhalb weniger Minuten leert sich der Tresor in 39 unbekannte Adressen.
Was verschwand
Die Beute ist schwindelerregend: 401.347 ETH, dazu stETH, cmETH und mETH — zusammen rund 499.000 Ether im Wert von etwa 1,46 Milliarden Dollar. Kein Bug in einem obskuren DeFi-Protokoll. Der größte, am besten gesicherte Tresor einer Top-Börse, in einer einzigen Transaktion geleert. Das Dogma “Cold Storage = sicher” ist an einem Nachmittag gestorben.
Die gefälschte Unterschrift
Wie? Die Angreifer hatten nicht Bybit gehackt, sondern die Lieferkette. Wochen zuvor, um den 4. Februar, kompromittierten sie den Laptop eines Entwicklers von Safe{Wallet}, der Multisig-Software, die Bybit nutzte. Am 19. Februar schleusten sie bösartiges JavaScript in die Infrastruktur von Safe ein — Code, der ausschließlich bei Bybits eigener Contract-Adresse aktiv wurde und die Oberfläche fälschte, sodass die Signer das Richtige sahen und das Falsche unterschrieben. Zwei Minuten nach dem Schlag war der Code bereits wieder entfernt.
Es ist die heimtückischste Form des “Blind Signing”: Deine Hardware sagt ja, deine Augen sagen ja — und trotzdem unterschreibst du deinen eigenen Tresor weg.
Die ersten zwölf Stunden
Und dann passiert etwas, das diese Geschichte von FTX und Mt. Gox unterscheidet. Bybit-CEO Ben Zhou taucht nicht ab. Binnen anderthalb Stunden twittert er, dass der Tresor geknackt wurde. Wenige Stunden später geht er live auf Stream, um es zu erklären.
Bybit is solvent even if this hack loss is not recovered.Ben Zhou, 21. Februar 2025 belegt
Was folgt, ist ein Bankrun und die Gegenbewegung zugleich. Mehr als 350.000 Auszahlungsanträge laufen ein; Bybit wickelt 99,994 % davon binnen zehn Stunden ab. Wettbewerber springen ein: Bitget überweist 40.000 Ether — zinslos, ohne Sicherheiten. Galaxy Digital, FalconX und Wintermute liefern den Rest. Binnen rund 72 Stunden ist das Loch von 1,23 Milliarden Dollar gestopft, und ein Audit bestätigt, dass jeder Kunde wieder zu 100 % gedeckt ist. Das Darlehen an Bitget wird drei Tage später zurückgezahlt.
Die Spur nach Nordkorea
Während Bybit den Brand löscht, beginnt die Jagd. Der On-Chain-Ermittler ZachXBT stellt binnen etwa fünf Stunden den Zusammenhang her: Die Adressen überschneiden sich mit früheren Hacks von Phemex und BingX — der Fingerabdruck von Lazarus, der Hackergruppe Nordkoreas. Fünf Tage später macht das FBI es offiziell.
North Korea was responsible for the theft of approximately $1.5 billion.FBI, öffentliche Warnung, 26. Februar 2025 belegt
Wohin das Geld ging
Hier endet die Erfolgsgeschichte. Die Hacker wuschen die gesamte Beute in etwa zehn Tagen, größtenteils über das Protokoll THORChain in Bitcoin getauscht und auf fast 7.000 Wallets verteilt. Bis Mitte 2025 waren rund 62 % — 868 Millionen Dollar — “dark”: unauffindbar. Nur ein Bruchteil wurde eingefroren. Deutschland nahm den Mixer eXch vom Netz und beschlagnahmte 34 Millionen Euro; die US-Behörde FinCEN kappte ein Geldwäschenetzwerk. Aber der größte Teil ist weg — Richtung Regime in Pjöngjang.
Was das bedeutet
Der Bybit-Hack sind zwei Geschichten in einer. Er ist eine Warnung, dass “Cold Wallet” nicht reicht, wenn der Mensch und die Software drumherum knackbar sind — die Front verschob sich vom Tresor zur Unterschrift. Und er ist ein seltenes Beispiel für gelungenes Krisenmanagement: Durch Transparenz, Solvenz und Hilfe aus der Branche verlor am Ende kein einziger Kunde etwas, trotz des größten Raubs aller Zeiten.
Genau das ist der Punkt für alle, die entscheiden, wo sie ihre Krypto lagern. Ein Hack ist keine Frage des Ob, sondern des Wann. Die eigentliche Frage lautet: Hat die Börse die Reserven, die Transparenz und den Willen, dich heil rauszubringen, wenn es schiefgeht? Bybit hatte sie. Nicht jede Börse hat das bewiesen.
Quellen
FBI-Zuordnung (IC3 PSA); Bybit-Incident-Zeitleiste mit allen X-Posts (Bybit Learn); forensische Ursache Safe{Wallet} (Bleeping Computer); Reserven binnen 72 Stunden wiederhergestellt (CNBC); Bitget-Darlehen zurückgezahlt (Cointelegraph); 62 % dark (The Defiant).