Bukan kunci yang dicuri, $351 juta dalam satu jam — pelanggaran hot wallet Bitget dan batas kepercayaan alur persetujuan
Bitget mengonfirmasi pada 25 September bahwa sekitar $351.6 juta keluar dari sebagian hot wallet dan warm wallet-nya dalam transfer tanpa izin yang terdeteksi pada 18:31 UTC tanggal 24 September. Cold wallet luring dilaporkan tidak terpengaruh, penarikan dijeda, dan bursa mengatakan User Protection Fund sebesar $464 juta menutup seluruh kerugian. Menurut Bitget, penyerang tidak mengambil kunci privat, tetapi mencapai sistem backend dan memalsukan data transaksi untuk mengarahkan alur persetujuan agar melepas dana. Kami meninjau pertanyaan atribusi Lazarus dan isomorfisme dengan tema bidang manajemen dan identitas yang observatorium ini bahas dalam beberapa pekan terakhir.
Artikel ini diterjemahkan oleh mesin.
Pada 18:31 UTC tanggal 24 September 2026, sistem keamanan Bitget menandai transfer tanpa izin dari sebagian hot wallet-nya, dan prosedur tanggap darurat diaktifkan dalam hitungan menit. Pada tanggal 25, CEO Gracy Chen menyatakan secara publik bahwa aset yang terdampak berjumlah sekitar $351.6 juta. Struktur dompet Bitget bertingkat tiga (hot / warm / cold); menurut bursa, pelanggaran terbatas pada bagian lapisan hot dan warm dan tidak mencapai cold wallet luring, serta saldo akun pelanggan tetap sesuai dengan kepemilikan mereka. Penarikan ditangguhkan untuk sementara, sedangkan perdagangan dan setoran berlanjut. Bursa melaporkan bahwa alamat penerima telah diidentifikasi dan ditandai, lembaga penegak hukum telah diberitahu, dan firma keamanan blockchain dilibatkan untuk melacak dana, serta bahwa laporan insiden lengkap — yang mencakup akar penyebab dan langkah perbaikan — akan menyusul dalam 24 jam setelah pemberitahuan awal (menurut pernyataan X Gracy Chen, pemberitahuan keamanan resmi Bitget, Cryptopotato, InvestingLive, dan CyberSecurityNews).
Pada jalur serangan, keterangan Bitget adalah bahwa penyerang mencapai sistem backend di dalam infrastruktur dompetnya, memalsukan data transaksi, dan dengan demikian mengarahkan proses persetujuan untuk melepas dana. Dengan kata lain, menurut bursa, ini bukan kebocoran kunci privat yang mengendalikan dompet itu sendiri. Perkiraan awal dari peneliti on-chain (analis seperti Arkham Intelligence) berada pada $174M–$183M, sekitar setengah angka yang dikonfirmasi; pengamat on-chain melacak pergerakan yang melibatkan ETH, BNB, AVAX, USDT, dan USDC. Satu transaksi yang menonjol, dilaporkan Decrypt: sebuah dompet yang baru dibuat menukar kira-kira $19.7M USDT0 (versi lintas-rantai Tether) menjadi 7,111 ETH dalam sekitar enam menit, dengan membayar hingga 5% di atas harga pasar agar penukaran cepat selesai. User Protection Fund bursa menyimpan $464M, melebihi kerugian, dan Bitget berkomitmen menutup seluruh jumlah dari dana itu. TFTC mencatat bahwa komposisi aset dana itu belum diverifikasi secara independen.
Tentang atribusi: penyelidik on-chain Specter mengklaim Lazarus Group yang terkait Korea Utara berada di balik serangan, dan HackRead melaporkan bahwa Bitget mencurigai keterlibatan kelompok itu, sementara Bitget sendiri menolak atribusi secara formal, menurut pelaporan bahwa pihaknya 'menolak untuk berspekulasi.' Tepat untuk mencirikan atribusi saat ini sebagai 'kecurigaan,' bukan 'atribusi.' Sebagai konteks, kelompok yang berafiliasi dengan Lazarus dilaporkan terlibat dalam banyak pelanggaran bursa terbesar dalam beberapa tahun terakhir — $1.5B Bybit pada Februari 2025 (FBI mengatribusikannya kepada Lazarus), ~$308M DMM Bitcoin dan ~$234.9M WazirX pada 2024. Menurut Chainalysis, pencurian kripto 2025 berjumlah $3.4B, yang $2.02B di antaranya (lebih dari 60%) diperkirakan terkait Korea Utara. Pada paruh pertama 2026 saja, $1.1B diambil dalam 212 insiden, mayoritas diatribusikan kepada Lazarus Group. Penyebaran multirantai yang cepat pada insiden ini, konversi segera ke ETH, dan masuk melalui sistem internal tanpa kebocoran kunci cocok dengan ciri operasional kelompok yang terkait negara — tetapi kemiripan teknik bukan bukti identitas.
Analisis (dipisahkan dari fakta): yang penting adalah bahwa 'kunci tidak dicuri' belum tentu merupakan hasil yang baik. Menurut keterangan Bitget, penyerang tidak mengambil kunci penandatanganan, tetapi mencapai sistem backend yang memasukkan data ke proses persetujuan, dan memalsukan data transaksi. Yang pecah bukan batas kriptografis (kunci), melainkan batas kepercayaan (sumber informasi bagi keputusan persetujuan). Ini isomorfik dengan tema 'bidang manajemen dan identitas' yang observatorium ini bahas dalam dua pekan terakhir — zero-day OAuth pada F5 BIG-IP APM (sisi penerbit identitas terkena RCE tanpa autentikasi), pengelakan autentikasi API manajemen Cisco ISE (CVSS 10.0), dan jangkauan root Secure Email Gateway melalui kode pengurai — semuanya berbagi struktur yang sama: ketika bidang yang membuat keputusan itu sendiri tertangkap, keputusan itu tidak lagi dapat dipercaya. Alur persetujuan infrastruktur dompet justru merupakan bidang keputusan semacam itu; integritas saldo dan data transaksi yang diberikan kepadanya, serta kewenangan sistem internal yang dapat membuat atau mengubah permintaan penarikan, menentukan batas kepercayaan. Laporan 24 jam, jika menunjukkan sistem backend mana yang terkompromi, kepada pemberi persetujuan mana data yang dipalsukan itu tampak, dan apakah persetujuan bertahap dapat membedakan 'jalur data yang dipalsukan' dari 'permintaan yang asli,' akan membuat titik kegagalan lebih konkret. Sampai saat itu, tepat untuk memodelkan kegagalan sebagai 'kompromi jalur data menuju proses persetujuan.'
Implikasi pertahanan: (1) Operasi yang menyimpan aset on-chain sebaiknya memperlakukan jalur pipa persetujuan itu sendiri sebagai batas kepercayaan kelas pertama — bukan hanya penyimpanan kunci, tetapi asal-usul data transaksi (autentikasi/atestasi di lapisan API, tampilan data yang independen bagi tiap pemberi persetujuan, multi-tanda tangan dengan tampilan yang independen) sebagai persyaratan desain. (2) Tetapkan kecepatan penarikan dan batas per rantai secara bersama, dan pantau anomali on-chain (kecepatan penukaran yang tidak normal, selisih yang tidak normal terhadap harga pasar) sebagai sinyal triase waktu nyata — USDT0 → ETH pada insiden ini dalam ~6 menit dengan premi hingga 5% adalah persis sinyal semacam itu. (3) Karena penyebaran multirantai melemahkan efek pembekuan, sepakati lebih dahulu saluran pembekuan/pelacakan dengan pihak lawan bridge dan DEX. (4) Menangguhkan penarikan, pengungkapan yang cepat, dan komitmen kompensasi membatasi kerugian sekunder — tetapi kompensasi hanya sekuat keterverifikasian independen atas ukuran dan komposisi aset dana itu, jadi jaga keterverifikasian itu dari hari ke hari. Fakta di sini bersumber pada pernyataan X Gracy Chen (https://x.com/GracyBitget/status/2103235655879074084), pemberitahuan keamanan resmi Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), dan HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). Analisis dijaga terpisah dari pelaporan.