कोई कुंजी चोरी नहीं हुई, 1 घंटे में $351 मिलियन — Bitget की हॉट-वॉलेट सेंध और अनुमोदन प्रवाह की विश्वास सीमा
Bitget ने 25 सितंबर को पुष्टि की कि लगभग $351.6 मिलियन उसके हॉट और वार्म वॉलेट के कुछ हिस्सों से अनधिकृत अंतरणों में निकल गया, जिनका पता 24 सितंबर को 18:31 UTC पर चला। उसके ऑफ़लाइन कोल्ड वॉलेट अप्रभावित बताए गए हैं, निकासी रोकी गई है, और एक्सचेंज कहता है कि उसका $464 मिलियन User Protection Fund पूरी हानि को ढकता है। Bitget के अनुसार, हमलावर ने private key नहीं लीं, बल्कि एक बैकएंड सिस्टम तक पहुँचा और लेनदेन डेटा नकली बनाकर अनुमोदन प्रवाह को धन छोड़ने की ओर मोड़ दिया। हम Lazarus आरोपण के प्रश्न की, और उस समरूपता की, जाँच करते हैं जो प्रबंधन-और-पहचान प्लेन की थीम से है, जिसे इस वेधशाला ने हाल के सप्ताहों में कवर किया है।
यह लेख मशीन से अनुवादित किया गया था।
24 सितंबर 2026 को 18:31 UTC पर Bitget की सुरक्षा प्रणालियों ने उसके हॉट वॉलेट के एक हिस्से से अनधिकृत अंतरणों को चिह्नित किया, और मिनटों के भीतर आपात प्रतिक्रिया प्रक्रियाएँ सक्रिय की गईं। 25 को CEO Gracy Chen ने सार्वजनिक रूप से कहा कि प्रभावित परिसंपत्ति कुल लगभग $351.6 मिलियन है। Bitget की वॉलेट संरचना 3-स्तरीय है (हॉट / वार्म / कोल्ड); एक्सचेंज के अनुसार सेंध हॉट और वार्म परतों के हिस्सों तक सीमित है और ऑफ़लाइन कोल्ड वॉलेट तक नहीं पहुँची, तथा ग्राहक खाते की शेष राशियाँ उनकी होल्डिंग के अनुरूप बनी हुई हैं। निकासी अस्थायी रूप से रोकी गई है, जबकि ट्रेडिंग और जमा जारी हैं। एक्सचेंज रिपोर्ट करता है कि उसने प्राप्तकर्ता पते पहचानकर चिह्नित किए, कानून-प्रवर्तन एजेंसियों को सूचित किया, और धन का पता लगाने के लिए ब्लॉकचेन-सुरक्षा फ़र्मों को लगाया, और कि पूरी घटना रिपोर्ट — मूल कारण और सुधार के कदमों सहित — प्रारंभिक सूचना के 24 घंटे के भीतर आएगी (Gracy Chen के X वक्तव्य, Bitget की आधिकारिक सुरक्षा सूचना, Cryptopotato, InvestingLive, और CyberSecurityNews के अनुसार)।
हमले के मार्ग पर, Bitget का विवरण यह है कि हमलावर उसकी वॉलेट अवसंरचना के अंदर एक बैकएंड सिस्टम तक पहुँचा, लेनदेन डेटा नकली बनाया, और इस तरह अनुमोदन प्रक्रिया को धन छोड़ने की ओर मोड़ दिया। दूसरे शब्दों में, एक्सचेंज के अनुसार, यह उन private key का रिसाव नहीं है जो वॉलेटों को स्वयं नियंत्रित करती हैं। ऑन-चेन शोधकर्ताओं (Arkham Intelligence जैसे विश्लेषक) के आरंभिक अनुमान $174M–$183M रहे, पुष्ट आँकड़े का लगभग आधा; ऑन-चेन पर्यवेक्षकों ने ETH, BNB, AVAX, USDT, और USDC से जुड़े संचलन का अनुसरण किया। एक उल्लेखनीय लेनदेन, जिसकी रिपोर्ट Decrypt ने की: एक नवनिर्मित वॉलेट ने लगभग $19.7M का USDT0 (Tether का क्रॉस-चेन संस्करण) लगभग 6 मिनट में 7,111 ETH में बदला, स्वैप को जल्दी पूरा करने के लिए बाज़ार भाव से 5% तक अधिक चुकाया। एक्सचेंज का User Protection Fund $464M रखता है, जो हानि से अधिक है, और Bitget ने उसमें से पूरी राशि ढकने की प्रतिबद्धता जताई है। TFTC नोट करता है कि फ़ंड के परिसंपत्ति मिश्रण की स्वतंत्र रूप से पुष्टि नहीं हुई है।
आरोपण पर: ऑन-चेन अन्वेषक Specter ने दावा किया है कि उत्तर कोरिया से जुड़ा Lazarus Group हमले के पीछे है, और HackRead ने रिपोर्ट किया कि Bitget समूह की संलिप्तता का संदेह करता है, जबकि Bitget ने स्वयं औपचारिक आरोपण से इनकार किया है, उस रिपोर्टिंग के अनुसार कि उसने 'अनुमान लगाने से इनकार किया'। वर्तमान आरोपण को 'संदेह' कहना उचित है, 'आरोपण' नहीं। संदर्भ के रूप में, Lazarus से संबद्ध समूह हाल के वर्षों की कई सबसे बड़ी एक्सचेंज सेंधों में शामिल बताए गए हैं — Bybit का $1.5B फ़रवरी 2025 में (FBI ने इसे Lazarus को आरोपित किया), DMM Bitcoin का ~$308M और WazirX का ~$234.9M, 2024 में। Chainalysis के अनुसार, 2025 की क्रिप्टो चोरी कुल $3.4B रही, जिसमें से $2.02B (60% से अधिक) उत्तर कोरिया से जुड़ा अनुमानित था। अकेले 2026 की पहली छमाही में, 212 घटनाओं में $1.1B लिया गया, अधिकांश Lazarus Group को आरोपित। इस घटना का तीव्र बहु-चेन प्रसार, ETH में तत्काल परिवर्तन, और कुंजी के रिसाव के बिना आंतरिक सिस्टम से प्रवेश, राज्य से जुड़े समूहों के परिचालन हस्ताक्षरों से मेल खाते हैं — परंतु तकनीक की समानता पहचान का साक्ष्य नहीं है।
विश्लेषण (तथ्यों से पृथक): जो मायने रखता है वह यह है कि 'कुंजियाँ चोरी नहीं हुईं' अनिवार्य रूप से अच्छा परिणाम नहीं है। Bitget के विवरण के अनुसार, हमलावर ने हस्ताक्षर कुंजियाँ नहीं लीं, बल्कि उस बैकएंड सिस्टम तक पहुँचा जो अनुमोदन प्रक्रिया में डेटा भरता है, और लेनदेन डेटा नकली बनाया। जो टूटा वह क्रिप्टोग्राफ़िक सीमा (कुंजियाँ) नहीं, विश्वास सीमा (अनुमोदन निर्णय के लिए जानकारी का स्रोत) है। यह उस 'प्रबंधन और पहचान प्लेन' थीम के समरूप है जिसे इस वेधशाला ने पिछले 2 सप्ताह में कवर किया — F5 BIG-IP APM का OAuth शून्य-दिन (पहचान जारी करने वाले पक्ष पर अप्रमाणित RCE), Cisco ISE का प्रबंधन-API प्रमाणीकरण बायपास (CVSS 10.0), और Secure Email Gateway का पार्सिंग कोड के माध्यम से रूट तक पहुँचना — सबमें साझा संरचना यह है: जब निर्णय लेने वाला प्लेन स्वयं कैद हो जाए, तो निर्णय पर फिर भरोसा नहीं किया जा सकता। वॉलेट अवसंरचना का अनुमोदन प्रवाह ठीक ऐसा निर्णय प्लेन है; उसे दी जाने वाली शेष राशियों और लेनदेन डेटा की अखंडता, तथा उन आंतरिक सिस्टमों का अधिकार जो निकासी अनुरोध बना या बदल सकते हैं, विश्वास सीमा को परिभाषित करते हैं। 24 घंटे की रिपोर्ट, यदि दिखाए कि कौन सा बैकएंड सिस्टम समझौता हुआ, नकली डेटा किन अनुमोदकों को दिखा, और क्या बहु-चरण अनुमोदन 'नकली डेटा पथ' को 'वास्तविक अनुरोध' से अलग कर सका, तो विफलता का बिंदु अधिक ठोस होगा। तब तक विफलता को 'अनुमोदन प्रक्रिया में जाने वाले डेटा पथ का समझौता' के रूप में मॉडल करना उचित है।
रक्षात्मक निहितार्थ: (1) ऑन-चेन परिसंपत्ति रखने वाले संचालन पक्ष, अनुमोदन पाइपलाइन को स्वयं प्रथम-श्रेणी की विश्वास सीमा मानें — केवल कुंजी अभिरक्षा नहीं, बल्कि लेनदेन डेटा की उत्पत्ति (API परत पर प्रमाणीकरण/सत्यापन, प्रत्येक अनुमोदक के स्वतंत्र डेटा दृश्य, स्वतंत्र दृश्यों के साथ बहु-हस्ताक्षर) को डिज़ाइन की आवश्यकता मानें। (2) निकासी की गति और प्रति-चेन सीमाएँ एक साथ निर्धारित करें, और ऑन-चेन विसंगतियों (असामान्य स्वैप गति, बाज़ार भाव के मुकाबले असामान्य अंतर) को वास्तविक समय के ट्राइएज संकेतों के रूप में देखें — इस घटना का USDT0 → ETH लगभग 6 मिनट में, 5% तक प्रीमियम पर, ठीक उसी तरह का संकेत है। (3) क्योंकि बहु-चेन प्रसार फ़्रीज़ के प्रभाव को कमज़ोर करता है, ब्रिज और DEX प्रतिपक्षों के साथ फ़्रीज़/अनुरेखण चैनल पहले से तय करें। (4) निकासी रोकना, तेज़ प्रकटीकरण, और क्षतिपूर्ति की प्रतिबद्धता द्वितीयक क्षति को सीमित करते हैं — परंतु क्षतिपूर्ति केवल उतनी मज़बूत है जितनी फ़ंड के आकार और परिसंपत्ति मिश्रण की स्वतंत्र सत्यापनीयता, इसलिए उस सत्यापनीयता को रोज़ बनाए रखें। यहाँ के तथ्य Gracy Chen के X वक्तव्य (https://x.com/GracyBitget/status/2103235655879074084), Bitget की आधिकारिक सुरक्षा सूचना (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), और HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/) पर आधारित हैं। विश्लेषण को रिपोर्टिंग से अलग रखा गया है।