Взлом Bitget: из горячих кошельков украли $387,5 млн

Коротко: В четверг, 24 сентября 2026 года, в 18:31 UTC система мониторинга Bitget зафиксировала несанкционированные переводы из горячих и тёплых кошельков биржи. Приватные ключи злоумышленники не крали: они проникли в серверную систему кошельковой инфраструктуры, подделали заявки на вывод, и собственный механизм одобрения Bitget сам отправил средства. Ущерб, сначала оцененный в $351,6 млн, к 25 сентября 2026 года пересчитали до примерно $387,5 млн — это крупнейший взлом в криптоиндустрии за год. Bitget и ряд аналитических компаний подозревают северокорейских хакеров, а биржа заявляет, что её фонд защиты пользователей на сумму более $464 млн полностью покрывает потери.

Что произошло с Bitget?

Тревога сработала вечером 24 сентября по UTC — в азиатских часовых поясах это уже было раннее утро 25-го. Примерно за час ончейн-исследователи насчитали около $183 млн в стейблкоинах, эфире и других токенах, ушедших с адресов, помеченных как адреса Bitget. Биржа подтвердила инцидент той же ночью, сначала оценив ущерб в $351,6 млн, а затем, сверив переводы во всех сетях, увеличила оценку до $387,5 млн.

По словам гендиректора Грейси Чэнь, атакующие скомпрометировали критическую серверную систему внутри кошельковой инфраструктуры, с её помощью подменили данные транзакций и запустили обычный процесс авторизации. Иначе говоря, для проверок, которые должны были остановить мошеннический вывод, он выглядел законным. Чэнь заявила, что компрометация приватных ключей исключена, а холодные кошельки, которые хранятся офлайн, не пострадали. Отдельный некастодиальный продукт компании, Bitget Wallet, тоже не был затронут.

В качестве меры предосторожности Bitget приостановила вывод средств на время проверки безопасности, депозиты и торговля продолжили работать. К расследованию подключили Mandiant и SlowMist, биржа запустила дашборд для отслеживания средств и объявила два вознаграждения: 5% от суммы, замороженной третьими сторонами, и 5% от суммы, возвращённой добровольно. По данным The Hacker News, Circle и Tether успели заморозить лишь около $339 100 в стейблкоинах — большая часть добычи к тому моменту уже была конвертирована.

Кто стоит за взломом Bitget?

Чэнь сообщила, что IP-адреса, замеченные в атаке, совпадают с VPN-сервисами, которыми пользуется определённая северокорейская группировка. Аналитическая компания Elliptic оценила связь с КНДР как весьма вероятную, а независимые исследователи, включая ZachXBT, связали атаку с Lazarus Group. Некоторые аналитики называют почерк типичным для TraderTraitor — подразделения, связанного с Lazarus. Быстрый обмен стейблкоинов на эфир, который эмитент не может заморозить, укладывается в ту же схему. Официальной атрибуции на 25 сентября ещё не было.

Главное в цифрах

Параметр	Данные
Обнаружено	24 сентября 2026 года, 18:31 UTC
Сумма кражи	Около $387,5 млн (первая оценка — $351,6 млн)
Пострадавшие кошельки	Горячие и тёплые; холодные не затронуты
Активы и сети	ETH, XRP, BNB, AVAX, USDT, USDC и другие в Ethereum, XRP Ledger, BSC, Arbitrum, Optimism, Avalanche и Base
Способ	Взлом серверной системы, поддельные заявки на вывод, одобренные штатным процессом; приватные ключи не украдены
Подозреваемые	Государственные хакеры КНДР (Lazarus / TraderTraitor), официально не подтверждено
Компенсация	Фонд защиты пользователей более $464 млн, который, по словам Bitget, покрывает весь ущерб
Вознаграждения	5% за заморозку средств, 5% за добровольный возврат
Вывод средств	Приостановлен 24 сентября; поэтапно возобновляется с 28 сентября

Что стало известно после 25 сентября

28 сентября 2026 года. Bitget назвала первопричину: уязвимость в стороннем продукте для безопасности, которым пользовалась биржа, дала атакующему высокоуровневые внутренние учётные данные, а с ними он отправлял мошеннические команды на вывод. Имя поставщика не раскрыли. Bitget сообщила, что ограничила внутренний доступ, добавила независимую проверку выводов и усилила мониторинг. В понедельник возобновился вывод биткоина, в следующие дни — эфира и USDT, а остальные токены, фиат и P2P запланированы на 2 октября.

29 сентября 2026 года. За 24 часа до вторника клиенты вывели с биржи около $463 млн в чистом выражении — это крупнейший однодневный отток с тех пор, как DefiLlama четыре года назад начала отслеживать proof-of-reserves. Bitget сообщила, что после покрытия дыры её фонд защиты опустился ниже $200 млн и в течение недели будет восстановлен до более чем $300 млн из собственного капитала компании.

30 сентября 2026 года. По данным SlowMist, о которых написал Cointelegraph, самая ранняя вредоносная активность датируется 31 августа, когда была использована уязвимость нулевого дня в стороннем продукте. Исследователи также восстановили удалённый самописный инструмент, который подделывал параметры риск-контроля и формировал заявки на вывод. Чэнь призналась, что не рассчитывает вернуть большую часть средств.

Почему это важно

История Bitget показывает, что «ключи в безопасности» — не то же самое, что «средства в безопасности». Биржи защищают горячие кошельки системами одобрения, риск-движками и мультиподписью, но если злоумышленник изнутри делает вредоносный вывод похожим на законный, эти механизмы его просто подписывают. Точкой входа здесь стал продукт для безопасности — ровно тот инструмент, который должен снижать риск. Та же схема, когда доверенный внутренний механизм обращают против владельца, повторяется во многих крупных инцидентах, включая кроссчейн-атаки вроде недавнего взлома биткоин-моста Symbiosis.

Клиенты не пострадали, потому что у Bitget был крупный резервный фонд. Это хорошая новость, но это решение компании, а не гарантия. На площадке поменьше без такого фонда или при более крупной краже пользователи оказались бы в очереди кредиторов. Рекордный отток после открытия вывода показывает, что многие сделали такой же вывод.

Что делать: практический чек-лист

Держите на бирже только то, чем торгуете. Всё остальное — в кошельке, который контролируете вы. Об аппаратных кошельках и резервных копиях сид-фразы — в руководстве по безопасности некастодиальных кошельков.
Выводите спокойно, без паники. При поэтапном открытии сверьтесь с официальным объявлением, какие монеты и сети уже доступны, сначала отправьте небольшую тестовую сумму и перепроверьте адрес.
Остерегайтесь фишинга под видом «возврата» и «компенсации». После каждого крупного взлома появляются фальшивые аккаунты поддержки, письма и сайты, которые предлагают «восстановить» баланс или «верифицировать» кошелёк. Bitget покрывает потери на уровне аккаунтов, поэтому никому не нужно подключать кошелёк, сообщать сид-фразу или платить комиссию, чтобы получить компенсацию. Подробнее — в материале о том, как не попасться на мошенников при обмене криптовалюты.
Пользуйтесь только официальными каналами. Вводите адрес биржи вручную и следите за объявлениями в приложении, а не за ссылками из личных сообщений или рекламы в поиске.
Для разовых обменов выбирайте некастодиальные сервисы. Моментальные обменники и агрегаторы, которые отправляют монеты сразу на ваш адрес, не хранят ваш баланс между сделками. Сравнить их можно в списке обменников.

Частые вопросы

Сколько украли при взломе Bitget?

Около $387,5 млн по уточнённой оценке Bitget. Первая оценка 24 сентября 2026 года составляла $351,6 млн. Это крупнейший взлом в криптоиндустрии в 2026 году на данный момент.

Как хакеры взломали Bitget?

Они скомпрометировали серверную систему кошельковой инфраструктуры Bitget, подделали заявки на вывод, и штатный процесс одобрения сам отправил средства. 28 сентября Bitget сообщила, что точкой входа стала уязвимость в стороннем продукте для безопасности, давшая атакующему высокоуровневые внутренние учётные данные. Приватные ключи не украдены.

Стоит ли за взломом Bitget Северная Корея?

Это подозревают, но официально не подтверждено. Bitget указала на IP-адреса, совпадающие с VPN северокорейской группировки, Elliptic назвала связь весьма вероятной, а независимые исследователи приписали атаку Lazarus Group.

Потеряли ли пользователи Bitget деньги?

По словам Bitget, нет: балансы аккаунтов не изменились, а ущерб покрывает фонд защиты пользователей, в котором было более $464 млн. Холодные кошельки не пострадали.

Можно ли сейчас вывести средства с Bitget?

Вывод приостановили 24 сентября и поэтапно возобновляют с 28 сентября: сначала биткоин, затем эфир и USDT, а остальные токены, фиат и P2P запланированы на 2 октября. Актуальный статус проверяйте в официальных объявлениях Bitget.