Через девятнадцать месяцев после взлома Bybit на $1,5 млрд ещё одна топовая биржа потеряла сотни миллионов из онлайн-кошельков. В четверг, 24 сентября 2026, Bitget обнаружил несанкционированные переводы в 18:31 UTC. CEO Грейси Чен сначала оценила потери примерно в $351,6 млн; после дополнительного трейсинга Bitget поднял цифру до $387,5 млн.
Bitget говорит, что приватные ключи не украдены, холодные кошельки целы, а убытки покроет защитный фонд. Детали важнее заголовка: как атакующие вошли без ключей и почему первые публичные оценки пропустили примерно половину ущерба.
Главное
- Bitget обнаружил несанкционированные переводы из горячих и тёплых кошельков в 18:31 UTC 24 сентября 2026.
- CEO Грейси Чен сначала оценила потери примерно в $351,6 млн; позже Bitget пересмотрел цифру до $387,5 млн.
- Средства ушли через семь сетей — Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Smart Chain и Base; крупнейшая потеря — около 102,9 млн XRP (~$157,5 млн), по данным Lookonchain.
- Атакующие проникли в бэкенд-систему кошельков, подменили данные транзакций и запустили собственный процесс одобрения Bitget; по словам биржи, приватные ключи не украдены.
- Чен заявила, что поведение IP и on-chain паттерны «в высокой степени совпадают» с известными северокорейскими хакерскими группами — это оценка самой Bitget, а не официальная атрибуция.
- Bitget обещает покрыть потери из User Protection Fund на сумму более $464 млн и собственного капитала свыше $1 млрд; вывод приостановили, торги продолжились.
Что случилось с Bitget 24 сентября 2026?
24 сентября 2026 атакующие вывели около $387,5 млн из горячих и тёплых кошельков Bitget через семь блокчейнов. Приватные ключи они не крали. Вместо этого скомпрометировали бэкенд-систему кошельков и скормили ей фальшивые данные транзакций — и собственный процесс одобрения Bitget подписал переводы. Вывод приостановили, торги продолжились.
Как пишет BleepingComputer, Bitget утверждает, что холодные кошельки не тронуты, а self-custodial Bitget Wallet работает на отдельной инфраструктуре и не пострадал. Чен заявила, что «дальнейшие несанкционированные переводы невозможны». Биржа работает с Mandiant, SlowMist и правоохранительными органами.
За первые часы цифра менялась дважды — для хака такого масштаба это нормально. Первая оценка Чен — $351,6 млн. Дополнительный трейсинг поднял её до $387,5 млн, и даже первая цифра была почти вдвое выше того, что показывали некоторые публичные трекеры.
Какие монеты украли у Bitget?
Больше всего ушло XRP, ETH и стейблкоинов. Аналитический аккаунт Lookonchain расписал крупнейшие куски, как сообщает InvestingLive:
| Актив | Количество | Примерная стоимость |
|---|---|---|
| XRP | ~102,9 млн XRP | ~$157,5 млн |
| ETH | 31 890 ETH | ~$85,8 млн |
| USDT | — | ~$34,8 млн |
| USDC | — | $21,1 млн |
| USDT0 | — | $19,7 млн |
Строка с XRP объясняет странное расхождение в первые часы. Первые трекеры — InvestingLive ссылается на CoinMarketCap — видели, что из Bitget ушло всего около $183 млн. Скорее всего, они пропустили переводы в XRP Ledger, где и случилась крупнейшая потеря. Инструменты, заточенные под EVM, в первую очередь видят EVM.
После первого дня история продолжилась. По сообщениям, 25 сентября Circle и Tether заморозили кошелёк, связанный с атакующим, а 26 сентября хакер, как сообщается, вывел около $83 млн в XRP за пределы досягаемости freeze-механизмов. Эти детали — из более поздних сообщений, а не из первоначального раскрытия Bitget.
Как хакеры опустошили Bitget без приватных ключей?
Атаковали не ключи, а процесс вокруг них. По словам Bitget, атакующие получили доступ к бэкенд-системе кошельков, подменили данные транзакций, которые она обрабатывала, и запустили обычный flow одобрения. Дальше собственная подпись биржи одобрила переводы, которые выглядели легитимными, но ими не были.
Чен сравнила инцидент со взломом Bybit примерно на $1,5 млрд в феврале 2025 года. Для пользователей общий урок — про горячие кошельки в целом: они онлайн по определению, и любая система, которая говорит им, что подписывать, становится частью поверхности атаки. Держать ключи в сейфе бесполезно, если инструкции, которые до сейфа доходят, подделаны.
Ключи могут остаться в сохранности, а деньги — всё равно уйти.
Насчёт атрибуции: Чен сказала, что поведение IP и on-chain паттерны «в высокой степени совпадают с известными паттернами северокорейских хакерских организаций». Это собственное прочтение улик Bitget, а не вывод правоохранителей, и относиться к нему стоит именно так, пока следствие не скажет больше.
Вернут ли пользователям Bitget деньги?
Bitget обещает покрыть потери. Биржа ссылается на User Protection Fund на сумму более $464 млн — его описывают как 5 500 BTC — плюс собственный капитал свыше $1 млрд. Холодные кошельки не тронуты. Пока вывод на паузе из-за расследования, главный вопрос для клиентов — доступ к средствам, а не платёжеспособность биржи.
Обещание выглядит убедительно, но это всё равно обещание контрагента, которого только что взломали. Очередь на вывод на паузе — именно тот момент, когда пользователи понимают разницу между балансом и монетами. Этот паттерн мы разбирали в статье 5 причин, почему риск CEX реален, и он стал темой недели: днём раньше BitMEX закрылся после 11 лет, оставив пользователям свой список дел по выводу.
Что это значит для тех, кто делает свапы
Хак биржи бьёт по тем, у кого в этот момент есть на ней баланс. Чем меньше часов твои монеты проводят в чужом горячем кошельке, тем меньше этот риск. SwapZilla работает без баланса: нет аккаунта, нет депозита, лежащего в кошельке, который ты не контролируешь. Ты сравниваешь котировки нескольких лицензированных провайдеров, отправляешь монеты под один свап, и результат уходит прямо на твой адрес. Сам SwapZilla средства не хранит — обмен проводит выбранный тобой провайдер. Пока свап в процессе, counterparty-риск всё же есть, поэтому наш список провайдеров публичный, а весь flow описан в разделе как это работает. Для долгого хранения холодное хранение лучше любого горячего кошелька.
Финальная мысль
Пока инцидент Bitget выглядит локализованным: пересмотренная цифра $387,5 млн, защитный фонд, которого хватает на покрытие, целые холодные кошельки и расследование с Mandiant и SlowMist. Если обещание компенсации сдержат, большинство клиентов ничего не потеряет.
Два урока переживут заголовки. Первый: горячий кошелёк можно опустошить, даже если ключи никуда не делись, — слабым местом может стать любая система, которая передаёт ему инструкции. Второй: первые цифры в хаке — это нижняя граница: $183 млн, потом $351,6 млн, потом $387,5 млн — и всё примерно за сутки.
В хаке первая цифра — это пол, а не итог.