Криптобиржа Bitget подтвердила кражу криптовалюты примерно на $351,6 млн, но за последние часы появились первые технические детали атаки. По предварительным результатам расследования злоумышленник не похищал приватные ключи. Вместо этого атакующий получил доступ к критической backend-системе кошельковой инфраструктуры, подменял данные транзакций и заставлял штатный механизм авторизации подписывать переводы. Вывод средств с биржи по-прежнему остановлен.
Система безопасности Bitget обнаружила несанкционированные переводы 24 сентября в 18:31 UTC. Инцидент затронул часть горячих кошельков и промежуточного warm-слоя. Холодные кошельки, где биржа хранит активы вне постоянно подключённой инфраструктуры, компания называет неповреждёнными.
Глава Bitget Грейси Чен позднее уточнила механизм атаки. По её словам, злоумышленник скомпрометировал одну из критических систем внутри кошельковой инфраструктуры, сформировал поддельные данные о переводах и передал их дальше по легитимной цепочке авторизации. Bitget считает утечку приватных ключей исключённой и утверждает, что дальнейший несанкционированный вывод уже заблокирован. Каким способом атакующий первоначально проник в backend, расследование пока не установило.
Такая разница принципиальна. При краже приватных ключей злоумышленник получает возможность самостоятельно подписывать транзакции с контролируемых адресов, пока средства не переведут на новые кошельки. В описанном Bitget сценарии ключи могли оставаться защищёнными, но система перед ними получила ложную команду и сама санкционировала перевод. Фактически атакующий обманул не блокчейн, а доверенный внутренний контур, который решал, какую транзакцию следует подписать.
К расследованию Bitget привлекла специалистов Mandiant и SlowMist. Одновременно компания сообщила, что отдельный некастодиальный Bitget Wallet работает на другой инфраструктуре и не пострадал. Пользователи такого кошелька самостоятельно контролируют приватные ключи, поэтому инцидент централизованной биржи напрямую их активы не затронул.
Независимый анализ блокчейнов даёт немного большую оценку ущерба. Последняя разбивка активов Lookonchain насчитала около $356,8 млн. В список вошли 102,93 млн XRP стоимостью $157,48 млн, 31 890 ETH на $85,75 млн, 34,75 млн USDT, 21,05 млн USDC, 19,67 млн USD₮0, 3000 XAUt на $12,82 млн, 12 719 BNB на $9,88 млн, 821 012 AVAX на $8,38 млн и 20,59 млн TRX на $7,07 млн. Расхождение с официальными $351,6 млн примерно на $5 млн может объясняться временем оценки и изменением курса похищенных активов.
В первые часы масштаб атаки выглядел заметно меньше, поскольку наблюдатели видели прежде всего переводы в EVM-совместимых сетях. Позднее аналитики добавили крупный вывод XRP и операции в других блокчейнах. Именно 102,93 млн XRP оказались крупнейшей отдельной частью похищенного портфеля.
Значительную часть активов в EVM-сетях злоумышленник быстро конвертировал в 67 982 ETH стоимостью около $183 млн. Подобная тактика усложняет блокировку средств. Централизованные стейблкоины позволяют эмитентам ограничивать движение монет на конкретных адресах. Например, Circle прямо предусматривает блокировку USDC, связанных с незаконной деятельностью.
С XRP ситуация ещё жёстче. Документация XRP Ledger прямо указывает, что нативный XRP невозможно заморозить средствами протокола. Замораживать можно выпущенные поверх XRP Ledger токены, но не сам XRP. Поэтому сообщения Bitget о блокировке части связанных с атакой активов не означают, что крупнейшие 102,93 млн XRP автоматически стали недоступны злоумышленнику.
Появилась и предварительная версия об авторах атаки. Чен заявила, что изученные IP-адреса и выбор VPN-инфраструктуры похожи на шаблоны, которые ранее связывали с северокорейскими группировками. Дополнительные подозрения вызвал анализ движения части XRP, где исследователи нашли возможную связь с июльским взломом AFX. Пока атрибуция остаётся предварительной. Ни Bitget, ни привлечённые расследователи не опубликовали технических доказательств, достаточных для окончательного вывода о причастности КНДР.
Северокорейский след выглядит правдоподобно в контексте предыдущих крупных криптокраж, но сам по себе прошлый опыт ничего не доказывает. В феврале 2025 года ФБР официально связало с КНДР кражу примерно $1,5 млрд у Bybit и назвало операцию TraderTraitor. По оценке Chainalysis, за весь 2025 год северокорейские группы похитили не менее $2,02 млрд в криптовалюте.
Bitget утверждает, что клиентские средства полностью защищены User Protection Fund. Фонд состоит из 5500 BTC, поэтому его долларовая стоимость меняется вместе с курсом биткоина. На момент первоначального заявления компания оценивала резерв более чем в $464 млн, что превышало её собственную оценку потерь в $351,6 млн. Наличие фонда ещё не равно независимому подтверждению компенсации, поскольку Bitget пока не опубликовала результаты проверки и фактическое движение средств из фонда.
За неделю до взлома биржа также опубликовала сентябрьское Proof of Reserves с совокупным коэффициентом 135% по 19 отслеживаемым активам. Такая проверка показывает соотношение заявленных резервов и пользовательских балансов на момент снимка, но сама по себе не отвечает на вопросы о безопасности backend-систем, механизмах подписи транзакций или причинах нынешней компрометации.
Операционные последствия атаки продолжаются. Вывод криптовалюты остаётся приостановлен, а отдельный сервис Bitget Onchain временно недоступен. Биржа сначала заявляла, что депозиты и обычная торговля работают штатно, однако утром 25 сентября отдельно предупредила о задержках депозитов. Срок восстановления вывода средств компания пока не называет.
Bitget обещала опубликовать полный отчёт с анализом первопричины и принятыми мерами в течение 24 часов после обнаружения атаки, то есть ориентировочно до 18:31 UTC 25 сентября. На момент последней проверки отдельного технического отчёта в официальном центре поддержки ещё не появилось.
Главный вопрос расследования теперь сместился с приватных ключей на внутреннюю архитектуру доверия. Предстоит выяснить, как атакующий получил доступ к backend-системе, почему поддельные данные дошли до механизма подписи, какие проверки должны были остановить аномальные переводы и почему они не сработали до вывода сотен миллионов долларов. До публикации технического отчёта любые более конкретные версии, включая компрометацию стороннего поставщика или атрибуцию конкретной хакерской группе, остаются гипотезами.
