📌 24 сентября в 18:31 UTC из горячих и тёплых кошельков Bitget начали уходить активы. Официальный ущерб — $351,6m. Сейчас все выводы закрыты, торговля и депозиты работают. Давайте разберем ситуацию простыми терминами:
🏦 Как устроены кошельки биржи — представьте банк, где деньги лежат в трёх местах:
🤩 Холодный кошелёк — сейф в подвале. Основные резервы, доступ через отдельную ручную процедуру.
🤩 Тёплый кошелёк — касса в хранилище. Из неё пополняют кассы в зале.
🤩 Горячий кошелёк — касса в зале. Из неё автоматически выплачивают деньги клиентам.
🤖 Выводами из горячих и тёплых кошельков управляют два робота:
1️⃣ «Диспетчер» (бэкенд кошелькового сервиса). Он решает, что, куда и сколько перевести, и пишет задание.
2️⃣ «Подписант» (автоматический сервис подписи с ключами). Он получает задание и подписывает транзакцию. Проверять, откуда задание взялось, он не умеет: доверяет диспетчеру.
🎯 Что сделал атакующий
1️⃣ Проник к «диспетчеру».
CEO называет это «взломом критической бэкенд-системы кошельковой инфраструктуры». По пересказу её эфира от TechFlow, вход был через сторонний инструмент, которым Bitget пользуется каждый день. Письменно Bitget это пока не подтверждала.
2️⃣ Подложил поддельные задания.
Это не фейковые заявки клиентов, а внутренние распоряжения биржи, оформленные как обычные: «переведи с кошелька X на адрес Y». Первые переводы выглядели как рядовые выводы на новый адрес. Кошелёк атакующего в сети XRP активировал, то есть завёл, сам Bitget.
3️⃣ «Подписант» сам всё подписал.
Поэтому CEO говорит, что ключи не утекли, и это правда. Украли не ключ от сейфа. Злоумышленник получил доступ к тому, кто выписывает распоряжения кассиру, а кассир исполняет любую бумагу со штампом.
4️⃣ Скрипт выгребал 90% каждого кошелька.
🤩 Подтверждено ончейн: на XRP ровно 90,0%. Например, 91,42 млн XRP из 101,58 млн одной транзакцией в 19:16 UTC. На Ethereum то же: 13 966 ETH, 90% баланса кошелька. Атака шла сразу по 7+ сетям.
🤩 Почему не 100%, неизвестно. Возможно, чтобы оставить остаток на комиссии и не выглядеть полной зачисткой.
5️⃣ Скрипт работал по устаревшим данным. Это главная улика.
🤩 В 19:28 Bitget сам увёл 2m XRP с атакуемого кошелька. В 20:28 скрипт попросил 90% от баланса, каким тот был до этого увода. Денег не хватило, и сеть отклонила транзакцию с ошибкой tecUNFUNDED.
🤩 Вывод: скрипт брал баланс не из блокчейна, а из внутренних данных биржи. Значит, атакующий действительно сидел внутри бэкенда, а не подбирал ключи снаружи.
6️⃣ Кошелёк пополнили, и его ограбили снова.
🤩 В 20:40 на уже атакованный кошелёк пришло 2,18m XRP с другого кошелька Bitget. В 21:19 скрипт забрал 90% уже от нового баланса.
🤩 Версия некоторых ончейн расследователей: команда в панике пыталась спасти средства. Другая версия: это сработало обычное автоматическое пополнение (sweep) горячей кассы из тёплой. Против «штатного» варианта говорит сумма, почти вдвое больше обычных пополнений. Вопрос открыт.
🏃♂️ Куда ушли деньги:
🔵️ У атакующего сейчас 68 465 ETH на 9 адресах и 102,58m XRP на 5 адресах
🔵️ Circle заморозил 99 989,9 USDC (25 сентября, 05:00:59 UTC). 218 023 USDT на том же адресе Tether не заморозил
🔵️ CEO говорит о частичном возврате средств, но ончейн возвраты не подтверждены — пока это только заявление
👀 Кто стоит за атакой
🔵️ CEO: КНДР «с высокой вероятностью», но не на 100% — по совпадению IP/VPN
🔵️ Specter, tayvano и SlowMist также указывают на след КНДР (Lazarus/TraderTraitor)
💰 Покрытие
🔵️ Protection Fund: 5 500 BTC ≈$464m — ≈132% ущерба
🔵️ PoR за август, до взлома — 122%
🔵️ Для расследования наняли независимую команду
🔵️ Пост-мортем обещан ≈21:30 UTC 25 сентября (≈00:30 МСК 26 сентября)
📊 Рынок
🔵️ Токен $BGB в моменте падал на 7,6–8,8% от ≈$2,06 до взлома, сейчас ≈−4% ($1,976 на 05:20 UTC 25 сентября)
🔵️ Крупнейший взлом 2026 года и крупнейший взлом CEX со времён Bybit (тогда увели $1,46b)
🤓 Ждем сегодня вечером пост-мортем разбор, главное в нём: как атакующий попал в бэкенд и почему автоматика работала ещё 2 часа после остановки выводов. Ну и когда откроют выводы...