Bitget ha iniziato a riaprire i prelievi dopo che gli attaccanti hanno prosciugato circa 387,5 milioni di dollari da parte dell'infrastruttura di wallet hot e warm dell'exchange, mentre i team forensi continuano a tracciare i fondi e ad analizzare come è stato perpetrato il breach. I wallet hot e warm sono i sistemi connessi a Internet che gli exchange utilizzano per elaborare i prelievi quotidiani, mentre l'archiviazione cold rimane offline come livello di protezione separato.

Secondo la divulgazione ufficiale dell'incidente di Bitget, gli attaccanti hanno sfruttato una vulnerabilità in un prodotto di sicurezza di terze parti per ottenere credenziali di accesso interne, per poi inviare comandi di prelievo contraffatti direttamente ai sistemi wallet dell'exchange. Poiché tali istruzioni apparivano come attività autorizzata, sono eluse i controlli di rischio esistenti. Le chiavi private non sono state compromesse e i wallet cold di Bitget sono rimasti illesi.

La stima delle perdite è stata innalzata dai 351,6 milioni di dollari identificati inizialmente il 24 settembre — quando Crypto Adventure ha riportato per primo il breach — a 387,5 milioni di dollari dopo che ulteriori transazioni Zcash e TRON sono state classificate come parte dell'incidente.

I prelievi in Bitcoin riprendono dopo una pausa di quattro giorni

I prelievi in BTC sono tornati online alle 08:00 UTC del 28 settembre su Bitcoin e BNB Smart Chain, dopo ulteriori controlli di sicurezza sull'infrastruttura di prelievo di Bitget, come indicato nella cronologia ufficiale dell'incidente pubblicata dall'exchange. I prelievi in ETH sono previsti per il 29 settembre alle 08:00 UTC su Ethereum, BNB Smart Chain, Arbitrum, Base e Optimism. USDT è previsto per il 30 settembre, mentre i token rimanenti, i prelievi in valuta fiat e i servizi P2P sono programmati per il 2 ottobre. La riapertura graduale comporta che ogni gruppo di network torna operativo solo al termine dei propri controlli, quindi gli utenti delle fasi successive affrontano tempistiche scaglionate per spostare i fondi. Durante tutta la sospensione, trading e depositi sono rimasti disponibili.

Il Protection Fund di Bitget deteneva oltre 464 milioni di dollari al momento della valutazione dell'incidente, superando le perdite attualmente identificate. L'exchange ha designato il fondo — una riserva mantenuta come garanzia contro le perdite — per assorbire l'impatto finanziario, lasciando invariati i saldi dei conti degli utenti.

Attribuzione degli attaccanti ancora non confermata

Bitget non è arrivata ad attribuire formalmente il breach alla Corea del Nord o ad alcun altro gruppo sostenuto da uno Stato. Mandiant, società di threat intelligence, e SlowMist, azienda di sicurezza blockchain, stanno conducendo l'indagine forense indipendente, e l'attribuzione resta al di fuori dei riscontri confermati dall'exchange finché quel lavoro è in corso. Fino alla conclusione dei lavori, il conteggio totale delle perdite e la quota di fondi recuperati restano questioni aperte.

La risposta è già progredita oltre il contenimento, verso il tracciamento e il recupero dei fondi. Alcune attività interessate sono state congelate grazie al coordinamento con exchange, progetti blockchain e società di sicurezza, e Bitget offre un bounty del 5% per le azioni volontarie idonee che portano direttamente al congelamento o al recupero delle attività.

La spinta a bloccare i fondi rubati ha anche messo in luce una controversia sull'infrastruttura cross-chain permissionless. THORChain ha declinato la richiesta di Bitget di bloccare gli indirizzi degli sfruttatori identificati, innescando un più ampio dibattito sulla decentralizzazione riguardo a se i protocolli gestiti da validatori debbano intervenire quando attività rubate note transitano attraverso i loro sistemi. Il disaccordo ruota attorno a una differenza strutturale rispetto alle piattaforme centralizzate: i protocolli permissionless operano senza un amministratore centrale, quindi non esiste un'unica parte con l'autorità unilaterale di bloccare un indirizzo.

Bitget ha escluso il compromissimento delle chiavi private e ha isolato i sistemi interessati, e sta rafforzando i controlli sui prodotti di sicurezza di terze parti — il punto di ingresso del breach — oltre che sull'accesso interno, sulla verifica dei prelievi e sul monitoraggio delle attività anomale. I prelievi in ETH restano in programma per le 08:00 UTC del 29 settembre, seguiti da USDT il 30 settembre e dai restanti servizi di prelievo il 2 ottobre, offrendo nei prossimi giorni verifiche chiare sul rispetto della tempistica di ogni fase di ripristino.

La leadership diget si è espressa pubblicamente sull'incidente, anche in un post di Gracy Chen su X. Questo rapporto si basa sulla copertura di Crypto Adventure dell'incidente.