Hot wallet svuotati attraverso più catene

Bitget, uno dei più grandi exchange di criptovalute al mondo, ha perso oltre 350 milioni di dollari dopo che aggressori hanno violato i suoi hot wallet — i wallet connessi a internet che un exchange mantiene online per elaborare prelievi e regolamenti, e bersaglio iniziale standard nelle violazioni agli exchange. Gli strumenti di monitoraggio on-chain hanno segnalato i primi movimenti anomali nelle prime ore del 25 settembre, mostrando oltre 180 milioni di dollari in asset in uscita da indirizzi controllati dall'exchange verso wallet senza proprietario identificato. Il totale dei flussi in uscita tracciati ha successivamente superato i 351 milioni di dollari, una violazione individuata per prima da un'analisi on-chain esterna piuttosto che dal monitoraggio interno dell'exchange. Gli asset rubati comprendevano Ethereum (ETH), le stablecoin USDC e USDT, BNB e AVAX. I dati on-chain mostrano che gli aggressori hanno convertito tali asset a prezzi ben al di sotto dei tassi di mercato prevalenti — una dimostrazione estrema di slippage — prima di spostare il ricavato su altre blockchain attraverso protocolli bridge per complicare gli sforzi di recupero. Segnalazioni di richieste di prelievo fallite da parte degli utenti sono seguite entro pochi minuti dai deflussi sospetti. L'amministratore delegato di Bitget, Gracy Chen, ha confermato pubblicamente l'incidente giovedì e ha stimato il danno in circa 351,6 milioni di dollari. Ha sottolineato che i fondi dei clienti sono al sicuro e che l'intera perdita rientra nella copertura del User Protection Fund dell'exchange, che attualmente detiene oltre 464 milioni di dollari — sufficienti ad assorbire completamente la violazione. Bitget ha sospeso i prelievi immediatamente dopo aver rilevato l'attacco e ha dichiarato che i servizi riprenderanno solo dopo una revisione di sicurezza completa. Chen ha inoltre rivelato che gli indirizzi IP tracciati durante l'indagine potrebbero essere associati a un gruppo legato alla DPRK, pur sottolineando che il collegamento non è stato definitivamente accertato.

Backend compromesso, chiavi intatte

Il seguito ufficiale di Bitget del 25 settembre ha ristretto la causa principale. Secondo i risultati preliminari del team di sicurezza pubblicati da Chen sul suo account X,'intruso ha penetrato il sistema backend centrale del servizio wallet dell'exchange, ha falsificato informazioni di trasferimento e ha attivato la procedura di firma delle approvazioni per spingere fondi verso indirizzi esterni — istruzioni che assomigliavano ai normali tipi di ordine di trasferimento della piattaforma. In modo cruciale, nessuna prova indica che le chiavi private del wallet siano state compromesse. Chen ha dichiarato che una fuga di chiavi è stata esclusa, "il che significa che è stato eliminato uno scenario di rischio più grave", e che il contenimento è completo, senza ulteriore possibilità che fondi non autorizzati lascino la piattaforma. Secondo la valutazione della stessa azienda, l'architettura wallet a tre livelli di Bitget ha mantenuto i suoi cold wallet completamente immuni. Come esattamente l'attaccante abbia penetrato il backend resta sotto indagine; Bitget ha dichiarato che pubblicherà un rapporto tecnico completo non appena il metodo di intrusione sarà identificato. Il team di risposta di emergenza è intervenuto immediatamente dopo l'incidente, ha identificato e segnalato gli indirizzi che hanno ricevuto fondi anomali e ha avvisato le forze dell'ordine e le aziende di sicurezza on-chain che lavorano al caso. Un'intrusione backend di questo tipo è più difficile da rilevare rispetto a una chiave trapelata, perché l'attaccante opera all'interno di un'infrastruttura di cui l'exchange stesso si fida. I prelievi restano sospesi mentre più team tecnici eseguono in parallelo il ripristino dei sistemi e il rafforzamento della sicurezza. Chen ha declinato di impegnarsi su una tempistica di riavvio, affermando che Bitget annuncerà una data non appena ne sarà confermata una e non "prometterà frettolosamente un programma che non può rispettare". I lettori che seguono il mercato in tempo reale possono monitorare i prezzi live spot e futures su Gate .

Il fondo da 464 milioni di dollari mette a fuoco la ripresa

Un congelamento concreto ha colpito una parte dei fondi rubati: Circle ha inserito in blacklist un indirizzo etichettato "Bitget Exploiter 8" su Etherscan alle 05:00 UTC di venerdì, e la società di sicurezza blockchain MistTrack ha riferito che anche Tether successivamente ha bannato il wallet. L'azione blocca circa 318.000 dollari in stablecoin — circa 218.023 USDT e 99.990 USDC, insieme a 170,47 ETH — solo una piccola frazione del bottino di 351,6 milioni di dollari. La limitazione è strutturale: il tracker di MistTrack mostra che altri indirizzi dell'exploiter detengono ancora più di 63.000 ETH, un asset che nessun emittente può congelare. La risposta rapida di Circle segna un contrasto con l'hack di Drift da 285 milioni di dollari di aprile, quando circa 232 milioni di dollari in USDC sono passati da Solana a Ethereum prima di qualsiasi blacklist, attirando critiche dai ricercatori on-chain tra cui ZachXBT.

(aggiornato alle 15:10 UTC) Letti insieme, i due annunci inquadrano questa violazione come un fallimento di sicurezza operativa piuttosto che crittografico: le chiavi private sono rimaste intatte, eppure la pipeline di firma poteva essere manipolata dall'interno del backend. La tracciatura on-chain dei circa 351,6 milioni di dollari defluiti, verificabile transazione per transazione, determinerà quanto potrà essere congelato o recuperato prima che gli aggressori completino il bridging. L'analisi ufficiale fino ad oggi attribuisce la perdita all'intrusione nel backend, con i dettagli sulla mitigazione ancora in sospeso. I fondi di copertura come quello da 464 milioni di dollari di Bitget — ormai standard tra le piazze da Bitget a Coinbase Global (COIN) — sono diventati un requisito di sopravvivenza per gli exchange, e per i trader che valutano il rischio di controparte la nostra guida ai migliori exchange di criptovalute spiega come differiscono i modelli di custodia. I prossimi catalizzatori: l'avviso di ripristino dei prelievi e il rapporto tecnico.