Злам Bitget на $387,5 млн: що відомо про інцидент і що буде далі

Bitget переглянула оцінку активів, переказаних на контрольовані зловмисниками адреси під час зламу 24 вересня, — приблизно до $387,5 млн. Спочатку біржа називала суму $351,6 млн. Bitget заявила, що збитки користувачів покриє її фонд захисту. Паралельно повідомлялося, що викрадені кошти рухалися через THORChain та інші сервіси. Важливе уточнення: у сторонніх публікаціях описували компрометацію внутрішньої системи гаманців, але серед доступних джерел немає завершеного технічного звіту, який підтверджував би саме такий перебіг атаки.63342

Що сталося під час зламу

За повідомленням Bitget, 24 вересня о 18:31 UTC системи безпеки виявили несанкціоновані перекази з частини гарячих гаманців. У першій заяві біржа уточнила, що інцидент зачепив частину гарячого й теплого рівнів гаманців, тоді як холодні гаманці залишилися в безпеці. Пізніша оцінка у $387,5 млн враховує додаткове відстеження й класифікацію активів, переказаних на адреси зловмисників.216

В одному з матеріалів ішлося, що зловмисники захопили внутрішню систему гаманців і передавали підроблені перекази на підписання Bitget.33 Інші публікації зазначали, що вектор атаки ще не встановлено остаточно й очікується докладніший звіт.42 Bitget повідомила, що знайшла й усунула вразливість, однак це саме по собі не підтверджує всіх подробиць описаного сторонніми джерелами методу.618

Коли планували відновити виведення коштів

Bitget оприлюднила поетапний графік відновлення виведень у часі UTC. Це був план відновлення сервісів, а не гарантія, що кожен тип виведення стане доступним саме в зазначену годину. За повідомленнями, виведення Bitcoin відновили 28 вересня о 08:00 UTC.420

Запланований час (UTC)	Виведення
28 вересня, 08:00	BTC у мережах Bitcoin і BSC
29 вересня, 08:00	ETH у мережах Ethereum, BSC, Arbitrum, Base й Optimism
30 вересня, 08:00	USDT у мережах Ethereum, BSC, Solana й Tron
2 жовтня, 08:00	Інші токени, фіат і P2P-виведення

Біржа повідомила, що перед відновленням виведень проводить додаткові перевірки безпеки інфраструктури. Окремо сервіс торгівлі Onchain тимчасово не працював під час перевірки безпеки; у згаданому повідомленні конкретного часу його запуску не вказали.182017

Як Bitget обіцяє покрити збитки клієнтів

Bitget заявила, що втрати підпадають під покриття її фонду захисту користувачів. На той час його обсяг оцінювали приблизно у $464 млн. Це заява біржі про зобов’язання покрити збитки; доступні джерела не підтверджують, що компенсації клієнтам уже виплачено в повному обсязі.46

Куди рухалися викрадені кошти

За повідомленнями, зловмисник обмінював викрадений ETH на Bitcoin через THORChain — протокол для обміну активами між блокчейнами. Bitget попросила сервіс відмовляти в обслуговуванні адресам, пов’язаним зі зламом, але THORChain відмовився. Після цього, як писали медіа, кошти й далі проходили через протокол. Ситуація загострила суперечку між спробами зупинити рух імовірно викрадених активів та принципом роботи THORChain як протоколу без дозволів на участь.58

Повідомлялося, що Circle і Tether заморозили частину стейблкоїнів, пов’язаних з інцидентом. В одних публікаціях ішлося приблизно про $318 тис., в інших — про $339 тис. Доступні джерела не пояснюють розбіжність, тому ці суми слід сприймати як оцінки, а не остаточно узгоджений підсумок.23

Bitget також запустила програму винагороди за повернення активів: окремо пропонує по 5% за прийнятну допомогу із заморожуванням коштів і їхнім поверненням.19 Ще одне повідомлення стверджувало, що 4 BTC, пов’язані зі зловмисником, пройшли через Wasabi CoinJoin — інструмент для підвищення приватності транзакцій.10 Ці повідомлення описують окремі етапи відстеження, але не свідчать про повернення всієї суми.

Що досі невідомо

Bitget повідомила, що вразливість усунута, а перевірка безпеки й відстеження коштів тривають. У розслідуванні допомагають Mandiant і SlowMist.618 Доступні публікації не встановлюють підтвердженого виконавця атаки. Так само вони не свідчать, що вдалося повернути всю суму або завершити компенсації всім клієнтам.