Włamanie na Bitget: jak wyprowadzono 387,5 mln dolarów i co wiadomo o dalszym przepływie środków

Bitget informuje, że 24 września 2026 r. napastnicy wyprowadzili z części portfeli giełdy aktywa warte około 387,5 mln dolarów. Według wstępnego wyjaśnienia doszło do przejęcia systemu obsługującego portfele i wysłania fałszywych poleceń wypłaty, a nie do kradzieży kluczy prywatnych. Śledczy i analitycy mówią o możliwych powiązaniach z Koreą Północną oraz o domniemanych pośrednikach pomagających przenosić środki, ale nie ustalono publicznie tożsamości sprawców. 182130

Jak miało dojść do włamania na Bitget?

Bitget wykrył nieautoryzowane transfery z części portfeli hot i warm — używanych w bieżącej obsłudze środków — około godz. 18.31 UTC. Wstępna wersja giełdy zakłada, że napastnik mógł wykorzystać lukę w zewnętrznym produkcie zabezpieczającym, zdobyć uprawnienia do wewnętrznych systemów, a następnie wysyłać fałszywe polecenia wypłat przez system portfeli. 21

Prezeska Bitget, Gracy Chen, mówiła, że napastnik sfałszował dane transakcyjne, by uruchomić proces autoryzacji giełdy. Według jej relacji przed większymi transferami wykonano niewielkie przelewy testowe. Ten szczegół pochodzi z jej opisu zdarzeń, a dokładna metoda włamania nadal jest badana. Bitget utrzymuje, że klucze prywatne nie zostały przejęte. 1729

Początkowo stratę szacowano na 351,6 mln dolarów. Po dalszej analizie transakcji kwotę podniesiono do 387,5 mln dolarów, uwzględniając kolejne aktywa. Bitget wyjaśnił, że to dokładniejsze rozliczenie skutków tego samego incydentu, a nie informacja o kolejnym włamaniu. 30

Czy za atakiem mogła stać Korea Północna?

Prezeska Bitget stwierdziła, że atak nosił cechy kojarzone z operacjami Korei Północnej. Firma analityczna Elliptic oceniła taki związek jako wysoce prawdopodobny, wskazując na podobieństwa do wcześniejszych działań i nakładanie się wykorzystywanej infrastruktury. Dostępne informacje nie potwierdzają jednak, kto konkretnie przeprowadził atak. 15

Osobnym wątkiem śledztwa są osoby, które miały pomagać w przenoszeniu skradzionych środków. Badacz transakcji blockchainowych ZachXBT napisał, że w proceder zaangażowanych było pięć kont. Według jego ustaleń osoby korzystające z usług używanych do transferów prosiły o pomoc w realizacji zleceń na publicznych serwerach Discorda i kanałach Telegrama. To zarzuty badacza dotyczące domniemanych pośredników — nie publiczne ustalenie tożsamości osób odpowiedzialnych za samo włamanie. 1038

Relacje oparte na analizie ZachXBT opisują przepływ środków między różnymi blockchainami, z wykorzystaniem mostów międzyłańcuchowych i usług mieszających, w tym Wasabi. Takie operacje mogą utrudniać śledzenie pieniędzy, ale same w sobie nie dowodzą, kto zlecił kradzież ani kim są konkretne osoby. 1436

Wątek Kelp DAO: co łączy oba przypadki?

ZachXBT twierdzi, że jedno z kont powiązanych z domniemanym praniem pieniędzy po ataku na Bitget było wcześniej widziane przy obsłudze środków z ataku na Kelp DAO, w którym skradziono 292 mln dolarów. Chodzi o zgłaszane powiązanie konta uczestniczącego w przepływie pieniędzy — nie o dowód, że za oboma włamaniami stoją te same osoby. 1038

Śledztwo, zabezpieczenie klientów i przywracanie wypłat

Bitget poinformował, że do zbadania incydentu zaangażował firmy Mandiant i SlowMist oraz współpracuje z organami ścigania przy śledzeniu skradzionych aktywów. Giełda zapowiedziała, że stratę pokryje jej Fundusz Ochrony Użytkowników, a nie salda klientów. Chen powiedziała, że w ciągu tygodnia fundusz zostanie uzupełniony do co najmniej 300 mln dolarów. Są to deklaracje Bitget, a nie potwierdzenie odzyskania skradzionych środków. 117

Po włamaniu wypłaty zostały czasowo wstrzymane. Według doniesień z 28 września Bitget zaczął przywracać je etapami. Dostępne informacje nie potwierdzają, czy i jaka część skradzionych aktywów została odzyskana. 731

Co nadal pozostaje niewiadomą?

Kwota transferów oraz opis przejęcia zaplecza systemu portfeli są lepiej udokumentowane niż przypisywanie odpowiedzialności i szanse na odzyskanie pieniędzy. Związek z Koreą Północną pozostaje oceną analityków, a informacje o pośrednikach i powiązaniu z Kelp DAO pochodzą z analiz blockchainowych. Pełny przebieg włamania i końcowy wynik odzyskiwania środków nie są jeszcze znane. 52138