Хакеры из КНДР могли похитить у Bitget около 350 миллионов долларов

Криптовалютная биржа Bitget зафиксировала взлом 24 сентября 2026 года. Атакующие получили доступ к части инфраструктуры горячих и тёплых кошельков и вывели активы на $351,6 млн. Вывод средств с площадки временно заблокирован.

Глава биржи Грейси Чен заявила, что за атакой с высокой вероятностью стоит северокорейская хакерская группировка. Специалисты Bitget нашли IP-адреса, связанные с VPN-сервисами, которые ранее использовала одна из групп из КНДР. Название конкретной группировки биржа пока не раскрыла.

Ончейн-аналитики нашли связи между частью украденных активов и атаками, которые ранее приписывали группировке TraderTraitor, работающей под крылом Lazarus. Эта версия пока остаётся частью расследования, а не подтверждённым фактом. Ончейн-детективы продолжили копать след через XRP, обнаружив крупный объём токенов в кошельках, связанных со взломом. Ончейн-расследование пока держится на нескольких фактах:

• обнаружено около 102,98 млн XRP в кошельках, связанных со взломом;
• совокупная стоимость прослеживаемых переводов составила примерно $350,66 млн;
• аналитики нашли неудачный перевод XRP, который может помочь восстановить логику запросов на вывод;
• часть IP-адресов ранее засветилась в атаках, которые приписывали группировкам из КНДР.

Самая сочная деталь атаки касается не кражи приватных ключей, а внутренней инфраструктуры биржи. Чен рассказала, что злоумышленники не получили приватные ключи горячих, тёплых или холодных кошельков и не создавали фиктивные заявки на вывод от имени пользователей. По предварительной версии Bitget, атакующие скомпрометировали критическую внутреннюю систему, связанную с инфраструктурой кошельков, подменили данные транзакций и запустили штатный процесс авторизации переводов. Система восприняла подготовленные хакерами операции как корректные и сама довела их до исполнения.

Отмечается, что атакующим не пришлось охотиться за приватными ключами вообще, а ведь обычно это самое узкое место защиты криптобирж.

Точный способ проникновения во внутреннюю систему пока не установлен. Bitget продолжает техническое расследование и обещает опубликовать отдельный отчёт с анализом первопричины и принятыми мерами после завершения проверки.

Независимые ончейн-аналитики заметили подозрительные движения с адресов, связанных с Bitget, ещё до официального подтверждения взлома, откуда быстро потекли ETH, USDT, USDC, AVAX и BNB вместе с другими активами. Маршрут вывода активов складывался из нескольких характерных шагов:

• со связанных с Bitget адресов ушли ETH, USDT, USDC, AVAX и BNB;
• один кошелёк обменял 19,67 млн USDT0 на 7111 ETH менее чем за 6 минут, быстрее, чем закипает средний чайник;
• сделки прошли через UniswapX и 1inch Fusion с переплатой около 5% ради скорости;
• часть операций прошла настолько быстро, что аналитики не успевали фиксировать каждый шаг.

Первичные оценки оказались заметно ниже реальных цифр, поскольку аналитики отслеживали лишь часть переводов. Первые публичные оценки ущерба держались в районе от $170 млн до $180 млн. После внутренней проверки Bitget подтвердила ущерб в $351,6 млн, и это уже почти вдвое больше исходных прикидок.

Для российских пользователей, которые торгуют на Bitget через P2P и обходные схемы доступа, ситуация ощущается острее, поскольку вывод средств пока заблокирован, а вопрос доверия к площадке встаёт на первый план.

Bitget сообщила о временных ограничениях на собственный Onchain-сервис, введённых 25 сентября на время комплексной проверки инфраструктуры, хотя депозиты и торговля продолжили работать в обычном режиме. Компания передала информацию правоохранительным органам и профильным блокчейн-компаниям, а адреса, связанные с подозрительными переводами, были помечены и переданы в расследование. Что Bitget подтвердила официально:

• пользовательские балансы не пострадали, холодные кошельки остались нетронутыми;
• фонд защиты пользователей превышает $464 млн и покрывает заявленный ущерб;
• вывод средств и Onchain-сервис временно ограничены с 25 сентября;
• информация о подозрительных адресах передана правоохранительным органам.

По данным трекера DeFiLlama, инцидент с Bitget стал крупнейшей зарегистрированной кражей криптовалюты в 2026 году. Для самой биржи болезненность ситуации растёт из-за характера атаки, ведь хакеры обошли привычную защиту приватных ключей через внутренний механизм обработки и авторизации транзакций.

Уточняется, что главный вопрос расследования пока без ответа, а ответ на него покажет, была ли причиной уязвимость софта, утечка учётных данных или сбой цепочки авторизации.

Bitget отметила, что расследование продолжается и дальнейшие выводы появятся после анализа системных журналов и транзакций. Финальная версия произошедшего должна появиться в техническом отчёте биржи.

Схема атаки любопытна и для российской аудитории, которая часто пользуется зарубежными биржами при ограниченном доступе к локальным платформам. Подобные кейсы показывают, что риск прячется не только в приватных ключах, а ещё и в закрытых бэкенд-системах, о которых обычный пользователь ничего не знает. Главные вопросы, которые остаются открытыми:

• каким образом хакеры получили доступ к критической внутренней системе;
• была ли причиной уязвимость программного обеспечения или утечка учётных данных;
• получится ли отследить и заморозить часть выведенных активов;
• какую группировку Bitget назовёт после завершения технического расследования.

Эксперты CISOCLUB считают инцидент с Bitget показательным примером того, как централизованные биржи остаются уязвимы даже при формально безопасном хранении приватных ключей. По их мнению, атака на внутренний механизм авторизации транзакций требует от площадок отдельного аудита логики обработки запросов, а не только защиты холодных кошельков. Отсутствие публичной атрибуции конкретной группировки пока не позволяет сделать однозначные выводы о масштабе угрозы для всей отрасли.

Рост суммы ущерба с первых прикидок до официальных $351,6 млн лишь подтверждает, что первые часы после атаки редко дают полную ясность в произошедшем. Для пользователей биржи главный сигнал прост, доверять стоит не только репутации платформы, но и открытости в раскрытии технических деталей инцидента. Итоговый отчёт Bitget станет проверкой того, готова ли биржа честно показать, где на самом деле образовалась дыра в защите.

Ранее сообщалось, что южнокорейское издание Daily NK рассказало о задержании в КНДР группы бывших военных специалистов по кибербезопасности, которых подозревают в хищении средств у государственных финансовых структур с последующим выводом денег через криптовалюту. При этом власти Северной Кореи и международные организации официально эту информацию пока не подтвердили, поэтому сообщения о задержаниях и предполагаемой краже остаются неподтверждёнными.