Ora ana kunci sing dicolong, $351 yuta ing sak jam — pelanggaran dompet hot Bitget lan wates percaya alur idin
Bitget mesthekake ing 25 September yen kurang luwih $351.6 yuta metu saka sapérangan dompet hot lan warm-e ing transfer tanpa idin sing dideteksi jam 18:31 UTC ing 24 September. Dompet cold offline dilapurake ora kena, metokake dhuwit dijeda, lan bursa kandha User Protection Fund $464 yuta nutupi kabeh kerugian. Miturut Bitget, panyerang ora njupuk private key, nanging tekan sistem backend lan memalsu data transaksi kanggo ngarahake alur idin supaya ngetokake dhuwit. Awake dhewe nliti pitakon atribusi Lazarus lan isomorfisme karo tema bidang manajemen lan identitas sing observatorium iki bahas ing pirang-pirang peken pungkasan.
Artikel iki dijarwakake dening mesin.
Jam 18:31 UTC ing 24 September 2026, sistem kaamanan Bitget nandhani transfer tanpa idin saka sapérangan dompet hot-e, lan prosedur tanggap darurat diuripake ing sawetara menit. Ing tanggal 25, CEO Gracy Chen nyatakake kanthi umum yen aset sing kena gunggunge kurang luwih $351.6 yuta. Struktur dompet Bitget ana 3 tataran (hot / warm / cold); miturut bursa, pelanggaran diwatesi ing sapérangan lapisan hot lan warm lan ora tekan dompet cold offline, lan saldo akun palanggan tetep cocog karo sing diduweni. Metokake dhuwit dijeda sauntara, dene dagang lan setoran terus. Bursa nglapurake yen alamat panampa wis ditemokake lan ditandhani, lembaga penegak hukum wis diwenehi kabar, lan firma kaamanan blockchain dilibatake kanggo nglacak dhuwit, lan yen lapuran kedadeyan lengkap — sing nutupi sabab dhasar lan langkah dandanan — bakal nyusul ing sajrone 24 jam sawise kabar wiwitan (miturut pernyataan X Gracy Chen, kabar kaamanan resmi Bitget, Cryptopotato, InvestingLive, lan CyberSecurityNews).
Ing dalan panyerangan, critane Bitget yaiku panyerang tekan sistem backend ing njero prasarana dompete, memalsu data transaksi, lan kanthi mangkono ngarahake proses idin supaya ngetokake dhuwit. Kanthi tembung liya, miturut bursa, iki dudu bocor private key sing ngendhaleni dompet dhewe. Perkiraan wiwitan saka peneliti on-chain (analis kayata Arkham Intelligence) ana ing $174M–$183M, kira-kira setengah angka sing dipesthèkake; pangamat on-chain nglacak obahan sing nglibatake ETH, BNB, AVAX, USDT, lan USDC. Siji transaksi sing katon, dilapurake Decrypt: dompet sing mentas digawe ngijolake kira-kira $19.7M USDT0 (versi lintas-rantai Tether) dadi 7,111 ETH ing kira-kira enem menit, kanthi mbayar nganti 5% ndhuwur rega pasar supaya ijolan cepet rampung. User Protection Fund bursa nyimpen $464M, ngluwihi kerugian, lan Bitget prasetya nutupi gunggunge kabeh saka dana iku. TFTC nyathet yen campuran aset dana iku durung diverifikasi kanthi mandiri.
Bab atribusi: penyelidik on-chain Specter ngaku yen Lazarus Group sing gegayutan karo Korea Utara ana ing mburine panyerangan, lan HackRead nglapurake yen Bitget nyangka keterlibatan kelompok iku, dene Bitget dhewe nolak atribusi kanthi resmi, miturut pawarta yen pihak iku 'nolak nduga.' Pantes nggambarake atribusi saiki minangka 'curiga,' dudu 'atribusi.' Minangka konteks, kelompok sing kagayut Lazarus dilapurake melu ing akeh pelanggaran bursa paling gedhe ing pirang-pirang taun pungkasan — $1.5B Bybit ing Februari 2025 (FBI ngatribusikake marang Lazarus), ~$308M DMM Bitcoin lan ~$234.9M WazirX ing 2024. Miturut Chainalysis, colongan kripto 2025 gunggunge $3.4B, sing $2.02B antarané (luwih saka 60%) dikira gegayutan karo Korea Utara. Ing separo pisanan 2026 dhewe, $1.1B dijupuk nglintasi 212 kedadeyan, mayoritas diatribusikake marang Lazarus Group. Panyebaran multi-rantai sing cepet ing kedadeyan iki, konversi langsung menyang ETH, lan mlebu liwat sistem internal tanpa bocor kunci cocog karo tandha operasional kelompok sing gegayutan karo negara — nanging padhane teknik dudu bukti identitas.
Analisis (kapisah saka fakta): sing wigati yaiku 'kunci ora dicolong' ora mesthi asil sing becik. Miturut critane Bitget, panyerang ora njupuk kunci tandha tangan, nanging tekan sistem backend sing nglebokake data menyang proses idin, lan memalsu data transaksi. Sing pecah dudu wates kriptografi (kunci) nanging wates percaya (sumber informasi kanggo putusan idin). Iki isomorfik karo tema 'bidang manajemen lan identitas' sing observatorium iki bahas ing 2 peken pungkasan — zero-day OAuth F5 BIG-IP APM (sisih sing nerbitake identitas kena RCE tanpa autentikasi), bypass autentikasi API manajemen Cisco ISE (CVSS 10.0), lan tekan root Secure Email Gateway liwat kode parsing — kabeh nuduhake struktur sing padha: nalika bidang sing nggawe putusan dhewe kecekel, putusan iku ora bisa dipercaya maneh. Alur idin prasarana dompet persis bidang putusan kaya ngono; integritas saldo lan data transaksi sing diwenehake, lan wewenang sistem internal sing bisa nggawe utawa ngowahi panjaluk metokake, nemtokake wates percaya. Lapuran 24 jam, menawa nuduhake sistem backend endi sing dikompromi, marang pemberi idin endi data palsu iku katon, lan apa idin pirang tataran bisa mbédakake 'dalan data sing dipalsu' saka 'panjaluk sing asli,' bakal nggawe titik gagal luwih konkret. Nganti kono, pantes ngmodelake gagal minangka 'kompromi dalan data menyang proses idin.'
Akibat kanggo pangreksa: (1) Operator sing nyekel aset on-chain kudu nganggep pipa idin dhewe minangka wates percaya kelas pisanan — ora mung panyimpenan kunci, nanging asal-usul data transaksi (autentikasi/atestasi ing lapisan API, tampilan data mandiri kanggo saben pemberi idin, multi-signature kanthi tampilan mandiri) minangka syarat rancangan. (2) Setel kacepetan metokake lan wates saben rantai bebarengan, lan awasi anomali on-chain (kacepetan ijolan sing ora normal, beda sing ora normal karo rega pasar) minangka sinyal triase wektu nyata — USDT0 → ETH ing kedadeyan iki ing ~6 menit kanthi premi nganti 5% persis sinyal kaya ngono. (3) Amarga panyebaran multi-rantai nglirihake efek ngbekuake, sarujuki dhisik saluran ngbekuake/nglacak karo pihak lawan bridge lan DEX. (4) Njeda metokake, mbabar kanthi cepet, lan prasetya ganti rugi mbatesi kerugian sekunder — nanging ganti rugi mung sekuat bisa-diverifikasi kanthi mandiri ukuran lan campuran aset dana iku, mula jaga bisa-diverifikasi iku saben dina. Fakta ing kene dijupuk saka pernyataan X Gracy Chen (https://x.com/GracyBitget/status/2103235655879074084), kabar kaamanan resmi Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), lan HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). Analisis dijaga kapisah saka pawarta.