Bybits Sicherheitssysteme blockierten in der ersten Hälfte des Jahres 2026 mehr als 700 Millionen US-Dollar an potenziellen Nutzerverlusten, während die Börse ihre Echtzeit-Blockchain-Überwachung und KI-gestützte Bedrohungserkennung nach dem Hack von 2025 in Höhe von 1,46 Milliarden US-Dollar ausbaute.
Zusammenfassung
- Bybit blockierte mehr als 30.000 verdächtige Abhebungen und verhinderte so in H1 2026 über 700 Millionen US-Dollar an potenziellen Nutzerverlusten.
- Die Börse überwacht nun 100 % der geschäftsrelevanten On-Chain-Aktivitäten und bewältigte 10 Sicherheitsvorfälle bei Token-Projekten ohne Plattformverluste.
- Mehr als 100.000 Sicherheitswarnungen wurden mit KI-Unterstützung verarbeitet, während automatisierte Tests einige Sicherheitsbewertungszyklen von zwei Wochen auf zwei Stunden verkürzten.
- Bybit hat außerdem rechtliche Schritte gegen Nordkorea und die Lazarus-Gruppe wegen des Hacks von 1,46 Milliarden US-Dollar im Februar 2025 eingeleitet.
Bybits Risiko- und Sicherheitsbericht für H1 2026, der den Zeitraum vom 1. Januar bis 15. Juni abdeckt, besagt, dass die Börse nun drei Hauptverteidigungsebenen betreibt, die Nutzerkonten, kontinuierliche On-Chain-Überwachung und KI-gestützte Sicherheitsoperationen umfassen, wobei menschliche Spezialisten die Kontrolle über kritische Entscheidungen behalten.
Die Börse gab an, dass in diesem Zeitraum mehr als 30.000 verdächtige Abhebungsanfragen abgefangen wurden, wodurch fast 20.000 Nutzer geschützt wurden. Erste Risikoprüfungen dauerten durchschnittlich 4,7 Minuten, während 95 % innerhalb von 10 Minuten abgeschlossen wurden.
Sicherheitsteams identifizierten außerdem etwa 212 Millionen US-Dollar an Geldern, die möglicherweise mit Betrug in Verbindung standen, und setzten mehr als 10.000 bösartige Blockchain-Adressen auf die schwarze Liste. Bybit erklärte, dass Verhaltensanalysen und KI-gestützte Überwachung eingesetzt wurden, um Transaktionsmuster zu erkennen, die mit neuen Betrugskampagnen in Verbindung stehen.
Die Börse hat ihre Sicherheitsarchitektur seit dem Angriff vom 21. Februar 2025, bei dem rund 1,46 Milliarden US-Dollar aus ihrer Ethereum-Cold Wallet abgezogen wurden, wieder aufgebaut. Der Vorfall wurde zum größten registrierten Kryptowährungsdiebstahl nach Wert und wurde später von US-Behörden nordkoreanischen Akteuren zugeschrieben.
Bybits Sicherheitsüberwachung deckt nun alle relevanten On-Chain-Aktivitäten ab
Bybit erklärte, dass sein Überwachungssystem nun 100 % der für sein Geschäft als relevant erachteten On-Chain-Aktivitäten abdeckt, einschließlich gelisteter Token-Verträge, Ökosystemverträge und der Cold-, Warm- und Hot Wallets der Börse.
Laut Bericht identifizierte und bewältigte das System in H1 10 Sicherheitsvorfälle, die auf der Börse gelistete Token-Projekte betrafen, wobei keiner zu Verlusten für Bybit führte. In acht Fällen schlossen die Sicherheitsteams Notfallmaßnahmen vor anderen großen Börsen ab, während zwei Vorfälle erkannt wurden, bevor die betroffenen Projekte die Angriffe selbst identifiziert hatten.
Das Unternehmen erklärte, dass das System es seiner Sicherheitsabteilung ermöglicht, sowohl Aktivitäten innerhalb der Handelsplattform als auch Transaktionen zu überwachen, die direkt auf unterstützten Blockchains stattfinden. Verdächtiges Vertragsverhalten oder Wallet-Bewegungen können daher auch dann überprüft werden, wenn ein Vorfall außerhalb der eigenen Infrastruktur von Bybit beginnt.
Kontinuierliche Überwachung ist auch im gesamten Kryptosektor zu einem größeren Thema geworden. Ein Sicherheitsbericht vom Juli, der zuvor von crypto.news behandelt wurde, ergab, dass kompromittierte Schlüssel, Signierer und Infrastruktur für 88,3 % der rund 764 Millionen US-Dollar verantwortlich waren, die im zweiten Quartal 2026 gestohlen wurden. Hacken, das 1.427 Projekte verfolgte, fand Hinweise auf Überwachung durch Dritte nur bei 9 % von ihnen und sagte, dass nur 4 % Überwachung, ein aktives Bug-Bounty-Programm und ein Audit kombinierten.
Hacken identifizierte außerdem 14 Projekte, die trotz zuvor abgeschlossener Sicherheitsaudits ausgenutzt wurden. Laut dem Unternehmen betrafen mehrere Angriffe Signiergeräte, Administratorschlüssel, Backend-Systeme, Brücken-Validatoren oder ältere Verträge und nicht den Smart-Contract-Code, der bei herkömmlichen Audits untersucht wurde.
KI hat Bybits Sicherheitstests von Wochen auf Stunden verkürzt
KI hat auch eine größere Rolle in Bybits Verteidigungssystemen übernommen, wobei die Börse angab, dass mehr als 100.000 Sicherheitswarnungen in der ersten Jahreshälfte eine KI-gestützte Analyse erhielten.
Laut H1-Bericht erkannten KI-gestützte Sicherheitsaudits Schwachstellen mit hohem Schweregrad drei- bis fünfmal häufiger als manuelle Überprüfungen. Automatisierung verkürzte außerdem den Zeitraum zwischen einer Sicherheitsbewertung und anschließenden Tests von etwa zwei Wochen auf ungefähr zwei Stunden.
Die automatisierte Red-Team-Plattform der Börse bewertete 1.489 öffentlich zugängliche Assets und identifizierte mehr als 100 Schwachstellen mit hohem Schweregrad. Bybit gab an, dass die durchschnittliche Zeit zwischen der Entdeckung eines Assets und dem Beginn der ersten Penetrationstests unter 24 Stunden lag, verglichen mit manuellen Prozessen, die Wochen dauern konnten.
KI wird hauptsächlich eingesetzt, um Informationen zu verarbeiten, Schwachstellen zu finden und die Geschwindigkeit von Sicherheitstests zu erhöhen, während Spezialisten weiterhin für komplexere Entscheidungen verantwortlich sind, so das Unternehmen.
„Das Wettrüsten im Bereich der Cybersicherheit hat eine Ära der Minuten erreicht“, sagte David Zong, Leiter der Konzernrisikokontrolle und -sicherheit bei Bybit.
Zong sagte, die Börse betrachte den Einsatz von KI für die Sicherheit und den Schutz der KI-Systeme selbst als Priorität, während „menschliches Urteilsvermögen“ bei kritischen Sicherheitsentscheidungen weiterhin zentral bleibe.
Dieser Ansatz kommt, während Angreifer ebenfalls Automatisierung und KI nutzen, um Aufklärung und Schwachstellenerkennung zu beschleunigen. Bybit erklärte, dass die Reduzierung der Zeit zwischen der Entdeckung verdächtiger Aktivitäten und dem Handeln darauf zu einem zentralen Bestandteil seiner Sicherheitsstrategie geworden ist.
Kontokontrollen stoppten mehr als 30.000 verdächtige Abhebungen
Benutzerkonten bildeten einen weiteren Teil der Sicherheitsarbeit der Börse im ersten Halbjahr, insbesondere im Zusammenhang mit Abhebungen, die von ihren Systemen als verdächtig eingestuft wurden.
Mehr als 30.000 Abhebungsanfragen wurden abgefangen, wobei fast 20.000 Benutzer vor potenziellen Verlusten geschützt wurden, so das Unternehmen. Der Gesamtwert belief sich auf über 700 Millionen US-Dollar, obwohl der Bericht die Zahl als potenzielle Verluste beschrieb und nicht als Vermögenswerte, bei denen bestätigt wurde, dass sie erfolgreich von Angreifern ins Visier genommen wurden.
Die On-Chain-Überwachung erfolgte parallel zu diesen Kontokontrollen. Bybit gab an, dass in diesem Zeitraum etwa 212 Millionen US-Dollar an Geldern identifiziert wurden, die möglicherweise mit Betrug in Verbindung stehen, während mehr als 10.000 Adressen auf seine schwarze Liste gesetzt wurden.
Die Zahlen folgen auf einen Sicherheitsvorfall, bei dem Angreifer den Prozess kompromittierten, der zum Transfer von Geldern aus der Ethereum-Cold-Wallet von Bybit verwendet wurde. Der Sicherheitsverstoß im Februar 2025 entzog mehr als 400.000 ETH und gestaktes Ether im Wert von damals etwa 1,46 Milliarden US-Dollar, wobei Bybit-CEO Ben Zhou sagte, dass die Börse den Verlust abdecken und weiterhin Kundenabhebungen bearbeiten könne.
Ermittler brachten die Operation später mit der Lazarus-Gruppe aus Nordkorea in Verbindung. Im Mai veröffentlichte Schätzungen zeigten, dass nordkoreanische Akteure im Jahr 2025 etwa 2,02 Milliarden US-Dollar in Kryptowährung stahlen, wobei der Bybit-Diebstahl den größten Teil dieser Summe ausmachte. Chainalysis schätzte, dass die Aktivität den kumulierten Krypto-Diebstahl, der mit Nordkorea in Verbindung gebracht wird, auf etwa 6,75 Milliarden US-Dollar erhöhte.
Die Bedrohung setzte sich bis 2026 fort. Zwei Angriffe im Zusammenhang mit Lazarus auf Drift Protocol und KelpDAO im April sollen zusammen 577 Millionen US-Dollar abgeschöpft haben, darunter 285 Millionen US-Dollar von Drift und 292 Millionen US-Dollar von KelpDAO. Die Vorfälle beruhten auf Social Engineering, kompromittierten Geräten und Brückeninfrastruktur anstelle von herkömmlichen Smart-Contract-Exploits.
Bybit hat die Lazarus-Rückgewinnungsbemühungen vor ein US-Gericht gebracht
Technische Kontrollen wurden von Bemühungen begleitet, die bei dem Angriff 2025 entwendeten Vermögenswerte aufzuspüren und zurückzugewinnen, wobei Bybit mit Strafverfolgungsbehörden, Blockchain-Intelligence-Unternehmen und anderen Branchenteilnehmern zusammenarbeitete.
Anfang dieses Monats reichte die Börse eine US-Klage gegen Nordkorea, seine Geheimdienstbehörde Reconnaissance General Bureau und die Lazarus-Gruppe beim US-Bezirksgericht für den District of Columbia ein.
Der Fall betrifft den Verstoß vom 21. Februar und zielt auf die Rückgewinnung von Vermögenswerten ab, die mit dem Diebstahl in Verbindung stehen. Ein Bundesrichter erließ außerdem eine einstweilige Verfügung, die bestimmte nicht genannte Beklagte daran hindert, Vermögenswerte, die von der Anordnung erfasst sind, zu übertragen oder zu veräußern, während das Verfahren läuft.
Bybit hat erklärt, dass die Zivilverfahren getrennt von den US-Strafuntersuchungen zu nordkoreanischen Hacking-Aktivitäten sind. Das FBI führte den Angriff zuvor auf nordkoreanische Akteure zurück und forderte Börsen, Validatoren und Blockchain-Unternehmen auf, Transaktionen im Zusammenhang mit Adressen zu blockieren, die bei der Geldwäscheoperation verwendet wurden.
Die Rückverfolgung der gestohlenen Vermögenswerte wurde nach dem Angriff zunehmend schwieriger. Im März 2025 gab Bybit an, dass 88,87 % der Gelder weiterhin rückverfolgbar waren, während 7,59 % untergetaucht waren und 3,54 % eingefroren wurden. Bis April sagte Zhou, dass 27,6 % der gestohlenen Gelder nicht mehr verfolgt werden konnten, nachdem die Angreifer Vermögenswerte in Bitcoin umgewandelt und sie über Tausende von Wallets, Cross-Chain-Dienste und Krypto-Mixer verteilt hatten.
Bybit hat während des Wiederherstellungsprozesses auch ein Prämienprogramm und freiwillige Einfrierungen durch andere Branchenteilnehmer genutzt. Nach dem Angriff deckte die Börse ihren Vermögensfehlbetrag durch Ether-Käufe, Kredite und Einlagen von Gegenparteien ab, während sie gleichzeitig Kundenabhebungen fortsetzte.
Im US-Zivilverfahren erklärte Bybit, dass es beabsichtigt, im weiteren Verlauf des Verfahrens weitere Rechtsmittel einzulegen. Das Gericht hat noch kein endgültiges Urteil über die Ansprüche der Börse gegen Nordkorea, das Aufklärungsbüro oder die Lazarus-Gruppe gefällt.
