Никакого украденного ключа, $351 миллион за час — взлом горячего кошелька Bitget и граница доверия потока одобрения
Bitget подтвердил 25 сентября, что около $351.6 миллиона ушли из частей его горячих и тёплых кошельков в несанкционированных переводах, обнаруженных в 18:31 UTC 24 сентября. Его офлайн-холодные кошельки сообщаются как не затронутые, выводы приостановлены, и биржа говорит, что её User Protection Fund в $464 миллиона покрывает всю потерю. По словам Bitget, атакующий не забрал закрытые ключи, а достиг внутренней системы и подделал данные транзакции, чтобы направить поток одобрения на выпуск средств. Мы разбираем вопрос атрибуции Lazarus и изоморфизм с темой плоскости управления и идентичности, которую эта обсерватория рассматривала в последние недели.
Эта статья была переведена машиной.
24 сентября 2026 года в 18:31 UTC системы безопасности Bitget отметили несанкционированные переводы из части его горячих кошельков, и процедуры экстренного реагирования были запущены в течение минут. 25-го генеральный директор Gracy Chen публично заявила, что затронутые активы составляют в сумме около $351.6 миллиона. Структура кошельков Bitget трёхуровневая (hot / warm / cold); по словам биржи, взлом ограничен частями горячего и тёплого слоёв и не достиг офлайн-холодных кошельков, и остатки клиентских счетов остаются согласованными с их активами. Выводы временно приостановлены, пока торговля и депозиты продолжаются. Биржа сообщает, что определила и пометила адреса получателей, уведомила правоохранительные органы и привлекла фирмы блокчейн-безопасности для отслеживания средств, и что полный отчёт об инциденте — охватывающий корневую причину и корректирующие шаги — последует в течение 24 часов после первого уведомления (по заявлению Gracy Chen в X, официальному уведомлению безопасности Bitget, Cryptopotato, InvestingLive и CyberSecurityNews).
О пути атаки изложение Bitget таково: атакующий достиг внутренней системы внутри инфраструктуры кошельков, подделал данные транзакции и тем самым направил процесс одобрения на выпуск средств. Иными словами, по словам биржи, это не утечка закрытых ключей, которые управляют самими кошельками. Ранние оценки ончейн-исследователей (аналитиков вроде Arkham Intelligence) шли в диапазоне $174M–$183M, около половины подтверждённой цифры; ончейн-наблюдатели отслеживали движения с участием ETH, BNB, AVAX, USDT и USDC. Одна заметная транзакция, о которой сообщил Decrypt: только что созданный кошелёк обменял примерно $19.7M USDT0 (кроссчейн-версия Tether) на 7,111 ETH примерно за шесть минут, заплатив до 5% выше рыночной цены, чтобы быстро провести обмен. User Protection Fund биржи держит $464M, что превышает потерю, и Bitget обязалась покрыть всю сумму из него. TFTC отмечает, что состав активов фонда независимо не проверен.
Об атрибуции: ончейн-следователь Specter заявил, что за атакой стоит связанная с Северной Кореей Lazarus Group, а HackRead сообщил, что Bitget подозревает участие группы, тогда как сама Bitget отказалась атрибутировать формально, по сообщениям, что она «отказалась строить догадки». Уместно характеризовать нынешнюю атрибуцию как «подозрение», а не как «атрибуцию». Как контекст, сообщается, что группы, связанные с Lazarus, были причастны ко многим из крупнейших взломов бирж последних лет — $1.5B Bybit в феврале 2025 года (ФБР атрибутировало это Lazarus), ~$308M DMM Bitcoin и ~$234.9M WazirX в 2024 году. По Chainalysis, кража криптоактивов в 2025 году составила $3.4B, из которых $2.02B (свыше 60%) оценены как связанные с Северной Кореей. Только в первой половине 2026 года $1.1B было взято через 212 инцидентов, большинство приписано Lazarus Group. Быстрое многоцепочечное рассеяние этого инцидента, немедленная конвертация в ETH и вход через внутреннюю систему без утечки ключа совпадают с операционными признаками групп, связанных с государством, но сходство техники не является доказательством личности.
Анализ (отдельно от фактов): важно то, что «ключи не были украдены» — не обязательно хороший исход. По изложению Bitget, атакующий не забрал ключи подписи, а достиг внутренней системы, которая подаёт данные в процесс одобрения, и подделал данные транзакции. Сломано не криптографическая граница (ключи), а граница доверия (источник сведений для решения об одобрении). Это изоморфно теме «плоскости управления и идентичности», которую эта обсерватория рассматривала в последние две недели — нулевой день OAuth F5 BIG-IP APM (неаутентифицированный RCE на стороне, выпускающей идентичность), обход аутентификации API управления Cisco ISE (CVSS 10.0) и достижение root в Secure Email Gateway через код разбора — все разделяют структуру: когда захвачена сама плоскость, которая принимает решение, решению больше нельзя доверять. Поток одобрения инфраструктуры кошельков — именно такая плоскость решения; целостность остатков и данных транзакций, которые ей дают, и полномочия внутренних систем, которые могут создавать или изменять запросы на вывод, определяют границу доверия. Отчёт в 24 часа, если покажет, какая внутренняя система была скомпрометирована, каким одобряющим явились подделанные данные и могла ли многошаговая процедура отличить «путь подделанных данных» от «подлинного запроса», сделает точку отказа конкретнее. До тех пор уместно моделировать отказ как «компрометацию пути данных в процесс одобрения».
Защитные следствия: (1) Те, кто держит ончейн-активы, должны относиться к самому конвейеру одобрения как к границе доверия первого порядка — не только хранение ключей, но и происхождение данных транзакции (аутентификация и аттестация на слое API, независимые представления данных у каждого одобряющего, мультиподпись с независимыми представлениями) как требование проекта. (2) Задавать вместе скорость выводов и потолки по каждой цепи и наблюдать ончейн-аномалии (аномальная скорость обмена, аномальный спред к рыночной цене) как сигналы сортировки в реальном времени — USDT0 → ETH этого инцидента за ~6 минут с премией до 5% есть именно такой сигнал. (3) Поскольку многоцепочечное рассеяние ослабляет эффект заморозки, заранее согласовать каналы заморозки и отслеживания с контрагентами мостов и DEX. (4) Приостановка выводов, быстрое раскрытие и обязательство компенсации ограничивают вторичный ущерб — но компенсация сильна лишь настолько, насколько независимо проверяемы размер фонда и состав активов, поэтому эту проверяемость нужно поддерживать изо дня в день. Факты здесь опираются на заявление Gracy Chen в X (https://x.com/GracyBitget/status/2103235655879074084), официальное уведомление безопасности Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/) и HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). Анализ отделён от сообщения.