Wat betekent de uitstroom bij Bitget van 463 miljoen dollar?

Marktcontext per 20.37 CEST. Bitcoin noteert 83.425,30 dollar, 1,3 procent onder de 24-uurs high van 84.527,10 dollar en 0,8 procent boven de 24-uurs low van 82.735,10 dollar. Het 24-uurs handelsvolume op Kraken bedraagt ongeveer 2.285 BTC, omgerekend 190,7 miljoen dollar. De hacker zette een deel van de buit via THORChain om van ether in bitcoin. Bron, Kraken.

Uitstroom bij Bitget overtreft de buit van de hack

De aanval trof Bitget op 24 september. Een kwetsbaarheid in een extern beveiligingsproduct gaf de aanvaller toegang tot interne goedkeuringsrechten. Daarmee stuurde de dader valse opdrachten naar het uitbetalingssysteem, dat transacties uitvoerde zonder dat de eigen risicocontroles ingrepen. Bitget herzag de schade later opwaarts naar 387,5 miljoen dollar, na extra tegoeden op de netwerken van Zcash en Tron.

Vijf dagen later blijkt de paniek groter dan de diefstal. DefiLlama registreerde 463 miljoen dollar aan nettouitstroom in 24 uur. Dat is ruim 10 procent van de 5,7 miljard dollar aan reserves die Bitget opgeeft. Wie de twee cijfers naast elkaar legt ziet iets dat geen van beide bronnen apart meldt. Voor elke gestolen dollar verliet zo’n 1,19 dollar aan klantentegoeden de beurs.

De dader zette een deel van de buit in ether via THORChain om naar bitcoin. Bitget vroeg het protocol de betrokken adressen te blokkeren. THORChain weigerde. Het netwerk kan het hele systeem stilleggen, maar niet een portemonnee gericht bevriezen. Het beschermingsfonds van 464 miljoen dollar moest klanten eerder geruststellen. Na de uitstroom zakte het naar onder de 200 miljoen dollar. Topvrouw Gracy Chen zegt het fonds binnen een week weer boven de 300 miljoen dollar te brengen. Ze wijst naar Noord-Korea als vermoedelijke dader.

Europa kijkt anders naar dit dossier

Bitget draait in de Europese Unie nog altijd zonder MiCA-vergunning. De Bitget-entiteit in de EU diende in juni een aanvraag in bij de Oostenrijkse toezichthouder FMA. Die aanvraag ligt nog in behandeling. Sinds 1 juli moet elke aanbieder die in de EU actief is over een CASP-vergunning beschikken. Ook de MiCA-aanvraag van Binance loopt via een nationale toezichthouder, de Griekse HCMC.

Toezicht verschilt sterk. Een Nederlandse belegger die via een AFM-geregistreerde partij als Bitvavo handelt, valt onder de bewaarplicht die MiCA aan vergunninghouders oplegt. Wie tegoeden aanhoudt bij een platform zonder die vergunning, leunt op het eigen protectiefonds van die beurs. Dat verschil is illustratief, geen advies, voor een inleg van 1.000 euro. Bij Bitget bepaalde de omvang van dat fonds hoeveel dekking er nog over was toen de paniek toesloeg.

Bitget moet op 30 september de opnames in USDT hervatten, gevolgd door de resterende tegoeden en P2P-handel op 2 oktober. Blijft de uitstroom op dat moment doorzetten, dan groeit de druk op het beschermingsfonds verder.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.