Bitget热钱包遭入侵,约3.516亿美元资产被盗,以太坊(ETH)被大幅转移

Bitget确认3.516亿美元安全事件

9月25日北京时间凌晨02:31,Bitget安全系统监测到其部分热钱包与温钱包层出现异常流出。交易所随后确认,未经授权的转账涉及资产约3.516亿美元。凌晨05:30,CEO Gracy Chen在X平台发布了完整的安全公告,明确表示冷钱包完全安全,用户账户余额准确无误。事件发生后,充值与现货交易保持正常运行,但提现作为预防措施已暂停。据交易所官方公告,应急响应团队在发现异常后数分钟内即启动,相关异常地址已被标记,并上报执法部门与链上安全机构。Bitget同时承诺,在调查结束前不会猜测攻击路径——无论是私钥泄露还是接口漏洞——并将通过官方渠道每小时更新进展。交易所表示,本次损失可由其用户保护基金覆盖,该基金目前规模超过4.64亿美元,并承诺在9月26日05:30前发布包含根本原因分析的完整事件报告。值得注意的是,目前存在两个并存的数据:内部账面口径为3.516亿美元,而基于公开标记地址追踪的链上估算为1.78亿至1.92亿美元;随着更多转账浮出水面或最终报告落地,这一差距可能收窄。

安全公告https://x.com/gracybitget/status/2103235655879074084?s=46&t=H3mqKGOatz3BS5Loh_-Y6g

链上路径:资金向以太坊(ETH)集中

链上数据显示,攻击者的资金归集早在官方披露之前就已开始。一个新建地址0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee从Bitget标记钱包收到了ETH、USDT、USDC、AVAX、BNB与XAUT,Etherscan随后将其标记为Bitget Exploiter 1。其中一幕格外醒目:约1,967万枚USDT0从标记热钱包被转移到Arbitrum,并在六分钟内通过UniswapX与1inch Fusion换成约7,111枚ETH,执行价格最高偏离市场价5%——这是攻击者显然愿意承担的滑点,原因不难理解:发行方有能力冻结稳定币,而被盗的ETH则远难拦截。在约30分钟内,同一地址还收集了约3,475万枚USDT、1,285万枚USDC和3,000枚XAUT,随后一小时内又转入约24,373枚ETH。可见的资金流出窗口从02:31持续到04:55,截止时刻仍有一笔最终转账停留在Avalanche上,之后资金被拆分至更多地址,并通过跨链桥转移。链上分析师最初统计的可见流出为1.78亿美元,先后修正至1.83亿美元,再至接近1.92亿美元,涉及15笔转账和七种资产,其中ETH约占总量的44.4%。

Bybit 2025年被黑的前车之鉴

就规模而言,本次Bitget事件已跻身行业最严重失窃之列,但仍远低于行业历史最大损失。2025年2月,Bybit在一次例行转账中丢失约40万枚ETH——当时价值14亿至15亿美元——创下交易所单次失窃纪录。调查方追踪发现,该攻击是在Safe多签接口中注入恶意脚本:签名者看到的是一笔普通转账,而实际签名却替换了钱包的实现合约;包括FBI在内的美国机构将此次行动归因于朝鲜的Lazarus组织。值得回味的是,当时Bitget是第一个出手援助Bybit的交易所,从自有资金无担保、无息借出40,000枚ETH——约1.05亿美元——以缓解提现压力,Bybit约三天后即归还了借款。历史案例为归因提供了两条主要线索:热钱包私钥泄露曾导致2018年Coincheck约5.3亿美元、2020年KuCoin约2.8亿美元、2021年Bitmart约1.5亿美元的损失;而多签与签名接口绕过则是2016年Bitfinex与2024年WazirX事件的底层机制。究竟哪种模式适用于Bitget,仍待官方报告确认。 希望实时跟踪行情的读者，可在Bitget查看现货与合约的实时价格。

复盘报告9月26日交付

在我们看来,决定性的证据已经在链上:被盗余额可以在攻击者的标记地址上直接核验,而资金流模式——稳定币先行、快速换成ETH、再跨链分散——符合一套专业的洗钱流程,而非机会主义的钱包清空。不过,根本原因尚未确立;Bitget自己的复盘报告预计在9月26日05:30前发布,那才是权威文件,在此之前任何私钥或内鬼假设都应视为未经证实。截至发稿,已确认的处置措施包括:提现暂停、损失由超过4.64亿美元的保护基金覆盖、官方每小时更新。现在真正的问题在于:报告最终确认的是签名基础设施被攻破——即2025年Bybit模式——还是更简单的密钥管理失误。