اختراق Bitget: ما نعرفه عن خسارة 387.5 مليون دولار وما الخطوة التالية؟

رفعت Bitget تقدير الأصول التي نُقلت إلى عناوين يسيطر عليها المهاجمون في اختراق 24 سبتمبر إلى نحو 387.5 مليون دولار، مقارنة بتقدير أولي بلغ 351.6 مليون دولار. وتقول المنصة إن صندوق حماية المستخدمين سيغطي خسائر العملاء، بينما تشير تقارير تتبع الأموال إلى انتقال جزء منها عبر THORChain وخدمات أخرى.

لكن آلية الاختراق الدقيقة لم تتضح نهائياً. فقد ذكرت تقارير أن المهاجمين اخترقوا نظاماً خلفياً للمحافظ، إلا أن المصادر المتاحة لا تتضمن تقريراً تقنياً نهائياً يؤكد هذا التسلسل.63342

ماذا حدث في الاختراق؟

قالت Bitget إن أنظمتها رصدت تحويلات غير مصرح بها من بعض المحافظ الساخنة عند الساعة 18:31 بالتوقيت العالمي يوم 24 سبتمبر. وأفاد إشعارها الأولي بتأثر أجزاء من طبقتي المحافظ الساخنة والدافئة، مع بقاء المحافظ الباردة سليمة. أما التقدير اللاحق، البالغ نحو 387.5 مليون دولار، فيعكس مزيداً من تتبع الأصول وتصنيفها بعد إرسالها إلى عناوين يسيطر عليها المهاجمون.216

وذكرت إحدى التقارير أن المهاجمين سيطروا على نظام خلفي للمحافظ، ومرروا تحويلات مزيفة إلى آلية التوقيع في Bitget.33 لكن تغطية أخرى أشارت إلى أن مسار الهجوم لم يكن قد تحدد بالكامل بانتظار نشر رواية تقنية أشمل.42 وقالت Bitget إنها عثرت على الثغرة الأساسية وأصلحتها، لكن ذلك لا يؤكد وحده جميع تفاصيل الطريقة التي وصفتها التقارير.618

مواعيد استئناف السحب والخدمات

نشرت Bitget جدولاً مرحلياً لاستئناف السحب، وجميع المواعيد التالية بالتوقيت العالمي UTC. وهو جدول لاستعادة الخدمات تدريجياً، لا ضمان بأن كل عملية سحب ستكون متاحة تلقائياً في الموعد المحدد. وأفادت التقارير باستئناف سحب بيتكوين في 28 سبتمبر عند الساعة 08:00 UTC.420

الموعد المحدد	خدمات السحب
28 سبتمبر، 08:00	BTC عبر شبكتي Bitcoin وBSC
29 سبتمبر، 08:00	ETH عبر Ethereum وBSC وArbitrum وBase وOptimism
30 سبتمبر، 08:00	USDT عبر Ethereum وBSC وSolana وTron
2 أكتوبر، 08:00	العملات الأخرى، والأموال التقليدية، والسحب من شخص إلى شخص (P2P)

قالت Bitget إنها تجري فحوصاً أمنية إضافية على بنية السحب قبل إعادة الخدمات. وفي إشعار منفصل، أعلنت تعليق خدمة التداول Onchain مؤقتاً أثناء مراجعة أمنية، من دون تحديد موعد بعينه لاستئنافها.182017

كيف تقول Bitget إنها ستغطي خسائر العملاء؟

قالت Bitget إن الخسائر مشمولة بصندوق حماية المستخدمين التابع لها، والذي قُدرت قيمته بنحو 464 مليون دولار آنذاك. وهذا تعهد معلن من المنصة بتغطية الخسائر؛ لكن المصادر المتاحة لا تثبت أن تعويض العملاء قد اكتمل بالفعل.46

إلى أين ذهبت الأموال؟

أفادت تقارير بأن المهاجم بدّل إيثيريوم مسروقاً إلى بيتكوين عبر THORChain، وهو بروتوكول يتيح مبادلة الأصول بين سلاسل الكتل. وطلبت Bitget من البروتوكول رفض التعامل مع العناوين المرتبطة بالاختراق، لكن THORChain رفض الطلب، وقالت التقارير إن الأموال واصلت التحرك عبره بعد ذلك. وأثار الأمر خلافاً بين محاولات وقف حركة الأصول المشتبه في سرقتها وبين نموذج THORChain القائم على إتاحة استخدام البروتوكول دون إذن مسبق.58

وأفادت تقارير بأن Circle وTether جمّدتا بعض العملات المستقرة المرتبطة بالحادثة. وقدّرت تقارير المبلغ بنحو 318 ألف دولار، بينما أورد تقرير آخر نحو 339 ألف دولار. ولا توضح المصادر المتاحة سبب اختلاف الرقمين؛ لذا ينبغي التعامل معهما كتقديرين لا كمجموع نهائي محسوم.23

كما أطلقت Bitget مكافأة لاسترداد الأموال، تتضمن مكافأتين منفصلتين بنسبة 5% للمساعدة المؤهلة في تجميد الأموال واستعادتها.19 وذكر تقرير مستقل أن 4 BTC مرتبطة بالمهاجم مرّت عبر Wasabi CoinJoin، وهي أداة لزيادة خصوصية المعاملات.10 وتصف هذه التقارير جوانب من جهود التتبع، لكنها لا تعني استرداد كامل المبلغ.

ما الذي لا يزال غير مؤكد؟

تقول Bitget إنها عالجت الثغرة، وإن التحقق الأمني وتتبع الأموال مستمران، بمساندة شركتي Mandiant وSlowMist في التحقيق.618 ولا تثبت التقارير المتاحة هوية مؤكدة للجهة المسؤولة عن الهجوم، كما لا تشير إلى استرداد كامل المبلغ أو إتمام تعويض جميع العملاء.