Bitget钱包3.87亿美元比特币(BTC)失窃,铸就2026年最惨烈黑客月

9月创下2026年月度损失纪录

2026年9月刚刚收官,就坐稳了全年加密安全领域最昂贵月份的位置:链上数据追踪显示,当月被盗资金总额达到7.6649亿美元,这一数字由PeckShield链上追踪统计。与8月的1.363亿美元相比,环比涨幅约462%,同时也越过了4月创下的前一个月度高点6.4689亿美元,当时KelpDAO攻击事件大幅推高了单月损失。整月损失几乎由两起事件撑起:Bitget热钱包失窃约3.87亿美元,比特币侧链Liquid Network被抽走约3.2亿美元,两案合计约7.07亿美元,占当月总额的92%左右。事件数量同样刷新纪录:继8月创下当时50起的月度纪录后,PeckShield统计9月发生55起重大黑客攻击,CertiK的仪表盘则全月录得99起安全事件。9月有13起攻击的单案金额超过50万美元,但收益高度集中于规模最大的几起。整个第三季度损失达12亿美元,较第二季度的8.194亿美元上升53%,事件数量增加12.8%至247起。这些攻击瞄准的是托管与跨链桥基础设施,而非比特币(BTC)价格本身的形成机制。

SlowMist把Bitget失窃起点追至8月31日

对Bitget失窃案的取证显示,入侵在资金外流前数周就已开始。该交易所与区块链安全公司SlowMist联合发布的官方进展报告更新至9月29日,将最早的恶意活动时间锁定在8月31日。攻击者利用某第三方安全产品中的一个零日漏洞,也就是此前完全未被公开披露的缺陷发动攻击,调查人员还从入侵者删除的文件中恢复出一套定制的提现工具。随后,被盗的私钥材料让攻击者获得了Bitget热钱包的访问权限。热钱包是交易所存放流动储备的在线存储,与离线冷钱包相互隔离。SlowMist尚未将入侵归因于任何具体组织,不过Bitget首席执行官Gracy Chen此前曾指认嫌疑指向朝鲜黑客。这起失窃案由此成为2026年规模最大的一起,排名超过此前领衔年度损失榜的Drift Protocol、KelpDAO和LayerZero攻击事件。这一结论对所有运行同一套第三方安全组件的交易所都有分量:入口并不在Bitget自己的代码里。

Liquid Network部分资金回流

9月的损失并非全部无法挽回。自称白帽的Liquid Network攻击者归还了约3.2亿美元失窃款中的约2.85亿美元,网络此后已收回3400枚Bitcoin (BTC)。一起781万美元的最大可提取价值机器人抢跑攻击同样以资金退还收场,Payment Processor V2的损失也被部分追回,660万美元损失中收回了340万美元。加密赌场Duelbits被盗700万美元,Nostra预言机攻击造成350万美元损失。一起针对Gnosis Safe多签钱包的攻击企图被一个名为Yoink的机器人抢先拦截,多签钱包正是许多DAO金库依赖的托管安排,资金安然无恙。得手后的资金流向也很快:数小时内完成转移,随后几天内经由去中心化交易所兑换、加密混币器Tornado Cash以及免KYC场所逐步混合,新近的动作已将赃款兑换为门罗币(XMR)和主打隐私保护的ZCash(ZEC)。其余53起事件合计损失约5900万美元,多数为针对钱包、跨链桥和Web3应用的300万至700万美元级别的攻击。

扣除返还后仍达12亿美元的季度

把三季度的数据放在一起看,损失更多集中在运营层面的失陷,而非单纯的合约漏洞,期间以太坊和BNB Smart Chain承受的攻击最多。三季度12亿美元的损失比二季度的8.194亿美元高出53%,但净数字低于头条金额:CertiK仪表盘记录9月有2.732亿美元被冻结或追回,经调整后的损失降至约4.953亿美元。钓鱼攻击占三季度事件数的11%以上,而且无论加密货币恐惧与贪婪指数处于周期哪个位置,攻击都照常落地。SlowMist的事后报告给出了整改方向:封堵第三方零日漏洞敞口、强化密钥托管、收紧提现控制。单个季度247起事件意味着,在下个季度让损失继续滚大之前,交易所和协议需要更严格的审计以及实时的提现监控。