In drei Wochen lieferte Bitget zwei Anlässe, über den Aufbewahrungsort des eigenen Geldes nachzudenken: im September wurden ihr 351,6 Millionen Dollar entzogen, im Oktober sperrte sie Kunden aus Russland, Belarus und Kasachstan aus. Wir gehen beide Ereignisse anhand der Primärquellen durch, rechnen nach, was das eigene Verwahren der Schlüssel tatsächlich ändert — und, wichtiger, was es nicht löst.
18. Oktober 2026 · bei Veröffentlichung geprüft
Sie hängen nicht zusammen — jedenfalls erklärt die Börse keinen Zusammenhang, und keine Quelle zeigt einen. Doch sie folgten aufeinander und treffen denselben Punkt: Geld auf einer Börse gehört Ihnen technisch nicht.
Die Börse bemerkte die fremden Überweisungen um 18:31 UTC. Das Geld verließ heiße und warme Wallets über sieben Netze — Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain und Base, der größte Teil in XRP mit rund 158 Millionen. Die Schätzung wurde später auf etwa 387,5 Millionen angehoben, als weitere Überweisungen auftauchten. Zu dem Zeitpunkt der größte bestätigte Diebstahl des Jahres.
Die Nutzungsbedingungen wurden geändert: Russland und Belarus kamen auf die Liste verbotener Jurisdiktionen, Kasachstan stand schon vorher darauf. Ab dem 18. Oktober sind neue Geschäfte, Orders und Abos nicht verfügbar; bis zum 21. müssen Positionen geschlossen und Mittel abgezogen sein; ab dem 21. ist der Zugang zum Konto eingeschränkt. Das Umgehen per VPN verbietet eine eigene Klausel. Als Grund nennt die Börse regulatorische Vorgaben.
Zu einem Diebstahl bei einer Börse gehört sonst der Satz „die Schlüssel wurden gestohlen“. Hier nicht, und der Unterschied zählt.
Private Schlüssel wurden nicht gestohlen, kalte Wallets blieben unberührt. Der Angreifer gelangte in die Serverseite und fälschte die Transaktionsdaten, die das Autorisierungssystem sah. Fremde Abhebungen durchliefen das übliche Freigabeverfahren als rechtmäßig. In den Worten von Geschäftsführerin Gracy Chen: der Angreifer „manipulated the transaction data shown to its authorization process“.
Was das für einen Einleger bedeutet. Sie können Ihre Schlüssel schützen, so gut Sie wollen — steht zwischen Ihnen und dem Geld ein fremdes Freigabesystem, ist genau dieses angreifbar. Der Eindringling braucht weder Ihr Passwort noch Ihre Zwei-Faktor-Prüfung: er täuscht nicht Sie, sondern den Mechanismus, der über die Rechtmäßigkeit einer Abhebung entscheidet. Von der Nutzerseite aus lässt sich dagegen nichts tun.
Die Zuordnung der Börse ist vorläufig — nordkoreanische Gruppen, anhand von VPN-Adressen, Überschneidungen mit Wallets früherer Hacks und dem Wäschemuster. Die Analysten von TRM Labs schreiben ausdrücklich, dass sie keine endgültige Zuordnung vorgenommen haben.
Die drei Länder aus den Schlagzeilen sind nicht die ganze Liste. Die geänderten Bedingungen nennen achtundzwanzig verbotene Jurisdiktionen, und ihre Zusammensetzung erklärt die Logik.
Neben sanktionierten Staaten und Konfliktzonen stehen dort Japan, Singapur, Kanada, Frankreich, Deutschland, Österreich, Hongkong, Malaysia und die Vereinigten Staaten. Es geht also ebenso um streng regulierte Märkte, die die Börse ohne Lizenz nicht betritt. Entschieden wird nicht gegen ein Land, sondern für die eigene regulatorische Bequemlichkeit — und auf der falschen Seite davon kann jeder landen.
Fünf Tage für alles. Von der Änderung am 16. Oktober bis zur Zugangssperre am 21. Sind Sie in diesen Tagen im Urlaub, im Krankenhaus oder lesen schlicht keine Börsen-E-Mails, schließt niemand Ihre Positionen. Genau dieses Risiko fehlt bei der Eigenverwahrung: dort setzt Ihnen niemand eine Frist.
Rainbow ist eine nicht-verwahrende Wallet: der private Schlüssel liegt auf dem Gerät des Nutzers, die Firma hat keinen Zugriff darauf. Daraus folgen Dinge, die nicht vom guten Willen der Firma abhängen.
Das Bitget-Szenario wiederholt sich hier nicht. Es gibt kein fremdes Autorisierungssystem, das man mit gefälschten Daten täuschen könnte: die Transaktion signiert der Schlüssel auf Ihrem Gerät. Ein Einbruch in die Infrastruktur der Firma verschafft keinen Zugriff auf Nutzergelder, weil die Firma keine hält.
Eine Zeile in den Nutzungsbedingungen widerruft keinen privaten Schlüssel. Selbst wenn die Firma morgen schlösse, blieben die Mittel erreichbar: die geheime Phrase funktioniert in jeder kompatiblen Wallet, und Adresse wie Historie liegen in der Kette, nicht auf einem Server.
Niemand gibt Ihnen fünf Tage zum Abziehen. Das klingt nach einer Kleinigkeit — genau bis zu dem Tag, an dem jemand es tut.
Dieser Abschnitt wiegt schwerer als der vorige. Eigenverwahrung verlagert das Risiko, statt es zu beseitigen — vom Gegenüber auf Sie — und eine ehrliche Betrachtung muss sagen, was das kostet.
Den Verlust deckte der Nutzerschutzfonds, in dem mehr als 464 Millionen Dollar liegen. Bei genau diesem Hack verlor der Einleger Nerven und Zeit, aber kein Geld. Wer eine bösartige Transaktion signiert oder seine geheime Phrase verloren hat, hat keinen Fonds. Und keinen Support. Und kein Rückgängig.
Eine verlorene Phrase bedeutet endgültig verlorene Mittel — niemand kann sie wiederherstellen, und genau darin liegt der Sinn der Konstruktion. Eine Überweisung an eine falsche Adresse wird nicht zurückgerollt. Eine Signatur unter einer bösartigen Freigabe gibt die Token ohne jeden Hack heraus, und formal ist es Ihre eigene freiwillige Transaktion.
Den Schlüssel kann man nicht wegnehmen, doch Funktionen sind nicht überall verfügbar. Bei Rainbow selbst arbeitet der Bereich Cash nur für Kunden in den USA, außer New York und Kalifornien, und nur mit einer Visa-Karte. Zu behaupten, Wallets kennten keine geografischen Grenzen, wäre unwahr: den Schlüssel kann man wirklich nicht einziehen, aber das Produkt darum herum antwortet denselben Aufsichtsbehörden.
Wie man das ehrlich vergleicht. Eine Börse trägt Gegenparteirisiko: ein Einbruch in ihre Systeme, eine Sperre nach Jurisdiktion, eine Frist, die man Ihnen setzt — aber es gibt Sicherungsfonds, und bei Bitget hat der Fonds funktioniert. Eine Wallet trägt Nutzerrisiko: es liegt ganz bei Ihnen, ist unumkehrbar und durch nichts gedeckt. Das ist kein „das eine ist besser“, das ist die Wahl, welches Risiko Sie tragen wollen.
Zentralisierte Börsen haben Treuetoken — BNB, OKB, BGB, GT. Rainbow hat RNBW. Der Vergleich drängt sich auf, also sagen wir gleich, wo er trägt und wo nicht.
Was überprüfbar ist. Rainbow kauft RNBW am Markt zurück. Es tut das die Schatzadresse — eine Safe-Multisignatur, bei der eine Überweisung zwei von drei Unterschriften braucht:
0xcaa9bFCbc9ff87428535bc4E163296c3A8ae308E
Zwischen Februar und Oktober 2026 kaufte sie … RNBW mit Marktorders über Pools von Uniswap und Aerodrome und zahlte in USDC. Zurückverkauft wird von dieser Adresse nichts. Die Einnahmen der Anwendung betragen laut DeFiLlama … im Jahr.
Täglich neu gezählt aus dem Überweisungsjournal des Tokens; als Kauf zählt nur, wo in derselben Transaktion USDC abfloss. Die ausführliche Aufschlüsselung steht in der Betrachtung zu den Merkmalen von Arthur Hayes.
Und das fehlt, man sollte es vor dem Kauf wissen. Eine Pflicht zum Rückkauf ist in der Kette nirgends festgeschrieben. Es gibt keinen Vertrag, der einen Anteil der Gebühren in den Kauf des Tokens lenkt, und kein Dokument, das dazu verpflichtete. Der Rückkauf bleibt eine Entscheidung der Firma, die sie einstellen darf. Die mitunter zu hörende Behauptung „die Firma kauft den Token von einem Teil ihrer Gebühren zurück“ beschreibt einen Mechanismus, den es in der Kette nicht gibt: die Käufe sind echt und sichtbar, ihre Bindung an einen Anteil der Einnahmen ist es nicht.
Gesondert sei gesagt, dass der Vergleich mit Börsentoken in diesem Punkt gegen RNBW spricht. BNB hatte historisch ein Verbrennen, das an die Einnahmen der Börse gekoppelt war — eine härtere Bindung an Geld als ein freiwilliger Rückkauf. Der Vorteil eines Wallet-Tokens liegt nicht in der Belohnungsmechanik, sondern darin, dass die Wallet selbst nicht so aufgebrochen werden kann wie Bitget.
Eine Börse ist der Ort, an dem ein Geschäft gemacht wird, nicht der Ort, an dem Ersparnisse wohnen. Vernünftig ist dort ein Betrag, dessen Verlust durch Sperre oder Hack Sie verkraften; der Rest gehört in eine Wallet, deren Schlüssel Ihnen gehört.
Der häufigste Verlust bei Eigenverwahrung ist kein Hack, sondern eine abhandengekommene Phrase. Sie gehört außerhalb des Geräts und außerhalb der Cloud notiert, und das prüft man, bevor man sie braucht, nicht danach.
Nicht-Verwahrung schützt nicht vor einer freiwilligen Signatur. Eine unbegrenzte Ausgabeerlaubnis, einem unbekannten Vertrag erteilt, gibt die Mittel ohne jeden Hack heraus — und es wird Ihre eigene rechtmäßige Transaktion sein.
Wir sind ein unabhängiges Portal und nicht mit dem Rainbow-Team verbunden. Dies ist keine Anlageempfehlung: alle Zahlen oben sind Messungen, keine Prognosen. Die Angaben zu Hack und Sperre folgen Berichten von TRM Labs, CoinDesk, The Hacker News, BleepingComputer und Meduza; die Rückkaufzahlen zählen wir selbst aus der Kette und sie aktualisieren sich täglich.