בלי מפתח שנגנב, $351 מיליון בשעה — הפריצה לארנק ה-hot של Bitget וגבול האמון של זרימת האישור
Bitget אישרה ב-25 בספטמבר שכ-$351.6 מיליון יצאו מחלקים של ארנקי ה-hot וה-warm שלה בהעברות לא מורשות שאותרו ב-18:31 UTC ב-24 בספטמבר. ארנקי ה-cold הלא-מקוונים שלה מדווחים כלא מושפעים, המשיכות מושהות, והבורסה אומרת שקרן ההגנה על המשתמשים שלה בסך $464 מיליון מכסה את מלוא ההפסד. לפי Bitget, התוקף לא לקח את ה-private keys אלא הגיע למערכת צד שרת וזייף נתוני עסקה כדי לכוון את זרימת האישור לשחרור כספים. אנו בוחנים את שאלת הייחוס ל-Lazarus ואת האיזומורפיזם עם נושא מישור הניהול והזהות שמצפה זה סקר בשבועות האחרונים.
מאמר זה תורגם במכונה.
ב-18:31 UTC ב-24 בספטמבר 2026, מערכות האבטחה של Bitget סימנו העברות לא מורשות מחלק מארנקי ה-hot שלה, ונהלי תגובת חירום הופעלו בתוך דקות. ביום ה-25, המנכ״לית Gracy Chen אמרה בפומבי שסך הנכסים שנפגעו הוא כ-$351.6 מיליון. מבנה הארנק של Bitget הוא שלוש שכבות (hot / warm / cold); לפי הבורסה הפריצה מוגבלת לחלקים מהשכבות ה-hot וה-warm ולא הגיעה לארנקי ה-cold הלא-מקוונים, ויתרות חשבונות הלקוחות נשארות תואמות לאחזקות שלהן. המשיכות מושעות זמנית בעוד המסחר וההפקדות נמשכים. הבורסה מדווחת שזיהתה וסימנה את כתובות הנמענים, הודיעה לסוכנויות אכיפת חוק, ושכרה חברות לאבטחת בלוקצ׳יין כדי לאתר את הכספים, ושדוח אירוע מלא — שמכסה את סיבת השורש ואת צעדי התיקון — יבוא בתוך 24 שעות מההודעה הראשונית (לפי ההצהרה של Gracy Chen ב-X, הודעת האבטחה הרשמית של Bitget, Cryptopotato, InvestingLive ו-CyberSecurityNews).
על נתיב התקיפה, התיאור של Bitget הוא שהתוקף הגיע למערכת צד שרת בתוך תשתית הארנק שלה, זייף נתוני עסקה, ובכך כיוון את תהליך האישור לשחרור כספים. במילים אחרות, לפי הבורסה, אין זו דליפה של ה-private keys ששולטים בארנקים עצמם. הערכות מוקדמות של חוקרי שרשרת (אנליסטים כגון Arkham Intelligence) נעו $174M–$183M, כמחצית מהנתון שאושר; צופים בשרשרת עקבו אחרי תנועות שכללו ETH, BNB, AVAX, USDT ו-USDC. עסקה בולטת אחת, שעליה דיווח Decrypt: ארנק שנוצר זה עתה החליף כ-$19.7M של USDT0 (הגרסה הבין-שרשרתית של Tether) ב-7,111 ETH בכשש דקות, ושילם עד 5% מעל מחיר השוק כדי לדחוף את ההחלפה במהירות. קרן ההגנה על המשתמשים של הבורסה מחזיקה $464M, יותר מההפסד, ו-Bitget התחייבה לכסות את מלוא הסכום ממנה. TFTC מציינת שתמהיל הנכסים של הקרן לא אומת באופן עצמאי.
על ייחוס: החוקר בשרשרת Specter טען שקבוצת Lazarus הקשורה לצפון קוריאה עומדת מאחורי התקיפה, ו-HackRead דיווח ש-Bitget חושדת במעורבות הקבוצה, בעוד ש-Bitget עצמה סירבה לייחס באופן רשמי, לפי דיווח שהיא «סירבה לשער». ראוי לאפיין את הייחוס הנוכחי כ«חשד», לא כ«ייחוס». כהקשר, קבוצות המסונפות ל-Lazarus מדווחות כמי שהיו מעורבות ברבות מהפריצות הגדולות ביותר לבורסות בשנים האחרונות — $1.5B של Bybit בפברואר 2025 (ה-FBI ייחס זאת ל-Lazarus), ~$308M של DMM Bitcoin ו-~$234.9M של WazirX ב-2024. לפי Chainalysis, גניבת הקריפטו ב-2025 הסתכמה ב-$3.4B, שמתוכם $2.02B (מעל 60%) הוערכו כקשורים לצפון קוריאה. במחצית הראשונה של 2026 לבדה נלקחו $1.1B על פני 212 אירועים, רוב שיוחס לקבוצת Lazarus. הפיזור המהיר בין שרשרות באירוע זה, ההמרה המיידית ל-ETH, והכניסה דרך מערכת פנימית בלי דליפת מפתח תואמים חתימות מבצעיות של קבוצות הקשורות למדינה — אבל דמיון בטכניקה אינו ראיה לזהות.
ניתוח (מופרד מהעובדות): מה שחשוב הוא ש«המפתחות לא נגנבו» אינו בהכרח תוצאה טובה. לפי התיאור של Bitget, התוקף לא לקח את מפתחות החתימה אלא הגיע למערכת צד השרת שמזינה נתונים לתהליך האישור, וזייף נתוני עסקה. מה שנשבר אינו הגבול הקריפטוגרפי (המפתחות) אלא גבול האמון (מקור המידע להחלטת האישור). זה איזומורפי לנושא «מישור הניהול והזהות» שמצפה זה סקר בשבועיים האחרונים — יום האפס ב-OAuth של F5 BIG-IP APM (הצד שמנפיק את הזהות עבר RCE ללא אימות), עקיפת האימות ב-API הניהול של Cisco ISE (CVSS 10.0), והגעה ל-root ב-Secure Email Gateway דרך קוד ניתוח — כולם חולקים את המבנה: כשהמישור שמקבל את ההחלטה עצמו נתפס, אי אפשר עוד לסמוך על ההחלטה. זרימת האישור של תשתית הארנק היא בדיוק מישור החלטה כזה; שלמות היתרות ונתוני העסקה שניתנים לו, והסמכות של מערכות פנימיות שיכולות ליצור או לשנות בקשות משיכה, מגדירים את גבול האמון. דוח 24 השעות, אם יראה איזו מערכת צד שרת נפרצה, לאילו מאשרים הופיעו הנתונים המזויפים, והאם אישור רב-שלבי יכול היה להבחין בין «נתיב הנתונים המזויפים» ל«בקשה אמיתית», יעשה את נקודת הכשל קונקרטית יותר. עד אז, ראוי למדל את הכשל כ«פגיעה בנתיב הנתונים אל תהליך האישור».
השלכות הגנתיות: (1) גורמים שמחזיקים נכסים on-chain צריכים להתייחס לצינור האישור עצמו כגבול אמון ממדרגה ראשונה — לא רק משמורת מפתחות, אלא מוצא נתוני העסקה (אימות או אישור בשכבת ה-API, תצוגות נתונים עצמאיות לכל מאשר, חתימה מרובה עם תצוגות עצמאיות) כדרישת תכנון. (2) לקבוע יחד מהירות משיכה ותקרות לכל שרשרת, ולנטר חריגות בשרשרת (מהירות החלפה חריגה, מרווח חריג מול מחיר השוק) כאותות מיון בזמן אמת — USDT0 → ETH של אירוע זה בתוך ~6 דקות, בעד 5% פרמיה, הוא בדיוק אות מסוג זה. (3) מכיוון שפיזור בין שרשרות מחליש את השפעת ההקפאה, להסכים מראש על ערוצי הקפאה ומעקב עם צדדים נגדיים של גשר ושל DEX. (4) השהיית משיכות, גילוי מהיר, והתחייבות הפיצוי מגבילים נזק משני — אבל הפיצוי חזק רק כמידת האימות העצמאי של גודל הקרן ושל תמהיל הנכסים, ולכן יש לשמור על האימות הזה ביום-יום. העובדות כאן נשענות על ההצהרה של Gracy Chen ב-X (https://x.com/GracyBitget/status/2103235655879074084), הודעת האבטחה הרשמית של Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), ו-HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). הניתוח נשמר בנפרד מהדיווח.