Giełda kryptowalut Bitget potwierdziła 24 września 2026 r., że jej systemy bezpieczeństwa wykryły nieautoryzowane transfery z ograniczonej liczby gorących portfeli o godzinie 18:31 UTC. Według giełdy affected aktywa o wartości około 351,6 mln USD, co czyni ten incydent jednym z największych naruszeń bezpieczeństwa giełd od czasu straty 1,5 mld USD poniesionej przez Bybit.

Wstępny monitoring on-chain sugerował, że skompromitowano trzy gorące portfele i jeden zimny portfel, a przeniesiono i wymieniono na ETH ponad 170 mln USD. Bitget później wyjaśnił, że jego trójwarstwowa architektura portfeli ograniczyła włamanie do fragmentów warstw gorących i ciepłych portfeli, podczas gdy wszystkie zimne portfele w każdej sieci potwierdzono jako bezpieczne i nieobjęte incydentem. Gorące portfele pozostają online, aby obsługiwać codzienne wypłaty, natomiast zimne przechowywanie jest utrzymywane offline; odizol większości aktywów giełdy w tym drugim to standardowy bufor ograniczający wielkość kapitału narażonego na ryzyko w przypadku kompromitacji online'owej warstwy podpisywania.

Skradzione aktywa obejmują wiele sieci, w tym Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC i Base. Największa pojedyncza strata wystąpiła w sieci XRP, gdzie skradziono około 102,9 mln XRP o wartości około 157,5 mln USD. Pozostałe objęte aktywa to około 31 890 ETH, 34,75 mln USDT, 21 mln USDC, 19,67 mln USD₮0, 3000 XAUt, 12 719 BNB, 821 012 AVAX i 20,6 mln TRX. Śledczy on-chain poinformowali, że sprawca wymienił większość pozyskanych środków z sieci EVM na blisko 68 000 ETH.

Według zespołu bezpieczeństwa Bitget hakerzy włamali się do krytycznego systemu backendowego usługi portfeli, sfałszowali szczegóły transferów i uruchomili proces autoryzowanego podpisywania, aby wyprowadzić środki — co jednoznacznie wyklucza wyciek kluczy prywatnych, czyli ścieżkę ataku wymierzoną w wewnętrzny proces autoryzacji giełdy, a nie w same klucze kryptograficzne. Ze środków ostrożności wypłaty zostały wstrzymane, podczas gdy wpłaty i handel pozostały aktywne.

Giełda oznaczyła podejrzane adresy, zaangażowała organy ścigania i firmy zajmujące się bezpieczeństwem on-chain oraz poinformowała, że kilka fundacji blockchain zamroziło już portfele sprawców. Bitget zobowiązał się do dostarczania aktualizacji co godzinę oraz pełnego raportu z analizy przyczyn źródłowych w ciągu 24 godzin.

Wiadomość o incydencie po raz pierwszy pojawiła się w poście na X autorstwa 谢家印 (Xie Jiayin):

今天凌晨2:31 Bitget安全系统监测到部分热钱包出现异常转账。安全团队在第一时间启动应急响应机制。 一、已确认的情况： 1、初步评估涉及金额约3.516亿美金 2、冷钱包及平台绝大部分资产完整，未受影响…

— 谢家 (@xiejiayinBitget) September 24, 2026

Zabezpieczenia finansowe i kwestie atrybucji

Bitget podkreślił, że środki użytkowników są w pełni chronione, wskazując, że strata mieści się w granicach jego funduszu ochrony użytkowników (User Protection Fund), który posiada ponad 464 mln USD w publicznie weryfikowalnych portfelach, a dodatkowo giełda utrzymuje ponad 1 mld USD kapitału własnego. CEO Gracy Chen oświadczyła, że sam fundusz wystarcza na pokrycie strat i sprzeciwiła się porównaniom do FTX, argumentując, że platforma jest w stanie wytrzymać potencjalny.run na wypłaty. Potwierdziła również, że Bitget Wallet działa na całkowicie oddzielnej infrastrukturze i nie został objęty incydentem.

Chen podsumowała swoje wypowiedzi na X:

刚才上午跟大家做了个三个多小时的直播，这里总结一下直播中聊到的点： ① Bitget 安全事件12小时进展通报。以下为具体信息，不打官腔。 ②…

— Gracy Chen @Bitget (@GracyBitget) September 25, 2026

W kwestii atrybucji Chen powiedziała, że tożsamości sprawcy nie można potwierdzić z pełną pewnością, ale dowody wskazują na podmioty powiązane z Koreą Północną. Niektóre adresy IP zaangażowane w włamanie ściśle odpowiadają wzorcom VPN wykorzystywanym przez grupę związaną z KRLD, a metodyka ataku jest zgodna z ich znanymi technikami. Skala straty wpisuje się w szerszy schemat: za niektóre z największych kradzieży giełdowych w branży, w tym stratę 1,5 mld USD poniesioną przez Bybit, badacze obwiniają jednostki hakerskie powiązane z Koreą Północną, a pozyskane środki są zazwyczaj przenoszone i wymieniane między sieciami, aby utrudnić ich odzyskanie. Niezależny analityk Specter powiązał skradzione XRP, które zostało przeniesione przez bridge, z hackiem AFX z lipca o wartości 24 mln USD, przypisanym TraderTraitor, sub-podmiotowi grupy Lazarus — nazwą używaną przez amerykańskie agencje i badaczy branżowych dla zorientowanej na kryptowaluty części działań Lazarus. Bitget powiadomił odpowiednie organy i współpracuje ze śledztwami na całym świecie.

Regarding who is behind the hack: I present to you THE LAZARUS GROUP. just linked this hack to the AFX hack, which stole $24M in July and was specifically attributed to TraderTraitor. The stolen XRP from Bitget was bridged and can be directly linked to the funds stolen in the… pic.twitter.com/cRPdhhdpjQ

— Specter (@SpecterAnalyst) September 25, 2026

Przywrócenie wypłat pozostaje kwestią otwartą — Chen oświadczyła, że nie zost podany dokładny harmonogram, dopóki bezpieczeństwo systemu nie zostanie w pełni potwierdzone, ponieważ prace naprawcze obejmujące liczne dotknięte kryptowaluty i sieci są nadal w toku. Bliskoterminowymi punktami odniesienia dla czytelników są zapowiadany raport z analizy przyczyn źródłowych, wznowienie wypłat oraz ewentualne dalsze zamrożenia lub ruchy on-chain związane z oznaczonymi adresami sprawców.

Ten artykuł został pierwotnie opublikowany przez Metaverse Post.