Giełda kryptowalut Bitget potwierdziła, że napastnicy wykradli około 351,6 mln USD z jej gorących i „ciepłych" portfeli 24 września 2026 r., po tym jak o 18:31 UTC wykryto nieautoryzowane transfery. Giełda twierdzi, że jej offline'owe zimne portfele nie zostały naruszone, a salda kont userów pozostają poprawne.
Co się stało
CEO Bitget, Gracy Chen, mówi, że napastnik nie wykradł klucza prywatnego. Zamiast tego przejął system backendowy wewnątrz infrastruktury portfeli giełdy, sfałszował dane transakcji i użył ich, by wywołać własny proces autoryzacji wypłat Bitget. Chen porównała to do cyfrowego odpowiednika „podsunięcia sfałszowanych druków wypłaty przez okienko bankowego kasjera". Firma analityki on-chain Arkham Intelligence jako jedna z pierwszych zauważyła nietypowe odpływy środków, obejmujące ETH, BNB, AVAX, USDT i USDC; napastnik miał następnie zamienić większość stablecoinów i altcoinów na ETH.
Reakcja Bitget
Bitget wstrzymał wypłaty na czas przeglądu bezpieczeństwa, choć depozyty i handel pozostały dostępne. Giełda twierdzi, że strata jest w całości pokryta z jej Funduszu Ochrony Userów, który w momencie ataku przekraczał 464 mln USD, oraz że „powstrzymanie strat zostało potwierdzone" i dalsze nieautoryzowane transfery nie są już możliwe. Śledczy podali wstępne dowody wskazujące na infrastrukturę IP przypominającą sieci wcześniej łączone z północnokoreańską grupą hakerską, choć atrybucja nie została formalnie potwierdzona.
Co to oznacza dla traderów futures
Włamanie u Bitget przypomina, że ryzyko przechowywania środków leży po stronie giełdy, nie tylko zabezpieczeń własnego konta — nawet platforma z ponad 125 mln userów może mieć przejęty system backendowy. To też przypadek, w którym mocniejszy klucz prywatny czy dwuskładnikowe logowanie po stronie usera nic by nie dały, bo atak przeszedł przez wewnętrzny proces autoryzacji giełdy, nie przez czyjeś logowanie. Handel z dźwignią sam w sobie niesie wysokie ryzyko straty; włamanie na poziomie platformy to osobna warstwa ryzyka nałożona na to pierwsze — warto rozkładać istotne środki na więcej niż jedną giełdę, zamiast trzymać wszystko w jednym miejscu.
BitMe nie integruje się obecnie z Bitget, ale na każdej obsługiwanej giełdzie łączy się przez klucz API tylko do odczytu i nigdy nie prosi o uprawnienia do wypłat — mały element tego samego nawyku higieny przechowywania środków, o którym przypomina to zdarzenie.