Что известно о взломе Bitget и когда возобновили вывод средств

Bitget повысила оценку активов, переведённых на адреса злоумышленников после взлома 24 сентября, до примерно $387,5 млн. Изначально биржа сообщала о $351,6 млн. Bitget заявила, что потери клиентов покроет её Фонд защиты пользователей; тем временем, по сообщениям о движении средств, часть криптовалют проходила через THORChain и другие сервисы. Важная оговорка: в СМИ описывали взлом внутренней системы управления кошельками, но в доступных источниках нет окончательного технического отчёта, подтверждающего именно такой сценарий.63342

Что произошло

Bitget сообщила, что в 18:31 UTC 24 сентября обнаружила несанкционированные переводы с некоторых горячих кошельков. В первом уведомлении биржа уточнила, что затронуты части горячего и тёплого уровней хранения, а холодные кошельки остались в безопасности. Позднее оценку примерно в $387,5 млн пересмотрели после дополнительного отслеживания и классификации активов, отправленных на адреса злоумышленников.216

В одном из сообщений утверждалось, что атакующие получили доступ к внутренней системе кошельков и передавали поддельные распоряжения на подпись.33 Другие публикации отмечали, что точный способ атаки ещё не установлен и требует более полного отчёта.42 Bitget заявила, что обнаружила и устранила уязвимость, однако это само по себе не подтверждает все детали описанного в прессе сценария.618

Когда возобновляли вывод средств

Bitget опубликовала поэтапное расписание вывода средств по времени UTC. Это был план восстановления сервисов, а не гарантия, что каждый вид вывода станет доступен точно в указанное время. По сообщениям, вывод BTC возобновился 28 сентября в 08:00 UTC.420

Запланированное время (UTC)	Что планировали открыть для вывода
28 сентября, 08:00	BTC в сетях Bitcoin и BSC
29 сентября, 08:00	ETH в сетях Ethereum, BSC, Arbitrum, Base и Optimism
30 сентября, 08:00	USDT в сетях Ethereum, BSC, Solana и Tron
2 октября, 08:00	Другие токены, фиатные средства и P2P-выводы

Перед восстановлением вывода биржа проводила дополнительные проверки безопасности инфраструктуры. Отдельно Bitget временно приостановила торговлю через сервис Onchain на время проверки безопасности; в приведённом уведомлении конкретной даты возобновления не было.182017

Как Bitget обещает защитить клиентов

Bitget заявила, что потери подпадают под покрытие Фонда защиты пользователей. На тот момент его размер оценивали примерно в $464 млн. Это заявление биржи о покрытии ущерба, но доступные источники не подтверждают, что компенсации клиентам уже выплачены в полном объёме.46

Куда направились похищенные средства

Согласно сообщениям, злоумышленник обменивал похищенный ETH на биткоин через THORChain — протокол для обмена активами между блокчейнами. Bitget попросила сервис отказать в обслуживании адресам, связанным со взломом, но THORChain не согласилась. После этого через протокол, как сообщалось, продолжили перемещать средства. Этот эпизод обострил спор о том, следует ли останавливать подозрительные переводы и как это соотносится с моделью THORChain, предполагающей работу без выборочной блокировки адресов.58

По сообщениям, Circle и Tether заморозили часть связанных с инцидентом стейблкоинов. В одной публикации фигурировала сумма около $318 000, в другой — примерно $339 000. Доступные источники не объясняют расхождение, поэтому эти значения стоит считать оценками, а не окончательным итогом.23

Bitget также запустила программу вознаграждений за возврат средств: участникам обещают отдельные выплаты по 5% за помощь в заморозке активов и за их возврат — при соблюдении условий программы.19 Ещё одно сообщение указывает, что 4 BTC, связанные со злоумышленником, прошли через Wasabi CoinJoin — инструмент для повышения приватности транзакций.10 Это отдельные эпизоды отслеживания средств, а не свидетельство возврата всей похищенной суммы.

Что пока неизвестно

Bitget заявляет, что уязвимость устранена, а проверка безопасности и отслеживание средств продолжаются. В расследовании помогают компании Mandiant и SlowMist.618 Доступные публикации не устанавливают подтверждённую причастность конкретных лиц или группы. Они также не свидетельствуют, что всю сумму удалось вернуть или что клиентам уже полностью выплатили компенсацию.