Bitget bị chuyển trái phép 387,5 triệu USD: Khách hàng được bảo vệ ra sao, tiền đi đâu?

Bitget đã nâng ước tính tài sản bị chuyển đến các địa chỉ do kẻ tấn công kiểm soát trong vụ việc ngày 24-9 lên khoảng 387,5 triệu USD, so với con số ban đầu là 351,6 triệu USD. Sàn cho biết Quỹ Bảo vệ Người dùng sẽ chi trả tổn thất cho khách hàng. Trong khi đó, các báo cáo truy vết ghi nhận dòng tiền đi qua THORChain và một số dịch vụ khác. Cách thức tấn công chính xác vẫn chưa được xác nhận đầy đủ: một số bài viết mô tả hệ thống ví phía sau của Bitget bị xâm nhập, nhưng các nguồn hiện có chưa đưa ra kết luận kỹ thuật cuối cùng xác nhận toàn bộ diễn biến này.63342

Vụ việc xảy ra như thế nào?

Bitget cho biết hệ thống phát hiện các giao dịch chuyển tiền trái phép từ một số ví nóng lúc 18:31 UTC ngày 24-9. Thông báo ban đầu của sàn nêu rằng một phần lớp ví nóng và ví ấm bị ảnh hưởng, còn ví lạnh vẫn an toàn. Ước tính sau đó tăng lên khoảng 387,5 triệu USD sau khi việc truy vết và phân loại tài sản chuyển đến các địa chỉ của kẻ tấn công được cập nhật.216

Một báo cáo cho rằng kẻ tấn công chiếm quyền kiểm soát hệ thống ví phía sau, rồi đưa các lệnh chuyển tiền giả vào quy trình ký giao dịch của Bitget.33 Tuy nhiên, một số bài đưa tin khác lưu ý rằng phương thức tấn công vẫn chưa được làm rõ và cần chờ báo cáo đầy đủ hơn.42 Bitget nói đã xác định và khắc phục lỗ hổng, nhưng thông tin này không tự nó xác nhận mọi chi tiết về cách thức được các bài báo nêu ra.618

Lịch dự kiến mở lại dịch vụ rút tiền

Bitget công bố kế hoạch mở rút tiền theo từng giai đoạn, tính theo giờ UTC. Đây là lịch khôi phục dịch vụ, không phải cam kết rằng mọi giao dịch rút tiền đều sẽ khả dụng đúng thời điểm ghi trong bảng. Các báo cáo cho biết dịch vụ rút Bitcoin đã hoạt động trở lại lúc 08:00 UTC ngày 28-9.420

Thời gian dự kiến (UTC)	Dịch vụ rút tiền
28-9, 08:00	BTC trên mạng Bitcoin và BSC
29-9, 08:00	ETH trên Ethereum, BSC, Arbitrum, Base và Optimism
30-9, 08:00	USDT trên Ethereum, BSC, Solana và Tron
2-10, 08:00	Các token khác, tiền pháp định và rút tiền P2P

Bitget cho biết họ đang kiểm tra an ninh bổ sung đối với hạ tầng rút tiền trước khi khôi phục dịch vụ. Riêng dịch vụ giao dịch Onchain của sàn tạm thời không khả dụng trong thời gian rà soát bảo mật; thông báo được trích dẫn không nêu thời điểm mở lại cụ thể.182017

Bitget nói sẽ bù đắp tổn thất cho khách hàng

Bitget cho biết khoản thiệt hại nằm trong phạm vi chi trả của Quỹ Bảo vệ Người dùng. Các bài đưa tin tại thời điểm đó ước tính quỹ có giá trị khoảng 464 triệu USD. Đây là cam kết từ phía sàn; các nguồn hiện có chưa xác nhận việc bồi hoàn cho khách hàng đã hoàn tất.46

Dòng tiền bị đánh cắp đã đi đâu?

Các báo cáo cho biết kẻ tấn công đã hoán đổi ETH bị đánh cắp sang bitcoin thông qua THORChain, một giao thức hoán đổi tài sản giữa các blockchain. Bitget đề nghị giao thức này từ chối phục vụ những địa chỉ liên quan đến vụ xâm nhập, nhưng THORChain không chấp thuận. Theo các bài đưa tin, tiền vẫn tiếp tục được chuyển qua giao thức sau đó. Vụ việc làm nổi bật tranh luận giữa nỗ lực ngăn tài sản bị nghi là đánh cắp luân chuyển và mô hình hoạt động không cần cấp phép của THORChain.58

Circle và Tether được cho là đã đóng băng một phần stablecoin liên quan đến vụ việc. Một số báo cáo nêu con số khoảng 318.000 USD, trong khi một nguồn khác đưa ra mức khoảng 339.000 USD. Các nguồn được cung cấp không giải thích được chênh lệch này, vì vậy nên xem đây là những ước tính chưa thống nhất.23

Bitget cũng triển khai chương trình thưởng truy hồi, với hai mức thưởng riêng: 5% cho hỗ trợ đóng băng tài sản đủ điều kiện và 5% cho hỗ trợ thu hồi tài sản.19 Một báo cáo riêng cho biết 4 BTC có liên hệ với kẻ tấn công đã được chuyển qua Wasabi CoinJoin, một công cụ bảo vệ quyền riêng tư trong giao dịch.10 Những thông tin này phản ánh một phần hoạt động truy vết, chứ không đồng nghĩa toàn bộ số tiền đã được thu hồi.

Những điểm vẫn chưa ngã ngũ

Bitget cho biết lỗ hổng đã được khắc phục, đồng thời công tác xác thực bảo mật và truy vết dòng tiền vẫn tiếp tục; Mandiant và SlowMist đang hỗ trợ điều tra.618 Các bài viết hiện có chưa xác nhận danh tính hay nhóm đứng sau vụ tấn công. Chúng cũng chưa cho thấy toàn bộ tài sản đã được thu hồi hoặc mọi khách hàng đã nhận bồi hoàn.