Bitget CEO指认朝鲜黑客发动3.5亿美元攻击 1.029亿枚XRP成被盗主力

Bitget CEO指向朝鲜

Bitget CEO Gracy Chen在X平台的一场直播问答中表示,9月24日针对该交易所、造成约3.5亿美元损失的黑客攻击,幕后黑手“极有可能”是朝鲜黑客。此次入侵迫使平台全面暂停提现。Chen透露,调查人员已锁定与某特定朝鮮关联组织VPN使用特征相符的IP地址,且入侵手法与以往归于朝鲜团队的行动高度相似。她没有点名具体组织,并表示交易所不相信内部人员参与了此次事件。按DefiLlama的2026年黑客攻击排名,该事件已跃居首位。Chen承诺,待取证团队完全弄清攻击者的入侵路径后,将发布一份完整的技术报告——这份报告或将强化、也可能削弱其团队目前释放的归因信号。

后端系统被攻破 私钥并未失守

Chen在其官方复盘说明中对攻击机制的描述,排除了用户最担心的几种情形:攻击者从未取得Bitget热钱包、温钱包或冷钱包的私钥,也没有伪造客户提现请求。她表示,攻击者的做法是攻陷交易所钱包基础设施内的一个关键后端系统,利用它篡改交易数据,进而骗过Bitget自身的授权流程,让资金被转出。她补充说,损失已得到控制,不会再发生新的未授权转账,但调查人员仍在梳理哪些服务器被触及、防线为何失守。部分被盗资金已经追回,具体金额未披露,追回工作正与各区块链基金会及安全合作伙伴协同推进。

官方复盘说明https://x.com/GracyBitget/status/2103284265563902056

1.029亿枚XRP居被盗资产之首

链上追踪显示,攻击者共转走九种资产,其中瑞波币(XRP)占比最大:约1.029亿枚,事发时价值约1.575亿美元。被盗资产还包括ETH、AVAX和BNB,以及主流稳定币——USDC、USDT和经Arbitrum路由的USDT0。Bitget确认的损失规模约为链上初步估算的1.76亿美元的两倍,这一差距反映出部分资产在被首轮监测捕捉之前就已转出。另有独立的链上分析为朝鲜归因提供了佐证:分析师Specter报告称,被盗XRP经过跨链桥转移,与AFX Trade漏洞事件的资金直接相连——那是7月一笔2400万美元的盗窃案,归于与Lazarus关联的TraderTraitor组织,也正是LayerZero在4月将KelpDAO跨链桥漏洞事件与之关联的同一组织。

2026年迄今最大规模黑客攻击

DefiLlama追踪器目前统计,2026年281起事件合计损失约22亿美元,仅Bitget这一案就占其中约16%——远超9月Liquid Network的3.2亿美元事件和4月Drift的2.95亿美元攻击。此案还使9月成为2026年损失最惨重的月份,超过了4月约6.48亿美元的累计损失。TRM Labs的数据此前已发现,仅到4月为止,朝鲜组织就占了黑客攻击损失的76%。行业标杆仍是2025年2月Bybit遭窃的15亿美元案,FBI将其归于Lazarus。Bybit CEO Ben Zhou已公开表示愿协助Bitget追踪并追回被盗资金,以此回报Bybit遭攻击时Bitget伸出的援手。根据官方公告,该交易所表示,2022年设立、规模超4.64亿美元的用户保护基金——其中包括约5500枚BTC,对应3亿美元的底线承诺——足以全额覆盖本次损失。至此,这一事件被纳入自Mt. Gox到Coincheck NEM被盗案以来、交易所级盗窃案的漫长谱系之中。 希望实时跟踪行情的读者，可在Gate查看现货与合约的实时价格。

复盘报告必须确认什么

我们对目前证据的解读是:归因依据的是IP与VPN特征加上链上资金追踪,而非一份已完成的取证报告,因此“朝鲜标签”应被视为一条有力的线索,而非已坐实的结论。按照CEO本人的说法,根本原因在于一个被攻陷的后端系统被用来篡改交易数据并劫持内部授权——私钥自始至终未曾离开托管,而这恰恰是Coinbase等平台视为关键控制面的密钥管理与签名环节。补救路径——损失已控制、提现暂停、4.64亿美元基金全额兜底——暂时保护了用户,但对于正在考虑是否在中心化平台hodl资产的投资者而言,应等待那份承诺中的技术报告,并在得出结论前对照我们的最佳加密货币交易所安全清单加以权衡。