चोरी झालेली कळ नाही, एका तासात $351 दशलक्ष — Bitget चा हॉट-वॉलेट भंग आणि मंजुरी प्रवाहाची विश्वास-सीमा
Bitget ने 25 सप्टेंबर रोजी पुष्टी केली की सुमारे $351.6 दशलक्ष त्याच्या hot आणि warm वॉलेटच्या काही भागांतून अनधिकृत पाठवणीत बाहेर गेले, ज्या 24 सप्टेंबर रोजी 18:31 UTC ला आढळल्या. त्याचे ऑफलाइन cold वॉलेट बाधित नसल्याचे सांगितले जाते, पैसे काढणे थांबवले आहे, आणि एक्सचेंज सांगते की त्याचा $464 दशलक्ष User Protection Fund संपूर्ण नुकसान कव्हर करतो. Bitget नुसार, हल्लेखोराने private key घेतल्या नाहीत, पण backend सिस्टमपर्यंत पोहोचला आणि व्यवहार डेटा बनावट करून मंजुरी प्रवाह निधी सोडण्याकडे वळवला. आम्ही Lazarus आरोपणाचा प्रश्न आणि या वेधशाळेने अलिकडच्या आठवड्यांत कव्हर केलेल्या व्यवस्थापन-आणि-ओळख-प्लेन थीमशी समरूपता तपासतो.
हा लेख मशीनने अनुवादित केला आहे.
24 सप्टेंबर 2026 रोजी 18:31 UTC ला Bitget च्या सुरक्षा सिस्टमने त्याच्या hot वॉलेटच्या एका भागातून अनधिकृत पाठवणी चिन्हांकित केल्या, आणि मिनिटांत आणीबाणी प्रतिसाद प्रक्रिया सुरू झाल्या. 25 तारखेला CEO Gracy Chen यांनी सार्वजनिकपणे सांगितले की बाधित मालमत्ता एकूण सुमारे $351.6 दशलक्ष आहेत. Bitget ची वॉलेट रचना 3 स्तर आहे (hot / warm / cold); एक्सचेंजनुसार भंग hot आणि warm थरांच्या काही भागांपुरता मर्यादित आहे आणि ऑफलाइन cold वॉलेटपर्यंत पोहोचला नाही, आणि ग्राहक खात्याच्या शिल्लक त्यांच्या होल्डिंगशी सुसंगत राहतात. पैसे काढणे तात्पुरते स्थगित आहे, तर ट्रेडिंग आणि ठेवी सुरू आहेत. एक्सचेंज सांगते की त्याने प्राप्तकर्त्याचे पत्ते ओळखले आणि चिन्हांकित केले, कायदा अंमलबजावणी संस्थांना कळवले, आणि निधीचा मागोवा घेण्यासाठी ब्लॉकचेन-सुरक्षा कंपन्यांना गुंतवले, आणि मूळ कारण आणि दुरुस्तीच्या पायऱ्या कव्हर करणारा पूर्ण घटना अहवाल सुरुवातीच्या सूचनेपासून 24 तासांत येईल (Gracy Chen च्या X विधानाप्रमाणे, Bitget ची अधिकृत सुरक्षा नोटीस, Cryptopotato, InvestingLive, आणि CyberSecurityNews).
हल्ल्याच्या मार्गाबद्दल Bitget चे कथन असे आहे की हल्लेखोर त्याच्या वॉलेट पायाभूत सुविधेतील backend सिस्टमपर्यंत पोहोचला, व्यवहार डेटा बनावट केला, आणि त्यामुळे मंजुरी प्रक्रिया निधी सोडण्याकडे वळवली. म्हणजे, एक्सचेंजनुसार, वॉलेट स्वतः नियंत्रित करणाऱ्या private key ची गळती नाही. ऑन-चेन संशोधकांचे सुरुवातीचे अंदाज (Arkham Intelligence सारखे विश्लेषक) $174M–$183M होते, पुष्ट आकड्याच्या सुमारे निम्मे; ऑन-चेन निरीक्षकांनी ETH, BNB, AVAX, USDT, आणि USDC समाविष्ट हालचालींचा मागोवा घेतला. Decrypt ने दिलेला एक लक्षवेधी व्यवहार: नव्याने तयार झालेल्या वॉलेटने सुमारे $19.7M चे USDT0 (Tether ची क्रॉस-चेन आवृत्ती) सुमारे 6 मिनिटांत 7,111 ETH मध्ये स्वॅप केले, स्वॅप लवकर ढकलण्यासाठी बाजार किमतीपेक्षा 5% पर्यंत जास्त दिले. एक्सचेंजचा User Protection Fund $464M धरतो, नुकसानापेक्षा जास्त, आणि Bitget ने त्यातून संपूर्ण रक्कम कव्हर करण्याचे वचन दिले आहे. TFTC नोंदवते की फंडाच्या मालमत्ता मिश्रणाची स्वतंत्र पडताळणी झालेली नाही.
आरोपणाबद्दल: ऑन-चेन अन्वेषक Specter यांनी दावा केला की उत्तर कोरियाशी संलग्न Lazarus Group हल्ल्यामागे आहे, आणि HackRead ने कळवले की Bitget गटाच्या सहभागाचा संशय घेते, तर Bitget ने स्वतः औपचारिक आरोपण नाकारले आहे, अहवालानुसार त्याने 'अटकळ बांधायला नकार दिला.' सध्याचे आरोपण 'संशय' म्हणून मांडणे योग्य आहे, 'आरोपण' म्हणून नाही. संदर्भासाठी, Lazarus शी संलग्न गट अलिकडच्या वर्षांतील अनेक सर्वात मोठ्या एक्सचेंज भंगांमध्ये सहभागी असल्याचे सांगितले जाते — फेब्रुवारी 2025 मधील Bybit चे $1.5B (FBI ने ते Lazarus कडे आरोपित केले), 2024 मधील DMM Bitcoin चे ~$308M आणि WazirX चे ~$234.9M. Chainalysis नुसार, 2025 ची क्रिप्टो चोरी एकूण $3.4B होती, ज्यात $2.02B (60% पेक्षा जास्त) उत्तर कोरियाशी संलग्न अंदाजित होते. केवळ 2026 च्या पहिल्या सहामाहीत 212 घटनांमधून $1.1B नेले गेले, Lazarus Group कडे आरोपित बहुसंख्य. या घटनेचे जलद मल्टी-चेन विखुरणे, ETH मध्ये तात्काळ रूपांतर, आणि कळ गळतीशिवाय अंतर्गत सिस्टममधून प्रवेश राज्य-संलग्न गटांच्या ऑपरेशनल स्वाक्षरींशी जुळतात — पण तंत्रसाम्य ओळखीचा पुरावा नाही.
विश्लेषण (तथ्यांपासून वेगळे): महत्त्वाचे हे आहे की 'कळ चोरल्या गेल्या नाहीत' हा अपरिहार्यपणे चांगला निकाल नाही. Bitget च्या कथनानुसार, हल्लेखोराने सहीच्या कळ घेतल्या नाहीत, पण मंजुरी प्रक्रियेत डेटा भरणाऱ्या backend सिस्टमपर्यंत पोहोचला, आणि व्यवहार डेटा बनावट केला. जे तुटले ते क्रिप्टोग्राफिक सीमा (कळ) नाही, तर विश्वास-सीमा (मंजुरी निर्णयासाठी माहितीचा स्रोत) आहे. हे या वेधशाळेने मागील 2 आठवड्यांत कव्हर केलेल्या 'व्यवस्थापन आणि ओळख प्लेन' थीमशी समरूप आहे — F5 BIG-IP APM चा OAuth शून्य-दिवस (ओळख जारी करणारी बाजू अप्रमाणित RCE झाली), Cisco ISE चा व्यवस्थापन-API प्रमाणीकरण बायपास (CVSS 10.0), आणि Secure Email Gateway चा पार्सिंग कोडमधून रूटपर्यंत पोच — सर्वांची रचना एकच: निर्णय घेणारा प्लेन स्वतः पकडला गेला की निर्णयावर विश्वास ठेवता येत नाही. वॉलेट पायाभूत सुविधेचा मंजुरी प्रवाह नेमका असा निर्णय प्लेन आहे; त्याला दिलेल्या शिल्लक आणि व्यवहार डेटाची अखंडता, आणि पैसे काढण्याच्या विनंत्या तयार किंवा बदल करू शकणाऱ्या अंतर्गत सिस्टमचा अधिकार, विश्वास-सीमा ठरवतात. 24 तासांचा अहवाल, तो कोणती backend सिस्टम तडजोड झाली, बनावट डेटा कोणत्या मंजुरीदारांना दिसला, आणि बहु-पायरी मंजुरी 'बनावट डेटा मार्ग' 'खऱ्या विनंती' पासून वेगळा ओळखू शकते का, हे दाखवेल तर अपयशाचा बिंदू अधिक ठोस होईल. तोपर्यंत अपयश 'मंजुरी प्रक्रियेत जाणाऱ्या डेटा मार्गाची तडजोड' म्हणून मांडणे योग्य आहे.
संरक्षणात्मक परिणाम: (1) ऑन-चेन मालमत्ता धरणारे संचालन मंजुरी पाइपलाइन स्वतःला पहिल्या दर्जाची विश्वास-सीमा मानू शकतात — केवळ कळ कस्टडी नाही, तर व्यवहार डेटाचा उगम (API थरावर प्रमाणीकरण/अटेस्टेशन, प्रत्येक मंजुरीदाराचे स्वतंत्र डेटा दृश्य, स्वतंत्र दृश्यांसह मल्टी-सिग्नेचर) डिझाइन आवश्यकता म्हणून. (2) पैसे काढण्याचा वेग आणि प्रति-चेन मर्यादा एकत्र ठेवा, आणि ऑन-चेन विसंगती (असामान्य स्वॅप वेग, बाजार किमतीपेक्षा असामान्य फरक) रिअल-टाइम ट्रायज संकेत म्हणून पाहा — या घटनेचे USDT0 → ETH ~6 मिनिटांत, 5% पर्यंत प्रीमियम, नेमका असा संकेत आहे. (3) मल्टी-चेन विखुरणे गोठवण्याचा परिणाम कमकुवत करते म्हणून, ब्रिज आणि DEX प्रतिपक्षांशी गोठवणे/मागोवा वाहिन्या आधी ठरवा. (4) पैसे काढणे स्थगित करणे, जलद उघडकी, आणि भरपाईचे वचन दुय्यम नुकसान मर्यादित करतात — पण भरपाई फंडाचा आकार आणि मालमत्ता मिश्रण यांच्या स्वतंत्र पडताळणीइतकीच मजबूत असते, म्हणून ती पडताळणी रोज ठेवा. येथील तथ्ये Gracy Chen च्या X विधानावर (https://x.com/GracyBitget/status/2103235655879074084), Bitget च्या अधिकृत सुरक्षा नोटीसवर (https://www.bitget.com/support/articles/12560603896024), Cryptopotato वर (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive वर (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews वर (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io वर (https://shattered.io/bitget-hack-351-million-2026/), आणि HackRead वर (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/) आधारित आहेत. विश्लेषण अहवालापासून वेगळे ठेवले आहे.