Sanes konci anu dipaling, $351 yuta dina sajam — palanggaran hot wallet Bitget jeung wates kapercayaan alur persetujuan
Bitget ngonfirmasi dina 25 Séptémber yén kira-kira $351.6 yuta kaluar tina sabagian hot wallet jeung warm wallet-na dina transfer tanpa idin anu kadetéksi dina 18:31 UTC tanggal 24 Séptémber. Cold wallet offline dilaporkeun teu kapangaruhan, narikan dieureunkeun samentawis, jeung tukeur nyarios User Protection Fund $464 yuta nutupan sakabéh karugian. Numutkeun Bitget, panyerang teu nyokot private key, nanging ngahontal sistem backend jeung ngapalsukeun data transaksi pikeun ngarahkeun alur persetujuan nepi ka ngaleupaskeun dana. Urang nalungtik patarosan atribusi Lazarus jeung isomorfisme jeung téma widang manajemén jeung idéntitas anu observatorium ieu bahas dina sababaraha minggu panungtung.
Artikel ieu ditarjamahkeun ku mesin.
Dina 18:31 UTC tanggal 24 Séptémber 2026, sistem kaamanan Bitget nandaan transfer tanpa idin tina sabagian hot wallet-na, jeung prosedur tanggap darurat diaktipkeun dina sababaraha menit. Dina tanggal 25, CEO Gracy Chen nyatakeun sacara publik yén aset anu kapangaruhan jumlahna kira-kira $351.6 yuta. Struktur dompét Bitget tilu tingkat (hot / warm / cold); numutkeun tukeur, palanggaran diwates kana bagian lapisan hot jeung warm jeung teu ngahontal cold wallet offline, jeung saldo akun palanggan tetep saluyu jeung kapamilikan maranéhna. Narikan dieureunkeun samentawis, sedengkeun dagang jeung setoran diteruskeun. Tukeur ngalaporkeun yén alamat panarima geus diidentifikasi jeung ditandaan, agénsi panegak hukum geus dibéjaan, jeung firma kaamanan blockchain dilibetkeun pikeun nyukcruk dana, jeung yén laporan kajadian lengkep — anu ngawengku akar sabab jeung léngkah koreksi — bakal nuturkeun dina 24 jam sanggeus béwara awal (numutkeun pernyataan X Gracy Chen, béwara kaamanan resmi Bitget, Cryptopotato, InvestingLive, jeung CyberSecurityNews).
Dina jalur serangan, katerangan Bitget nyaéta yén panyerang ngahontal sistem backend di jero infrastruktur dompétna, ngapalsukeun data transaksi, jeung ku kituna ngarahkeun prosés persetujuan pikeun ngaleupaskeun dana. Ku kecap séjén, numutkeun tukeur, ieu sanés bocor private key anu ngadalikeun dompét sorangan. Perkiraan awal ti panalungtik on-chain (analis saperti Arkham Intelligence) aya dina $174M–$183M, kira-kira satengah tina angka anu dikonfirmasi; pangawas on-chain nyukcruk gerakan anu ngawengku ETH, BNB, AVAX, USDT, jeung USDC. Hiji transaksi anu nonjol, dilaporkeun Decrypt: dompét anu kakara dijieun nukeurkeun kira-kira $19.7M USDT0 (vérsi lintas-rantai Tether) jadi 7,111 ETH dina kira-kira genep menit, mayar dugi ka 5% di luhur harga pasar pikeun ngadorong tukeran gancang réngsé. User Protection Fund tukeur nyimpen $464M, ngaleuwihan karugian, jeung Bitget geus komitmen nutupan sakabéh jumlah tina dana éta. TFTC nyatet campuran aset dana éta acan diverifikasi sacara mandiri.
Ngeunaan atribusi: investigator on-chain Specter ngaku Lazarus Group anu patali jeung Koréa Kalér aya di tukangeun serangan, jeung HackRead ngalaporkeun yén Bitget nyangka kalibetna kelompok éta, sedengkeun Bitget sorangan nolak atribusi sacara resmi, numutkeun laporan yén pihakna 'nolak pikeun ngaduga.' Pantes pikeun ngagambarkeun atribusi ayeuna minangka 'sangkaan,' sanés 'atribusi.' Minangka kontéks, kelompok anu afiliasi jeung Lazarus dilaporkeun kalibet dina loba palanggaran tukeur panggedéna dina sababaraha taun panungtung — $1.5B Bybit dina Pébruari 2025 (FBI ngatribusikeunana ka Lazarus), ~$308M DMM Bitcoin jeung ~$234.9M WazirX dina 2024. Numutkeun Chainalysis, maling kripto 2025 jumlahna $3.4B, anu $2.02B di antarana (leuwih ti 60%) diperkirakeun patali jeung Koréa Kalér. Dina satengah kahiji 2026 wungkul, $1.1B dicokot ngaliwatan 212 kajadian, mayoritas diatribusikeun ka Lazarus Group. Paburencay multi-rantai anu gancang dina kajadian ieu, konvérsi geuwat ka ETH, jeung asup ngaliwatan sistem internal tanpa bocor konci cocog jeung ciri operasional kelompok anu patali jeung nagara — nanging kasaruaan téknik sanés bukti idéntitas.
Analisis (dipisahkeun tina fakta): anu penting nyaéta yén 'konci teu dipaling' teu merta hasil anu alus. Numutkeun katerangan Bitget, panyerang teu nyokot konci panandatanganan, nanging ngahontal sistem backend anu ngasupkeun data kana prosés persetujuan, jeung ngapalsukeun data transaksi. Anu pegat sanés wates kriptografis (konci) tapi wates kapercayaan (sumber inpormasi pikeun kaputusan persetujuan). Ieu isomorfik jeung téma 'widang manajemén jeung idéntitas' anu observatorium ieu bahas dina dua minggu panungtung — zero-day OAuth F5 BIG-IP APM (sisi anu medalkeun idéntitas katarajang RCE tanpa auténtikasi), bypass auténtikasi API manajemén Cisco ISE (CVSS 10.0), jeung jangkauan root Secure Email Gateway ngaliwatan kode parser — kabéh ngabagi struktur: nalika widang anu nyieun kaputusan sorangan karebut, kaputusan teu tiasa dipercaya deui. Alur persetujuan infrastruktur dompét téh persis widang kaputusan kitu; integritas saldo jeung data transaksi anu dipasihkeun ka dinya, jeung wenang sistem internal anu tiasa nyieun atanapi ngarobah pamundut narikan, nangtukeun wates kapercayaan. Laporan 24 jam, lamun némbongkeun sistem backend mana anu dikompromi, ka panyatujuan mana data anu dipalsukeun katingali, jeung naha persetujuan sababaraha léngkah tiasa ngabédakeun 'jalur data anu dipalsukeun' ti 'pamundut anu asli,' bakal ngajadikeun titik gagal leuwih konkret. Dugi ka harita, pantes pikeun ngamodelkeun gagalna minangka 'kompromi jalur data kana prosés persetujuan.'
Implikasi pertahanan: (1) Operasi anu nyimpen aset on-chain kedah nganggap pipa persetujuan sorangan minangka wates kapercayaan kelas kahiji — sanés ngan panyimpenan konci, tapi asal-usul data transaksi (auténtikasi/atestasi dina lapisan API, tampilan data mandiri per panyatujuan, multi-tandatangan kalayan tampilan mandiri) minangka sarat desain. (2) Setél laju narikan jeung wates per rantai babarengan, jeung pantau anomali on-chain (laju tukeran anu teu normal, béda anu teu normal lawan harga pasar) minangka sinyal triase waktu nyata — USDT0 → ETH dina kajadian ieu dina ~6 menit kalayan prémi dugi ka 5% téh persis sinyal kitu. (3) Kusabab paburencay multi-rantai ngaleuleuskeun efek pamekuan, satuju heula saluran pamekuan/nyukcruk jeung pihak lawan bridge jeung DEX. (4) Ngeureunkeun narikan, pangungkab anu gancang, jeung komitmen kompensasi ngawates karusakan sekundér — nanging kompensasi ngan sakiat kamampuh verifikasi mandiri ukuran jeung campuran aset dana éta, jadi jaga kamampuh verifikasi éta ti poé ka poé. Fakta di dieu dicokot tina pernyataan X Gracy Chen (https://x.com/GracyBitget/status/2103235655879074084), béwara kaamanan resmi Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/), jeung HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). Analisis dijaga papisah tina laporan.