Как произошёл взлом Bitget и куда уходят похищенные средства

По заявлению Bitget, 24 сентября 2026 года злоумышленники вывели из некоторых кошельков криптобиржи активы примерно на $387,5 млн. Предварительная версия компании: атакующие получили доступ к внутренней системе обработки операций и отправили через неё фиктивные команды на вывод. Биржа утверждает, что приватные ключи не были скомпрометированы. 182130

В расследовании также появилась версия о возможной связи атаки с Северной Кореей и сведения о людях, которые, предположительно, помогали перемещать похищенные средства. Однако эти данные пока не позволяют считать установленными ни личности нападавших, ни причастность конкретных людей. 51038

Как, по версии Bitget, прошёл взлом

Около 18:31 по UTC биржа обнаружила несанкционированные переводы с части горячих и тёплых кошельков. Горячие кошельки подключены к сети и используются для операций, а тёплые — для хранения части средств с более ограниченным доступом. Согласно предварительному объяснению Bitget, уязвимость в стороннем продукте безопасности могла позволить злоумышленнику получить привилегированные внутренние учётные данные. Затем атакующий, вероятно, отправил в систему кошельков поддельные команды на вывод, которые обошли существующие проверки. 21

Глава Bitget Грейси Чен заявила, что атакующий подменил данные о транзакциях и тем самым задействовал штатный механизм авторизации биржи. По её словам, перед крупными переводами были небольшие тестовые операции. Это описание основано на сообщениях Чен; точный способ проникновения в системы всё ещё расследуется. Bitget утверждает, что приватные ключи не пострадали. 1729

Сначала биржа оценивала ущерб в $351,6 млн, а после дополнительного анализа переводов повысила оценку до $387,5 млн. Bitget объяснила разницу более полным учётом активов, в том числе в сетях Zcash и TRON, и подчеркнула, что речь не о второй краже. 30

Что известно о возможных исполнителях

Грейси Чен сказала, что атака имеет признаки операций, связанных с Северной Кореей. Компания Elliptic также оценила такую связь как весьма вероятную, сославшись на сходство с прежней активностью и пересечения в инфраструктуре. Но доступные сведения не устанавливают, кто именно организовал взлом. 15

Отдельная часть расследования касается предполагаемых посредников, которым могли поручить перемещать средства. Блокчейн-исследователь ZachXBT сообщил о пяти аккаунтах, связанных, по его данным, с отмыванием денег в интересах предполагаемых участников атаки. Он также заявил, что пользователи сервисов, задействованных в переводах, просили помочь с обработкой операций в публичных серверах Discord и каналах Telegram. Это утверждения исследователя, а не публичное установление личности людей, взломавших биржу. 1038

По сообщениям о расследовании, средства перемещали между блокчейнами с помощью мостов и направляли в сервисы для смешивания криптовалют, в том числе Wasabi. Такие способы могут затруднить отслеживание активов, но сами по себе не доказывают, кто распорядился украсть их или кто стоит за переводами. 1436

Возможная связь с атакой на Kelp DAO

ZachXBT сообщил, что один аккаунт, который, по его данным, использовали для отмывания средств после взлома Bitget, ранее замечали при перемещении денег, похищенных в атаке на Kelp DAO на $292 млн. Это предполагаемое совпадение в цепочке переводов, а не доказательство того, что обе атаки совершили одни и те же люди. 1038

Расследование, компенсации и вывод средств

Bitget сообщила, что привлекла к расследованию компании Mandiant и SlowMist и сотрудничает с правоохранительными органами, чтобы отследить активы. Биржа заявила, что покроет ущерб из фонда защиты пользователей, а не за счёт клиентских балансов. Чен также сказала, что фонд планируют пополнить как минимум до $300 млн в течение недели. Это заявления и планы Bitget, а не подтверждение того, что похищенные средства уже найдены или возвращены. 117

После взлома вывод средств временно приостановили. Согласно сообщениям от 28 сентября, Bitget начала возобновлять его поэтапно. Доступная информация не показывает, удалось ли вернуть какую-либо часть похищенных активов. 731

Что пока остаётся неизвестным

Сумма переводов и версия Bitget о компрометации внутренней системы описаны подробнее, чем вопросы об исполнителях и возврате денег. Связь с Северной Кореей остаётся оценкой аналитиков, а сведения о посредниках и пересечении с Kelp DAO основаны на расследовании движения средств в блокчейне. Точный способ проникновения и итог возврата активов пока не установлены. 52138