L'exchange di criptovalute Bitget il 24 settembre ha segnalato trasferimenti non autorizzati per un totale di circa 351,6 milioni di dollari da parte dell'infrastruttura dei suoi hot wallet e warm wallet, descrivendo l'evento come uno dei più grandi incidenti di sicurezza crypto del 2026. L'azienda ha riferito ai giornalisti che i suoi cold wallet restano intatti e che depositi e trading continuano a funzionare, mentre i prelievi sono stati sospesi per il momento in attesa che il team di sicurezza esamini la situazione.

Trasferimenti anomali rilevati alle 18:31 UTC

Secondo l'exchange, i suoi sistemi di sicurezza hanno rilevato trasferimenti anomali alle 18:31 UTC del 24 settembre e hanno attivato le procedure di risposta di emergenza entro pochi minuti. Bitget stima che circa 351,6 milioni di dollari siano stati coinvolti.

L'account X ufficiale dell'azienda ha pubblicato quanto segue riguardo all'incidente:

Live about Bitget Hot Wallet Incident on September 24, 2026 — Bitget (@bitget) September 24, 2026 (fonte)

Coinvolte solo parti dei livelli di hot wallet e warm wallet

Bitget ha dichiarato che l'evento ha coinvolto solo porzioni dei livelli di hot wallet e warm wallet dell'azienda. L'avviso di sicurezza ufficiale indica che i cold wallet non sono stati interessati. L'exchange ha inoltre sottolineato che i fondi sui conti degli utenti restano corretti e che l'importo coinvolto è protetto dal suo User Protection Fund, che supera i 464 milioni di dollari. Fondi di protezione di questo tipo sono riserve che i principali exchange mantengono per coprire le perdite degli utenti derivanti da incidenti di sicurezza.

I prelievi sono sospesi mentre è in corso la revisione di sicurezza, ma il recente aggiornamento di Bitget indica che trading e depositi erano ancora attivi. La sospensione dei trasferimenti in uscita mentre le altre funzioni restano operative è una misura di contenimento comunemente adottata dagli exchange durante le revisioni di sicurezza in corso, poiché i prelievi rappresentano il principale canale per spostare fondi fuori da una piattaforma. L'exchange ha rivelato di aver rilevato e contrassegnato gli indirizzi di ricezione anomali e di aver informato le forze di polizia e le società di sicurezza blockchain.

Invito agli utenti di Bitget Wallet a revocare le approvazioni dei contratti

L'incidente ha anche comportato un avviso cautelativo per gli utenti di Bit Wallet. Bitget ha invitato gli utenti a revocare le attuali autorizzazioni dei contratti nell'ambito del protocollo investigativo e ad astenersi da determinate attività di trading finché non verranno fornite ulteriori informazioni. Le approvazioni dei token conferiscono agli smart contract l'autorizzazione permanente a interagire con i fondi di un utente, ed è per questo che la rimozione di quelle inutilizzate è una precauzione di routine durante incidenti di sicurezza legati a una piattaforma. Secondo lo stesso consiglio di sicurezza dell'exchange, gli utenti dovrebbero consultare i registri delle approvazioni e annullare le autorizzazioni non più necessarie, poiché eliminare i permessi dei token superflui può ridurre le probabilità di esposizione a interazioni indesiderate con i contratti.

Bitget Wallet ha inoltre annunciato di non essere stata coinvolta dall'incidente per quanto riguarda i propri sistemi di wallet e gli asset degli utenti, aggiungendo che la sua infrastruttura di wallet self-custody è indipendente dalla rete di wallet in custodia dell'exchange.

L'indagine si concentra sulla via d'attacco

Per il momento, Bitget non ha reso pubblica la specifica vulnerabilità che ha consentito i trasferimenti non autorizzati. L'exchange non ha fornito ulteriori dettagli sul vettore d'attacco nel suo comunicato ufficiale, dichiarando che manterrà riservate tali informazioni fino al completamento delle indagini.

Gracy Chen, amministratrice delegata dell'azienda, ha successivamente dichiarato che l'indagine preliminare ha individuato indirizzi IP che potrebbero essere stati correlati a servizi VPN appartenenti a un gruppo di hacker sostenuto dalla DPRK. Ha sottolineato che si tratta di un indizio investigativo e non di un'attribuzione definitiva. Gruppi legati alla DPRK sono stati collegati da investigatori delle Nazioni Unite e da società di analisi blockchain a una serie di grandi furti di criptovalute negli ultimi anni, uno schema che spiega la stretta attenzione che un simile indizio attira prima che l'attribuzione venga confermata.

Gli analisti on-chain hanno osservato asset affluire verso nuovi indirizzi ed essere scambiati tra exchange decentralizzati (DEX). Tuttavia, tali movimenti sulla blockchain non sono ancora stati ricondotti ai propri proprietari, né è stato stabilito il modo in cui è avvenuta l'intrusione iniziale. La tracciabilità sulle blockchain pubbliche è tipicamente incrementale, poiché gli analisti seguono gli asset attraverso indirizzi e piattaforme passo dopo passo prima che i destinatari possano essere identificati o i fondi congelati.

La sicurezza degli exchange di criptovalute sotto i riflettori

L'incidente evidenzia le differenze tra hot wallet, warm wallet e cold storage negli exchange di criptovalute centralizzati. Gli hot wallet restano collegati ai sistemi che facilitano le transazioni, il che li rende utili per i prelievi quotidiani ma li espone anche a una superficie d'attacco online più ampia. I cold wallet sono conservati offline o comunque isolati dalle operazioni online di routine. I warm wallet si collochiano tra i due, con controlli di accesso più rigorosi e connettività limitata, e gli exchange adottano tali configurazioni a livelli per bilanciare la liquidità quotidiana con il rischio di mantenere grandi somme online.

Bitget ha dichiar che l'indagine è in corso e che intende pubblicare una relazione completa sull'incidente che copra la causa principale e le azioni correttive. L'exchange ha inoltre affermato che i prelievi riprenderanno al termine della revisione di sicurezza. Fino ad allora, le questioni aperte riguardano la causa principale illustrata in tale relazione, i tempi di ripristino dei prelievi e se gli indizi preliminari porteranno a un'attribuzione confermata.

Fonte: Crypto Ninjas