Bitget遭攻击损失3.875亿美元:自有系统批准了欺诈性以太坊(ETH)转账

自有授权系统放行,3.875亿美元被转走

加密货币 交易所 Bitget已确认,9月24日攻击者从其钱包盗取3.875亿美元,而这起入侵中最刺眼的一点是:批准这些欺诈性转账的,正是平台自己的授权系统。Bitget的安全系统在UTC时间18:31发现异常流动,数分钟内启动应急流程,但入侵已触及支撑交易所日常运营的热钱包和温钱包的部分区域。公司表示离线冷钱包安全无恙——不过,检测到异常的时间点并不能说明攻击者最初是何时潜入的。

链上动态几乎与盗窃同步暴露。UTC时间19:57,分析师DCF GOD发现一个刚创建的钱包,在六分钟内花费1,967万美元USDT0买入7,111枚ETH,部分成交价高出市场价最多5%——这种做法指向有人宁可牺牲执行成本也要尽快离场。到UTC时间21:06,Bubblemaps追踪到约1.8亿美元从Bitget关联钱包流入单一公共收款地址,随后资金再分散至多个钱包。UTC时间21:30,CEO Gracy Chen发布了她的 安全通告 ——距离声称的检测时间已过去近三个小时——确认初步损失3.516亿美元,并暂停提币。这一时间差让外界对响应流程留下疑问,尽管它并不能证明资金在此期间持续流出。

安全通告https://x.com/GracyBitget/status/2103235655879074084

按照Chen的说法,攻击手法并未涉及私钥被盗,这一点已被排除。攻击者入侵的是一套关键的后端系统——即在幕后管理钱包运营的软件——并向其输入虚假交易数据,诱使Bitget的授权流程批准了这些转账。

Bitget在9月25日UTC时间14:03将损失上修至3.875亿美元,纳入了受影响的Zcash和TRON资产;公司称漏洞已修复,并承诺在9月26日UTC时间04:00之前公布提币计划,但并未承诺届时恢复提币。攻击者究竟如何进入后端、哪些内部校验失效,仍有待详细公开说明。

与朝鲜黑客手法的相似之处增多

Bitget已请来Mandiant和SlowMist展开调查,Chen也公开怀疑有朝鲜势力介入,理由是其IP行为和链上活动与朝鲜组织特征相符。最初的入侵入口尚未披露。把这次事件与2025年2月的Bybit被盗案——美国联邦调查局(FBI)将其归因于朝鲜——放在一起看,有四条脉络重合。其一,操纵批准流程:Bitget描述的是虚假指令进入授权系统,而Bybit案中是被污染的界面诱骗签名者批准恶意交易;机制不同,但都从批准环节本身下手。其二,资产快速变现:Bitget关联资金立即买入ETH,与FBI记录的Bybit被盗资产被迅速兑换为其他加密货币的做法相呼应。其三,资金拆分:Bubblemaps识别出多个接收钱包,正如Bybit赃款曾分散到数以千计的地址。其四,THORChain:据MistTrack报告,Bitget赃款进入这一跨链协议——此前Bybit被盗资金也走过同一条路——该网络的 流动性池 为窃贼提供快速跨链退出通道。

这些相似之处值得深挖,但仅凭对比并不能锁定Bitget的攻击者,公司也尚未指认任何嫌疑组织。这类对比真正确立的是方法:针对运营层而非密码学层面的社会工程攻击——这正是近年交易所最大规模损失背后的共同模式。截至发稿,提币仍处于暂停状态,Bitget称其保护基金足以全额覆盖损失——在提币计划公布、赔付机制可见之前,市场无法验证这一说法。UTC时间18:31的检测记录说明监控是有效的;调查者真正要追问的是,被入侵的后端为何一开始就能通过内部校验。 希望实时跟踪行情的读者，可在Binance查看现货与合约的实时价格。

提币计划9月26日到期

从COINOTAG编辑部的视角看,最关键的一个细节是:没有密钥被盗——防线是在授权层失守的,因此修复重点在于输入校验和职责分离,而不仅仅是轮换密钥。链上记录——从钱包集群的拆分到那笔1,967万美元的ETH扫货——全程可追溯,只要各平台冻结被标记的资金流向,就有望追回。这不像 闪电贷 攻击,而是一次流程性入侵——更难修补。Bitget须在9月26日UTC时间04:00前给出的提币计划,是用户信心的下一道考验;评估托管风险的交易者可以参考我们的最佳加密货币交易所指南。