چوری شدہ کلید نہیں، ایک گھنٹے میں $351 ملین — Bitget کی ہاٹ والیٹ خلاف ورزی اور منظوری کے بہاؤ کی اعتماد کی حد
Bitget نے 25 ستمبر کو تصدیق کی کہ تقریباً $351.6 ملین اس کے ہاٹ اور وارم والیٹ کے حصوں سے غیر مجاز منتقلیوں میں نکلے، جو 24 ستمبر کو 18:31 UTC پر پکڑی گئیں۔ اس کے آف لائن کولڈ والیٹ متاثر نہ ہونے کی اطلاع ہے، نکاسی روکی گئی ہے، اور ایکسچینج کہتا ہے کہ اس کا $464 ملین User Protection Fund پورے نقصان کو ڈھانپتا ہے۔ Bitget کے مطابق، حملہ آور نے private key نہیں لیں بلکہ ایک بیک اینڈ سسٹم تک پہنچا اور لین دین کا ڈیٹا جعلی بنا کر منظوری کے بہاؤ کو فنڈز چھوڑنے کی طرف موڑ دیا۔ ہم Lazarus کے انتساب کے سوال کا جائزہ لیتے ہیں، اور اس یکسانیت کا جو مینجمنٹ اور شناخت پلین کے موضوع سے ہے، جسے اس آبزرویٹری نے حالیہ ہفتوں میں کور کیا۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
24 ستمبر 2026 کو 18:31 UTC پر Bitget کے سیکیورٹی سسٹموں نے اس کے ہاٹ والیٹ کے ایک حصے سے غیر مجاز منتقلیاں نشان زد کیں، اور منٹوں کے اندر ہنگامی جواب کے طریقے چالو ہو گئے۔ 25 تاریخ کو CEO Gracy Chen نے عوامی طور پر کہا کہ متاثرہ اثاثے کل تقریباً $351.6 ملین ہیں۔ Bitget کی والیٹ ساخت 3 درجے کی ہے (ہاٹ / وارم / کولڈ)؛ ایکسچینج کے مطابق خلاف ورزی ہاٹ اور وارم تہوں کے حصوں تک محدود ہے اور آف لائن کولڈ والیٹ تک نہیں پہنچی، اور گاہک کے کھاتے کے بیلنس ان کے اثاثوں کے مطابق رہتے ہیں۔ نکاسی عارضی طور پر روکی گئی ہے جبکہ تجارت اور جمع جاری ہیں۔ ایکسچینج رپورٹ کرتا ہے کہ اس نے وصول کنندہ پتے شناخت اور نشان زد کیے، قانون نافذ کرنے والے اداروں کو اطلاع دی، اور فنڈز کا سراغ لگانے کے لیے بلاک چین سیکیورٹی فرموں کو شامل کیا، اور کہ ایک مکمل واقعہ رپورٹ — اصل سبب اور اصلاحی اقدامات سمیت — ابتدائی اطلاع کے 24 گھنٹوں کے اندر آئے گی (Gracy Chen کے X بیان، Bitget کے سرکاری سیکیورٹی نوٹس، Cryptopotato، InvestingLive، اور CyberSecurityNews کے مطابق)۔
حملے کے راستے پر، Bitget کی بیان کردہ روداد یہ ہے کہ حملہ آور اس کے والیٹ انفراسٹرکچر کے اندر ایک بیک اینڈ سسٹم تک پہنچا، لین دین کا ڈیٹا جعلی بنایا، اور اس طرح منظوری کے عمل کو فنڈز چھوڑنے کی طرف موڑ دیا۔ دوسرے لفظوں میں، ایکسچینج کے مطابق، یہ خود ان private key کا رساؤ نہیں جو والیٹ کنٹرول کرتی ہیں۔ آن چین محققین (Arkham Intelligence جیسے تجزیہ کار) کے ابتدائی تخمینے $174M–$183M رہے، تصدیق شدہ عدد کا تقریباً آدھا؛ آن چین مبصرین نے ETH، BNB، AVAX، USDT، اور USDC شامل حرکت کا پیچھا کیا۔ Decrypt کی رپورٹ کردہ ایک قابل ذکر لین دین: ایک نئے بنے والیٹ نے تقریباً $19.7M کی USDT0 (Tether کا کراس چین نسخہ) تقریباً 6 منٹ میں 7,111 ETH میں بدل دی، سوئپ جلد پورا کرنے کے لیے مارکیٹ قیمت سے 5% تک اوپر ادا کیا۔ ایکسچینج کا User Protection Fund $464M رکھتا ہے، جو نقصان سے زیادہ ہے، اور Bitget نے اس سے پوری رقم ڈھانپنے کا عہد کیا ہے۔ TFTC نوٹ کرتا ہے کہ فنڈ کے اثاثوں کے امتزاج کی آزاد تصدیق نہیں ہوئی۔
انتساب پر: آن چین تفتیش کار Specter نے دعویٰ کیا ہے کہ شمالی کوریا سے جڑا Lazarus Group حملے کے پیچھے ہے، اور HackRead نے رپورٹ کیا کہ Bitget گروپ کی شمولیت کا شبہ کرتا ہے، جبکہ Bitget نے خود باضابطہ انتساب سے انکار کیا ہے، اس رپورٹنگ کے مطابق کہ اس نے «قیاس سے انکار کیا»۔ موجودہ انتساب کو «شبہ» کہنا مناسب ہے، «انتساب» نہیں۔ پس منظر کے طور پر، رپورٹ ہے کہ Lazarus سے وابستہ گروپ حالیہ برسوں کی کئی بڑی ایکسچینج خلاف ورزیوں میں شامل رہے — Bybit کا $1.5B فروری 2025 میں (FBI نے اسے Lazarus سے منسوب کیا)، 2024 میں DMM Bitcoin کا ~$308M اور WazirX کا ~$234.9M۔ Chainalysis کے مطابق، 2025 کی کرپٹو چوری کل $3.4B تھی، جس میں سے $2.02B (60% سے زیادہ) شمالی کوریا سے جڑا تخمینہ کیا گیا۔ صرف 2026 کے پہلے نصف میں $1.1B لے جایا گیا، 212 واقعات کے پار؛ ایک اکثریت، Lazarus Group سے منسوب۔ اس واقعے کا تیز کثیر زنجیر پھیلاؤ، ETH میں فوری تبدیلی، اور کلید کے رساؤ کے بغیر داخلی سسٹم سے داخلہ، ریاست سے جڑے گروپوں کے عملی دستخطوں سے ملتا ہے — مگر تکنیک کی مشابہت شناخت کا ثبوت نہیں۔
تجزیہ (حقائق سے الگ): اہم بات یہ ہے کہ «کلیدیں چوری نہیں ہوئیں» لازماً اچھا نتیجہ نہیں۔ Bitget کی بیان کردہ روداد کے مطابق، حملہ آور نے دستخط کی کلیدیں نہیں لیں بلکہ اس بیک اینڈ سسٹم تک پہنچا جو منظوری کے عمل کو ڈیٹا دیتا ہے، اور لین دین کا ڈیٹا جعلی بنایا۔ جو ٹوٹا وہ کرپٹوگرافک حد (کلیدیں) نہیں بلکہ اعتماد کی حد (منظوری کے فیصلے کے لیے معلومات کا ماخذ) ہے۔ یہ اس «مینجمنٹ اور شناخت پلین» موضوع سے ہم شکل ہے جسے اس آبزرویٹری نے پچھلے 2 ہفتوں میں کور کیا — F5 BIG-IP APM کا OAuth زیرو ڈے (شناخت جاری کرنے والا رخ، بغیر تصدیق کے RCE)، Cisco ISE کا مینجمنٹ API تصدیق بائی پاس (CVSS 10.0)، اور Secure Email Gateway کا پارسنگ کوڈ کے ذریعے روٹ تک پہنچنا — سب وہی ساخت بانٹتے ہیں: جب فیصلہ کرنے والا پلین خود گرفت میں آ جائے تو فیصلے پر بھروسا نہیں رہتا۔ والیٹ انفراسٹرکچر کا منظوری کا بہاؤ ٹھیک ایسا ہی فیصلہ پلین ہے؛ اسے دیے گئے بیلنس اور لین دین کے ڈیٹا کی سالمیت، اور داخلی سسٹموں کا وہ اختیار جو نکاسی کی درخواستیں بنا یا بدل سکتے ہیں، اعتماد کی حد متعین کرتے ہیں۔ 24 گھنٹے کی رپورٹ، اگر دکھائے کہ کون سا بیک اینڈ سسٹم سمجھوتہ ہوا، جعلی ڈیٹا کن منظوری دہندگان کو دکھائی دیا، اور کثیر مرحلہ منظوری «جعلی ڈیٹا کا راستہ» کو «حقیقی درخواست» سے الگ پہچان سکتی تھی یا نہیں، ناکامی کے نقطے کو زیادہ ٹھوس بنائے گی۔ اس وقت تک ناکامی کو «منظوری کے عمل میں داخل ہونے والے ڈیٹا کے راستے کا سمجھوتہ» کے طور پر ماڈل کرنا مناسب ہے۔
دفاعی مضمرات: (1) آن چین اثاثے رکھنے والے آپریٹرز کو منظوری کی پائپ لائن خود کو اول درجے کی اعتماد کی حد ماننا چاہیے — صرف کلید کی رکھوالی نہیں، بلکہ لین دین کے ڈیٹا کا ماخذ (API تہہ پر تصدیق اور تصدیقی نشان، ہر منظوری دہندہ کا آزاد ڈیٹا منظر، آزاد مناظر کے ساتھ کثیر دستخط) ڈیزائن کی شرط کے طور پر۔ (2) نکاسی کی رفتار اور فی زنجیر حدیں ایک ساتھ مقرر کریں، اور آن چین غیر معمولی باتوں (غیر معمولی سوئپ رفتار، مارکیٹ قیمت کے مقابل غیر معمولی پھیلاؤ) کو حقیقی وقت کی ٹرائیج کے اشارے مانیں — اس واقعے کا USDT0 → ETH تقریباً 6 منٹ میں، 5% تک پریمیم پر، ٹھیک اسی قسم کا اشارہ ہے۔ (3) چونکہ کثیر زنجیر پھیلاؤ منجمد کرنے کے اثر کو کمزور کرتا ہے، برج اور DEX فریقوں کے ساتھ منجمد کرنے اور سراغ کے چینل پہلے سے طے کریں۔ (4) نکاسی روکنا، تیز افشا، اور معاوضے کا عہد ثانوی نقصان کو محدود کرتے ہیں — مگر معاوضہ اتنا ہی مضبوط ہے جتنی فنڈ کے حجم اور اثاثوں کے امتزاج کی آزاد تصدیق پذیری، اس لیے وہ تصدیق پذیری روزمرہ برقرار رکھیں۔ یہاں کے حقائق Gracy Chen کے X بیان (https://x.com/GracyBitget/status/2103235655879074084)، Bitget کے سرکاری سیکیورٹی نوٹس (https://www.bitget.com/support/articles/12560603896024)، Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/)، InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/)، CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/)، shattered.io (https://shattered.io/bitget-hack-351-million-2026/)، اور HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/) سے لیے گئے ہیں۔ تجزیہ رپورٹنگ سے الگ رکھا گیا ہے۔