Bitget начала восстанавливать вывод средств после того, как злоумышленники вывели около $387,5 млн из части инфраструктуры горячих и теплых кошельков биржи, пока криминалистические команды продолжают отслеживать средства и выяснять, как был совершен взлом. Горячие и теплые кошельки — это подключенные к интернету системы, которые биржи используют для обработки повседневных выводов, тогда как холодное хранение находится офлайн как отдельный уровень защиты.

Согласно официальному сообщению Bitget об инциденте, злоумышленники воспользовались уязвимостью в стороннем продукте безопасности, чтобы получить внутренние учетные данные, а затем отправили поддельные команды вывода напрямую в кошельковые системы биржи. Поскольку эти инструкции выглядели как авторизованная активность, они прошли мимо существующих проверок рисков. Приватные ключи не были скомпрометированы, холодные кошельки Bitget остались нетронутыми.

Оценка потерь была повышена с $351,6 млн, впервые названных 24 сентября, — когда Crypto Adventure впервые сообщил о взломе — до $387,5 млн после того, как дополнительные транзакции в Zcash и TRON были отнесены к инциденту.

Вывод Bitcoin возобновляется после четырехдневной паузы

Вывод BTC снова заработал в 08:00 UTC 28 сентября в сетях Bitcoin и BNB Smart Chain после дополнительных проверок безопасности инфраструктуры вывода Bitget, согласно опубликованному биржей таймлайну инцидента. Вывод ETH запланирован на 29 сентября в 08:00 UTC в сетях Ethereum, BNB Smart Chain, Arbitrum, Base и Optimism. USDT — 30 сентября, а оставшиеся токены, вывод фиата и P2P-сервисы запланированы на 2 октября. Поэтапное восстановление означает, что каждая группа сетей возвращается только после завершения своих проверок, поэтому пользователи более поздних этапов столкнутся с разным временем вывода средств. На протяжении приостановки торговля и депозиты оставались доступными.

Страховой фонд Bitget на момент оценки инцидента превышал $464 млн что больше текущего объема выявленных потерь. Биржа выделила этот фонд — резерв, который она поддерживает как защиту от убытков, — для покрытия финансовых последствий, оставив балансы пользователей без изменений.

Атакующий все еще не установлен

Bitget не стала официально приписывать взлом Северной Корее или другой поддерживаемой государством группировке. Mandiant, компания в области анализа угроз, и SlowMist, специалист по блокчейн-безопасности, проводят независимое криминалистическое расследование, и установление атакующих пока не входит в подтвержденные выводы биржи, пока эта работа продолжается. До ее завершения итоговая сумма потерь и доля возвращенных средств остаются открытыми вопросами.

Реагирование уже вышло за рамки локализации в фазу отслеживания и возврата средств. Часть пострадавших активов заморожена благодаря координации с биржами, блокчейн-проектами и компаниями по безопасности, а Bitget предлагает вознаграждение в размере 5% за квалифицированные добровольные действия, которые непосредственно приводят к заморозке или возврату активов.

Попытки заблокировать похищенные средства также обнажили спор вокруг бесправной межсетевой инфраструктуры. THORChain отклонил запрос Bitget на блокировку выявленных адресов злоумышленников, спровоцировав более широкую дискуссию о децентрализации: должны ли протоколы, управляемые валидаторами, вмешиваться, когда через их системы проходят известные похищенные активы. Разногласие связано со структурным отличием от централизованных площадок: бесправные протоколы работают без центрального администратора, поэтому нет единой стороны с односторонним полномочием блокировать адрес.

Bitget исключила компрометацию приватных ключей и изолировала затронутые системы, а также усиливает контроль над сторонними продуктами безопасности — точкой входа для взлома — внутренним доступом, верификацией выводов и мониторингом аномальной активности. Вывод ETH остается запланированным на 08:00 UTC 29 сентября, за ним последуют USDT 30 сентября и остальные сервисы вывода 2 октября, что дает ближайшим дням четкие контрольные точки для проверки соблюдения графика каждого этапа.

Руководство Bitget публично прокомментировало инцидент, в том числе в посте Грейси Чен в X. Этот материал основан на освещении инцидента Crypto Adventure.