Всё, что мы знаем о масштабном взломе Bitget на сумму 351 млн долларов

Биржа подтвердила факт взлома, заморозила вывод средств и начала сотрудничество с правоохранительными органами и компаниями, специализирующимися на безопасности блокчейна. Генеральный директор Грейси Чен заявляет, что балансы клиентов остались нетронутыми, «холодные» кошельки не пострадали, а Фонд защиты пользователей Bitget, превышающий 464 млн долларов, достаточно велик, чтобы покрыть весь ущерб.

Как произошёл взлом Bitget

В четверг Bitget сообщила, что 24 сентября в 18:31 по UTC её системы безопасности обнаружили несанкционированные переводы с некоторых «горячих» кошельков. В течение нескольких минут были запущены аварийные процедуры, выявлены и зафиксированы подозрительные адреса, а также установлен контакт с правоохранительными органами и компаниями, специализирующимися на безопасности блокчейнов.

Ущерб оказался значительным. По оценкам Bitget, ущерб составил примерно 351,6 млн долларов, однако компания заявляет, что скомпрометированы были лишь отдельные слои «горячих» и «теплых» кошельков. Компания использует трехуровневую архитектуру кошельков и утверждает, что её «холодные» кошельки остаются полностью защищёнными. Впоследствии в качестве меры предосторожности на всей платформе был приостановлен вывод средств. Пополнение счетов и торговля продолжают функционировать, при этом Bitget уточнила, что остатки на счетах клиентов по-прежнему точно отражают активы пользователей.

Это важное различие, поскольку биржа фактически заявляет, что речь идет об убытке в корпоративном балансе, а не о том, который она намерена переложить на клиентов. Чэнь пояснил в нескольких постах в X, что клиенты не понесут убытков. Основатель биржи сообщил, что Фонд защиты пользователей Bitget в настоящее время располагает более чем 464 млн долларов, а это означает, что оцениваемый убыток в размере 351,6 млн долларов примерно на 112 млн долларов ниже заявленной стоимости фонда. Таким образом, по заявлению биржи, весь инцидент полностью покрывается средствами фонда.

«Мы не будем уклоняться от ответственности», — заявила Bitget в официальном уведомлении, пообещав, что «каждый доллар и каждое решение» будут учтены.

Блокчейн зафиксировал проблемы ещё до заявления Bitget

Еще до того, как Bitget что-либо подтвердила, наблюдатели за блокчейном следили за тем, как миллионы долларов утекали из кошельков, привязанных к бирже. Первоначальные данные свидетельствовали о перемещении активов на сумму от примерно 150 до более чем 170 миллионов долларов на новые адреса. Такое поведение не характерно для тех, кто просто ищет наиболее выгодные условия для совершения сделок.

По мере расширения картины исследователи ончейн-данных отслеживали активы в нескольких сетях. Позднее подсчёты Lookonchain включали примерно 102,93 млн XRP на сумму 157,5 млн долларов, 31 890 ETH на сумму 85,8 млн долларов, 34,75 млн долларов в USDT, 21,05 млн USDC, 19,67 млн USDT0, 3 000 XAUt, 12 719 BNB, 821 012 AVAX и 20,59 млн TRX.

Значительная часть активов, перемещаемых через сети, совместимые с виртуальной машиной Ethereum, была быстро консолидирована и конвертирована в эфир. По оценкам Lookonchain, эта доля в конечном итоге достигла примерно 67 982 ETH.

Разница между этой цифрой и оценкой Bitget в 351,6 млн долларов имеет важное значение. Цифра в размере примерно 183 млн долларов отражала крупную группу транзакций, заметную для инструментов отслеживания в цепочке, в то время как данные Bitget отражают учет по всей затронутой инфраструктуре и дополнительным блокчейнам, включая огромную позицию в XRP. Другими словами, первые сигналы тревоги в блокчейне и исследователи цепочки обнаружили часть пожара, а не все здание.

Bitget заявляет, что его закрытые ключи не были украдены

Развивающаяся техническая картина, возможно, является наиболее значимой частью инцидента. В последующем обновлении Чен пояснила, что закрытые ключи Bitget не были скомпрометированы. Вместо этого, согласно её предварительному описанию, злоумышленники взломали критически важный бэкенд-компонент в инфраструктуре кошельков биржи и смогли подделать или сфальсифицировать данные транзакций, которые прошли через обычный процесс авторизации и подписи Bitget.

Такая атака значительно отличается от простого кражи закрытого ключа. Если версия Bitget подтвердится, то система, предназначенная для принятия решений о том, что следует подписать, была манипулирована таким образом, что авторизовала транзакции, которые никогда не должны были иметь места. Таким образом, ключи могли оставаться технически защищенными, в то время как инфраструктура, передающая им инструкции, дала сбой.

Чен заявила, что утечка данных локализована и дальнейшие несанкционированные переводы больше невозможны. Однако Bitget воздержалась от официального объявления окончательного вектора атаки до завершения расследования. Это оставляет множество вопросов без ответов. Следователям ещё предстоит установить, как был взломан бэкэнд, какие привилегии получили злоумышленники, почему существующие механизмы контроля не заблокировали транзакции и могли ли дополнительные меры аутентификации или меры безопасности, связанные с политикой проведения транзакций, предотвратить их.

Была ли атака на Bitget совершена северокорейской группой «Лазарь»?

Далее возникает вопрос о причастности Северной Кореи. В сообщениях и публикациях в социальных сетях, появившихся после прямой трансляции Чена, предварительные данные об IP-адресах или маршрутизации были сопоставлены с моделями инфраструктуры, ранее связываемыми с северокорейскими злоумышленниками. Это быстро породило предположения о том, что ответственность за атаку может лежать на группе «Лазарус». На данный момент это именно то, чем оно и является: предположением.

Эти совпадения невозможно игнорировать. Северокорейских хакеров, в частности финансируемую государством группу «Лазарус», обвиняют в некоторых из крупнейших краж в криптовалютной сфере, в первую очередь — в взломе платформы Bybit в феврале 2025 года, ущерб от которого составил примерно 1,5 миллиарда долларов. Однако до тех пор, пока следователи не опубликуют технические индикаторы, схемы отмывания средств или другие доказательства, связывающие злоумышленника, атаковавшего Bitget, с известной группой, «Лазарус» должен оставаться гипотезой, а не выводом.

Что теперь будет с пользователями Bitget?

Для клиентов насущной проблемой является вывод средств. Эта функция по-прежнему отключена, пока Bitget проводит проверку безопасности. Биржа заявляет, что её команды одновременно устраняют неполадки в затронутой инфраструктуре и готовятся к возобновлению вывода средств, однако Чэнь отказалась назвать сроки возобновления, которые она не может гарантировать. Пополнение счетов и торговля остаются доступными.

Фонд защиты также находится под пристальным вниманием. Bitget заявляет, что его объем, превышающий 464 млн долларов, с запасом покрывает предполагаемый ущерб, хотя опубликованные на данный момент уведомления не являются независимым аудитом состава или сегрегации фонда в режиме реального времени.

Восстановление — это отдельный вопрос. Стейблкоины, привязанные к фиатным валютам, такие как USDT и USDC, потенциально могут быть заморожены через контракты, контролируемые эмитентами, если активы остаются идентифицируемыми. Нативный эфир, хранящийся в новых кошельках, остановить значительно сложнее, что делает быструю конвертацию злоумышленником в ETH особенно значимой.

Чен регулярно информирует сообщество и подчеркнула, что биржа сотрудничает с компаниями Mandiant и Slowmist в рамках полного расследования инцидента. Она еще раз подтвердила, что «балансы пользователей остаются нетронутыми», и заявила, что Фонд защиты пользователей Bitget покроет убытки, связанные с этим инцидентом. Чэнь также добавила, что кошелек Bitget Wallet не пострадал, поскольку его инфраструктура самостоятельного хранения отделена от биржи.

Этот инцидент также не следует путать с произошедшим в апреле 2025 года инцидентом с Bitget, связанным с маркетмейкингом, ботами и арбитражем на сумму около 100 миллионов долларов. Это было отдельное событие с другим механизмом. Следующие важные сведения должны поступить непосредственно от Bitget. Биржа пообещала ежечасные обновления и полный отчет об инциденте в течение 24 часов с момента первоначального уведомления, включая анализ первопричин и меры по исправлению ситуации.

До тех пор три цифры рассказывают большую часть истории: ущерб составил 351,6 млн долларов, за этим предположительно стоит более 464 млн долларов, а пользователи Bitget ждут, когда возобновится возможность вывода средств. Четвёртая цифра — сколько из похищенной криптовалюты действительно удастся вернуть — пока остаётся предметом догадок.