Bitget właśnie stracił 350 milionów dolarów

Ósme urodziny Bitgeta zakończyły się tym, że hakerzy ukradli około 350 milionów dolarów. Nieźle jak na jedną noc pracy.

Pierwszy sygnał kłopotów pojawił się późnym wieczorem 24 września, kiedy portfele oznaczone jako Bitget zaczęły tracić środki w wielu sieciach. Analityk Arkham Emmett Gallic zauważył to jako pierwszy, sygnalizując odpływy ponad godzinę przed publicznym wystąpieniem Bitget. Zanim prezes Gracy Chen potwierdziła incydent na X, na kontach przepłynęło już około 183 milionów dolarów. Ostateczna suma była wyższa i wyniosła około 351,6 miliona dolarów.

„O godzinie 18:31 UTC, 24 września 2026 r., systemy bezpieczeństwa Bitget wykryły nieautoryzowane przelewy z niektórych naszych gorących portfeli” – napisał Chen.

Jak powiedziała, w magazynie chłodniczym nie doszło do żadnych naruszeń — naruszenie dotyczyło wyłącznie gorących i ciepłych warstw portfela, a wypłaty zostały zamrożone, podczas gdy zespół starał się je opanować.

Żadnych skradzionych kluczy, tylko bardzo przekonujące podróbki

Oto część, która powinna niepokoić każdą giełdę obsługującą podobną infrastrukturę: atakujący wcale nie potrzebowali kluczy prywatnych Bitget. Chen wyjaśnił później, że hakerzy włamali się do systemu zaplecza powiązanego z infrastrukturą portfela Bitget, wykorzystali go do podrobienia danych transferowych, a następnie przepuścili te fałszywe dane przez proces autoryzacji giełdy. System zatwierdził transakcje, których nigdy nie powinien był zobaczyć. „Kompromis klucza prywatnego został wykluczony” – powiedział Chen – co, w zależności od punktu widzenia, jest albo uspokajające, albo bardziej niepokojące. Utrata kluczy to znany sposób na awarię. Oszukanie własnego procesu podpisywania w celu zatwierdzenia oszustwa to zupełnie inna sprawa.

Około 40% skradzionych aktywów stanowiły $XRP, według wczesnych informacji krążących wraz z aktualizacjami Chena, a reszta rozłożona na ETH, BNB, AVAX, USDT i USDC. Niektóre fundacje sieciowe podobno zaczęły zamrażać adresy powiązane z hakerami w ciągu kilku godzin, choć ile z nich faktycznie odzyskano, pozostaje niewiadomą.

Ucieczka była szybka i droga

Ktokolwiek to zrobił, nie był ostrożny. Jeden nowo utworzony adres w ciągu sześciu minut wymienił 19,67 mln USDT0 na 7111 ETH, przeprowadzając transakcję przez UniswapX i 1inch Fusion, płacąc za to nawet 5% powyżej stawki rynkowej. Tak się nie handluje, jeśli martwisz się o cenę. Tak się handluje, jeśli uważasz, że ktoś zamierza zamrozić twoje środki.

Schemat prania pieniędzy — konsolidacja funduszy pod jednym adresem, a następnie ich wyprowadzanie za pośrednictwem łańcucha portfeli — to ten sam schemat, który badacze ds. bezpieczeństwa od lat stosują w przypadku operatorów powiązanych z Koreą Północną.

Łazarz, znowu

Chen wskazał na Koreę Północną, twierdząc, że śledczy znaleźli adresy IP pasujące do infrastruktury VPN powiązanej z systemem hakerskim tego kraju i że atak „bardzo przypomina wcześniejsze działania północnokoreańskiego zespołu”. Niezależny analityk SpecterAnalyst poszedł dalej, śledząc skradziony XRP w tym samym klastrze portfeli, który został użyty w lipcowym ataku hakerskim na AFX o wartości 24 milionów dolarów – incydencie przypisywanym już TraderTraitor, jednostce powiązanej z Lazarusem. Nie wszyscy są przekonani do tej nazwy; niektórzy badacze X sprzeciwili się, zauważając, że „Lazarus” jest przypinany do wielu incydentów, które mogą nie mieć wspólnego operatora. Raport Bitgeta wciąż oczekuje na rozpatrzenie.

Jeśli to się utrzyma, to tylko najnowszy wpis w bardzo długim rejestrze. Chainalysis szacuje, że kradzież kryptowalut powiązana z Koreą Północną wyniesie ponad 2 miliardy dolarów tylko w 2025 roku, a to zanim ta kradzież zostanie dodana do przyszłorocznego bilansu. Hack Bybita na 1,5 miliarda dolarów w lutym 2025 roku – wciąż największa kradzież kryptowalut w historii – nosi te same ślady.

Jest tu mały, wręcz zabawny przypis: prezes Bybit, Ben Zhou, zaoferował pomoc w odnalezieniu funduszy, zaznaczając, że Bitget zrobił to samo dla Bybitu, kiedy to on padł ofiarą napadu. Kierownictwo giełdy kryptowalut najwyraźniej prowadzi teraz czat grupowy w tej sprawie.

Fundusz, który ma to pokryć

Bitget twierdzi, że nic z tego nie wpływa na salda użytkowników. Giełda utrzymuje Fundusz Ochrony Użytkowników, który według oświadczenia Chena, posiadał ponad 464 miliony dolarów – znacznie więcej niż strata w wysokości 351,6 miliona dolarów. Wpłaty i transakcje były realizowane przez cały czas; wstrzymano jedynie wypłaty, a Chen powiedział, że przywrócenie systemu zajmie „godziny lub dni”, a nie tygodnie.

Warto teraz śledzić, czy ta obietnica się sprawdzi. Fundusz na papierze różni się od funduszu, który wypłaca czyste zyski w okresie paniki bankowej, a akcje BGB spadły po publikacji tej informacji, zanim nieco odrobiły straty. Bitget zobowiązał się do sporządzenia pełnego raportu o incydencie wraz z analizą przyczyn – ten dokument, gdy już się pojawi, powie o wiele więcej niż jakikolwiek wątek X.