24 сентября 2026 года биржа Bitget сообщила о несанкционированных переводах с части горячих и «тёплых» кошельков. Итоговая оценка ущерба — около $387,5 млн. По данным TRM Labs, это крупнейшая кража криптоактивов с начала 2026 года. Балансы клиентов, как утверждает площадка, остались неизменными, а убыток она приняла на себя и покрывает его из Фонда защиты пользователей.
Три часа, 23 транзакции и 11 блокчейнов
Первые переводы начались 24 сентября в 18:31 UTC (21:31 мск). Система сверки Bitget обнаружила аномалии в 19:05 UTC, после чего риск-контроль автоматически заблокировал вывод средств на всей платформе. Основная сумма — около $387 млн — ушла 23 транзакциями за первые три часа после атаки.
По сетям средства распределились так:
Сеть | Доля средств |
|---|---|
Ethereum | 49,7% |
XRP Ledger | 40,8% |
Zcash | 7,6% |
Tron | 1,8% |
Всего затронуто 11 блокчейнов, среди них Arbitrum и Optimism, и 12 адресов получателей. Среди активов — ETH, XRP, USDT, USDC, ZEC, BNB, AVAX и TRX. По данным Decrypt, только в XRP вывели около 103 млн монет на $157 млн. Сначала биржа оценила ущерб в $351,6 млн, затем пересмотрела цифру до примерно $387,5 млн, включив активы в сетях Zcash и TRON.
Причина: уязвимость нулевого дня у стороннего вендора
Приватные ключи и холодные кошельки не скомпрометированы — атака шла через операционную инфраструктуру. По итогам расследования с участием Mandiant (структура Google Cloud) и SlowMist компания сообщила: злоумышленник использовал уязвимость нулевого дня в стороннем продукте безопасности, получил привилегированные учётные данные внутренней сети, сформировал поддельные команды на вывод и обошёл действующие системы контроля рисков. Bitget уведомила вендора и отключила затронутый функционал до выпуска исправления, заявив, что сама уязвимость устранена. Средства клиентов хранятся в трёхуровневой архитектуре кошельков, и, по версии биржи, холодный контур инцидент не затронул.
Балансы, фонд защиты и восстановление выводов
Главный вопрос клиентов — пострадали ли их средства. Официально балансы не изменились, вывод работает в полном объёме. Убыток покрывает Фонд защиты пользователей: он создан в 2022 году с 5 500 BTC и минимальным объёмом $300 млн, перед инцидентом превышал $464 млн, а состав фонда можно проверить ончейн.
28 сентября Bitget обязалась вернуть фонд к минимуму $300 млн в течение недели — и выполнила обещание за два дня, к 30 сентября, за счёт собственных резервов. Выводы после атаки приостанавливали и восстанавливали поэтапно:
BTC — 28 сентября
ETH — 29 сентября
USDT — 30 сентября
остальные активы, фиат и P2P — 2 октября
С 2 октября поэтапный план завершён, ограничений, связанных с инцидентом, нет.
«Прошедшие дни были трудными для наших пользователей, поэтому важно было показать, что механизмы защиты действительно работают», — заявила генеральный директор Bitget Грейси Чен.
Reuters приводит её слова о том, что средства пользователей в безопасности, а убытки покрываются за счёт биржи.
Независимого аудиторского подтверждения балансов клиентов площадка не публиковала: сохранность средств подтверждается только её заявлениями.
Заморожено около $1,1 млн из $387,5 млн
Из почти $388 млн вернуть пока удалось немного. Заморожено примерно $1,1 млн — около 0,3% украденного. Часть средств заблокировали Circle, Tether и NEAR Intents. Bitget опубликовала адреса атакующих и назначила вознаграждение 5% от суммы замороженных или возвращённых активов.
По оценке BlockSec, через пять дней после кражи злоумышленники всё ещё контролировали около $342 млн, а общая сумма заморозки составляла порядка $840 тыс. (0,2%). Через кроссчейн-сервис THORChain прошло около $269 млн транзитной стоимости, а биткоин стал основным активом для консолидации — с последующими транзакциями CoinJoin. Грейси Чен в интервью CNBC сказала, что биржа «не ожидает вернуть много» из похищенного. Chainalysis применила в расследовании собственные инструменты на базе искусственного интеллекта: по оценке компании, автоматизация сократила сверку данных между блокчейнами более чем с 20 часов ручной работы до менее 10 минут.
Кто стоит за атакой
Окончательной публичной атрибуции нет, но след ведёт к КНДР. Chainalysis связывает атаку с северокорейскими акторами и отмечает, что кража подняла общий объём средств, похищенных связанными с КНДР группами в 2026 году, выше $1 млрд. Грейси Чен назвала причастность северокорейских хакеров «весьма вероятной», указав на совпадение IP-адресов и ончейн-паттернов. TRM Labs обнаружила связи инфраструктуры для перемещения средств с кошельками, использовавшимися после других атак, которые связывают с КНДР, но атаку на Bitget окончательно Северной Корее не приписала. BlockSec указывает, что ончейн-доказательств для установления личности атакующего недостаточно.
Для сравнения: до Bitget крупнейшими взломами 2026 года были апрельские атаки на KelpDAO (около $292 млн) и Drift Protocol (около $285 млн), обе TRM Labs связывает с северокорейскими хакерами; к концу апреля на группы, связанные с КНДР, приходилось около 76% всех средств, похищенных при взломах криптоплатформ с начала года.
Что это значит для пользователей в России и СНГ
Практический вывод: риск централизованной биржи не сводится к волатильности. Отказ возможен на уровне инфраструктуры кошельков и подрядчиков, даже если приватные ключи не украдены. Вариантов поведения два:
держать активы на бирже — удобно для торговли, ликвидности и быстрого вывода;
хранить в собственном холодном кошельке — снижает риск потери доступа из-за сбоя или атаки на площадку, но требует самостоятельного контроля ключей и исключает часть сервисов.
Обычная практика — проверить баланс и историю операций в личном кабинете, а крупные суммы, не предназначенные для активной торговли, держать вне биржи.
Юристы Fieldfisher отмечают, что открытым остаётся вопрос, будут ли выплаты отдельным пользователям из фонда защиты и в каком виде. По оценке редакции, значение инцидента выходит за рамки одной площадки: Bloomberg приводит слова руководителя рынков капитала и политики CertiK Эсме Пау, назвавшей атаку очередным тревожным сигналом для индустрии цифровых активов.
Bitget закрыла уязвимость, вернула фонд к минимальному уровню и полностью восстановила вывод средств, а убыток взяла на себя. Для клиентов это означает, что обещания подкреплены конкретными действиями и сроками, которые биржа выполнила. Но вернуть сами похищенные активы вряд ли удастся: заморожено около 0,3% суммы. Для рынка это аргумент в пользу диверсификации хранения средств, для площадок — напоминание, что безопасность централизованной биржи зависит не только от собственного периметра, но и от надёжности сторонних поставщиков.
Techno Review в соцсетях
Оперативные новости техники, криптовалют и искусственного интеллекта:
Telegram — подписаться
