Bitget确认热钱包被盗3.516亿美元,Ethereum (ETH)链上被转出

3.516亿美元未经授权转账

Bitget确认,9月24日约3.516亿美元的数字资产在未经授权的情况下从其热钱包流出,安全研究人员将其定性为疑似黑客攻击。按交易量计,Bitget是全球第六大加密货币交易所,据CoinGecko数据日均成交量超过11亿美元。事发后,该平台以塞舌尔为注册地,已紧急暂停提现,充值与交易则保持正常运转。值得注意的是,链上安全机构在交易所自身发声之前数小时就已标记出可疑转账。这一事件也把热钱包风险——为满足流动性需求而将用户资金保存在联网基础设施中、而非离线冷存储——重新推上安全议题的风口浪尖。

Bitget首席执行官Gracy Chen在X平台发帖确认了此次入侵。她写道,Bitget安全系统于9月24日18:31(UTC)检测到少量热钱包出现未经授权的转账,应急响应机制随即启动,冷钱包未受影响。Bitget采用三层钱包架构,据Chen所述,此次失陷仅波及热钱包与温钱包层的一部分,用户资产整体安全。她直接向用户喊话:交易所经历过多个市场周期,“不会一跑了之”,并承诺对每一分钱、每一个决策都给出透明的交代。

被盗资金归集至单一地址

链上数据显示,攻击者跨多条区块链扫转资产,并归集到一个新创建的地址。被盗资产包括Ethereum (ETH)、BNB、Avalanche (AVAX),以及基于LayerZero构建的全链版本USDT——USDT0。分析师追踪到,一个新地址在短短六分钟内,用Bitget热钱包转出的约1,967万USDT0,在Arbitrum上买入7,111枚ETH,并通过UniswapX和1inch Fusion等DeFi应用协议成交,溢价最高达5%。这种激进的买入一度将WETH/USDC池价格推至约2,870美元——稳定币余额被持续兑换成ETH,是一种把赃款转移入市场流动性最强资产的洗钱手法。

损失估算在一天之内大幅攀升。早期追踪的可疑流出金额在1.7亿至1.83亿美元之间,但随着披露范围扩大至更多钱包,确认总额升至3.516亿美元。分析师指出,涉事的Bitget钱包内仍留有约5.3亿美元资产,交易者需警惕后续异动。攻击向量目前尚未披露——交易所与安全机构均未公布,将事件与朝鲜黑客关联的猜测也未获证实。Bitget表示,在调查结束前不会对作案手法作任何推测。

保护基金足以覆盖全部损失

在官方公告中,交易所确认了3.516亿美元的流出规模,并表示已标记相关地址、通知相关对手方,并正式联动执法部门与链上安全机构展开调查。Chen强调,用户保护基金规模超过4.64亿美元,足以覆盖全部损失。在安全审查完成之前,提现将继续暂停,但充值、交易及账户余额不受影响,且已核验无误。公司承诺每小时更新进展,并在24小时内发布完整事件报告,说明根本原因、作案手法及后续整改措施。

官方公告https://x.com/bitget/status/2103236552482848927

Bybit之后最大规模交易所失窃

这是自2025年2月Bybit被盗约14亿美元以来,中心化交易所遭遇的最大规模入侵,而今年本就接连发生钱包层面的安全事件。7月,黑客利用Coldcard比特币硬件钱包的固件漏洞窃走近1.2亿美元用户资金;本月早些时候,自称“白帽”的攻击者从Blockstream旗下Liquid侧链的联合钱包转走约4,000枚BTC,时值约3.2亿美元。此外,Bitget早在8月就已宣布,因日本监管机构就未注册经营发出警告,将逐步停止面向日本居民的服务。 希望实时跟踪行情的读者，可在Bitget查看现货与合约的实时价格。

24小时内须交出事后报告

真正的考验在于那份承诺的事后报告。被盗总额与资金归集至单一地址的事实,链上均可直接核验,因此24小时报告必须使其官方数字与区块浏览器显示的数据相互印证,并披露究竟是私钥遭泄露,还是签名基础设施的缺陷被利用——目前两者均无任何迹象。对用户而言,4.64亿美元的保护基金应能保证余额完好,但此事件再次表明,交易所失窃可以多快传导至市场微观结构:攻击者溢价抢购ETH,几分钟内就推动了WETH/USDC池的价格。在提现恢复之前,Bitget的公信力系于那份报告的透明程度。