Bitget traci 351,6 miliona dolarów z hot wallet. Fundusz ochronny giełdy posiada 5 500 BTC.

Giełda kryptowalut Bitget wykryła 24 września o 18:31 UTC nieautoryzowane transfery z kilku swoich hot wallet. Według firmy aktywa o wartości około 351,6 miliona dolarów opuściły jej portfele, zanim w ciągu kilku minut zadziałały procedury awaryjne. Bitget wstrzymał wypłaty, utrzymał wpłaty i handel oraz twierdzi, że salda klientów pozostają w pełni pokryte. Jego CEO, Gracy Chen, oświadczyła, że za atakiem najprawdopodobniej stoi grupa powiązana z Koreą Północną.

Co zostało skradzione

Pierwsze alerty on-chain w czwartek wieczorem mówiły o około 183 milionach dolarów, wyprowadzonych w ciągu godziny. Suma niemal się podwoiła, gdy uwzględniono odpływy XRP. Zestawienie Lookonchain dotyczące adresów napastnika obejmuje:

• 102,93 miliona XRP o wartości około 157,5 miliona dolarów
• 31 890 ETH o wartości około 85,8 miliona dolarów
• 34,75 miliona dolarów w USDT, 19,67 miliona dolarów w USDT0 i 21,05 miliona dolarów w USDC
• mniejsze pozycje w BNB, AVAX, TRX i XAUt, tokenie zabezpieczonym fizycznym złotem

Transfery przebiegały w co najmniej siedmiu sieciach, w tym Ethereum, XRP Ledger, Arbitrum i Base. W żadnym z opublikowanych zestawień nie pojawia się bitcoin.

Napastnik zaczął wymieniać łup niemal natychmiast. Świeżo utworzony portfel kupił w ciągu sześciu minut 7 111 ETH na Arbitrum za 19,67 miliona dolarów w USDT0, płacąc do 5 procent powyżej ceny spot. Po wymianie większości aktywów w sieciach EVM Lookonchain naliczył na adresach napastnika około 67 982 ETH o wartości około 183 milionów dolarów.

Jak napastnicy się dostali

Bitget dzieli swoje środki między hot wallet, warm wallet i cold wallet. Firma twierdzi, że włamanie objęło część warstw hot i warm, a jej cold wallet nie zostały naruszone.

Według Chen nie skradziono żadnych kluczy prywatnych. Napastnicy "przejęli krytyczny system backendowy w naszej infrastrukturze portfeli, wykorzystali go do sfałszowania danych transakcji i uruchomili nasz proces autoryzacji, aby wyprowadzić środki". Systemy podpisujące zatwierdziły transfery, ponieważ otrzymane dane wyglądały jak prawidłowe żądania wypłaty. Ponieważ atak nastąpił przed etapem kluczy, mógł objąć wiele aktywów w wielu sieciach jednocześnie.

Bitget podaje, że dokładna metoda włamania jest nadal badana i że zostanie opublikowany pełny raport techniczny. Nad sprawą pracują firmy bezpieczeństwa Mandiant i SlowMist, a organy ścigania zostały powiadomione.

Kto może za tym stać

Oświadczenie Bitget stwierdza, że metoda ataku jest "wysoce zgodna ze znanymi wzorcami północnokoreańskich organizacji hakerskich", na podstawie zachowania adresów IP i analizy on-chain. W wypowiedzi opublikowanej na X Chen powiedziała, że zespół znalazł adresy IP, których wzorce korzystania z VPN odpowiadały wzorcom konkretnej grupy powiązanej z Koreą Północną, co jej zdaniem czyni powiązanie z Koreą Północną "bardzo prawdopodobnym".

Atrybucja pochodzi od samego Bitget i jest wstępna. Żadna agencja rządowa jej dotąd nie potwierdziła. Północnokoreańskie grupy stały za kilkoma największymi kradzieżami w branży. FBI przypisało Korei Północnej kradzież około 1,5 miliarda dolarów z giełdy Bybit w lutym 2025 roku, największą w historii.

Jak Bitget zamierza pokryć stratę

Bitget twierdzi, że klienci nie poniosą straty. "Środki użytkowników są bezpieczne", napisała firma, dodając, że cała kwota "mieści się w pokryciu User Protection Fund Bitget, który obecnie posiada ponad 464 miliony dolarów".

Fundusz posiada 5 500 BTC, a jego adresy portfeli są publiczne. W piątek Bitget poinformował, że strata zostanie pokryta z funduszu "po ocenie" i że uzupełni fundusz, a szczegóły poda w osobnym komunikacie. Chen wskazała też na ponad 1 miliard dolarów aktywów własnych poza funduszem i oświadczyła, że środki klientów pozostają zabezpieczone jeden do jednego.

W porównaniu z funduszem strata jest duża. Przy wartości podawanej przez Bitget 351,6 miliona dolarów to około 76 procent funduszu. Przy cenie bitcoina około 83 900 dolarów odpowiada to mniej więcej 4 190 BTC.

Część straty może jeszcze zostać odzyskana. W piątek Circle i Tether umieściły na czarnej liście adres napastnika z 218 023 USDT i 99 990 USDC, czyli około 318 000 dolarów lub 0,09 procent całości, jak podaje CoinDesk, powołując się na firmę analityczną MistTrack. Ten sam raport zauważa, że inne adresy napastnika wciąż posiadają ponad 63 000 ETH, których żaden emitent nie może zamrozić. Podczas transmisji na żywo Chen powiedziała, że część środków objętych incydentem "może mieć szansę na odzyskanie", nie podając kwoty.

Dlaczego bitcoiny z funduszu mają znaczenie

Skradzione aktywa to XRP, ether i stablecoiny. Fundusz, który ma je pokryć, posiada bitcoiny. Ta rozbieżność rodzi pytanie, czy Bitget sprzeda bitcoiny, aby odtworzyć swoje salda w dotkniętych aktywach.

Bitget tego nie powiedział. Jego dotychczasowe oświadczenia zobowiązują go do pokrycia straty i uzupełnienia funduszu, a nie do konkretnej metody. Giełda może sięgnąć do funduszu, do własnych aktywów albo do obu, a każde odzyskane środki zmniejszają lukę. Dopóki Bitget nie opublikuje, jak rozliczy stratę, sprzedaż bitcoinów z funduszu jest możliwością, a nie zapowiedzianym krokiem. Ponieważ adresy funduszu są publiczne, każdy ruch z nich byłby widoczny on-chain.

Cena bitcoina ledwie drgnęła po tej wiadomości. Bitcoin kosztował około 84 400 dolarów w czwartek wieczorem i około 83 900 dolarów w piątek, przy dziennym wzroście o 0,34 procent. Własny token giełdy, BGB, spadł o około 3,2 procent.

Co incydent pokazuje o przechowywaniu na giełdzie

Saldo na giełdzie to roszczenie wobec giełdy, a nie bitcoin pod kontrolą klienta. Klienci Bitget nie powinni w tym przypadku stracić pieniędzy, ponieważ firma twierdzi, że może pokryć stratę. Nigdy jednak nie posiadali kluczy do skradzionych aktywów. Klucze, systemy podpisujące i backend, który je zasilał, należały w całości do Bitget. To właśnie rozróżnienie stoi za hasłem "not your keys, not your coins", które nasz przewodnik po samodzielnym przechowywaniu przekłada na praktykę. Hot wallet istnieją, ponieważ giełda musi szybko realizować wypłaty, i właśnie to stałe połączenie czyni je odsłoniętą warstwą, jak wyjaśnia nasze porównanie hot wallet i cold wallet.

Samodzielne przechowywanie przenosi ryzyko, zamiast je usuwać. Kradzieże powiązane z wadą entropii w Coldcard pokazały, że również urządzenie do podpisywania może zawieść swojego właściciela. Incydent pokazuje też dwie strony stablecoinów. Emitent może zamrozić tokeny pod danym adresem, co pomaga zaatakowanej giełdzie i jest tą samą kontrolą, którą nasza analiza GENIUS Act opisuje jako wbudowany hamulec programowalnego dolara. Na poziomie protokołu nikt nie może zamrozić bitcoina.

Co pozostaje otwarte

• Wypłaty: Chen powiedziała, że Bitget wznowi je dopiero po potwierdzeniu bezpieczeństwa, i nie zobowiązała się do żadnej daty.
• Raport techniczny o tym, jak napastnicy dotarli do systemu backendowego.
• Osobny komunikat o tym, jak zostanie rozliczona strata i jak zostanie uzupełniony fundusz.
• Atrybucja wykraczająca poza własną ocenę Bitget.