Humigit-kumulang $387.5 milyon sa crypto ang ninakaw ng mga hacker mula sa Bitget kahapon, sa pinaniniwalaang pinakamalaking crypto hack ngayong taon. Ang malamang na suspek, gaya ng madalas mangyari, ay ang North Korea—bagama’t hindi pa ito kumpirmado, at sinabi ng Bitget na iniimbestigahan na ito ng mga awtoridad.

Narito ang nangyari: Natukoy ng mga security system ng Bitget ang mga hindi awtorisadong transfer na lumalabas mula sa ilan nitong hot wallet noong 18:31 UTC ng Setyembre 24. Sa loob ng humigit-kumulang isang oras, natala na ng mga on-chain investigator ang tinatayang $183 milyon sa stablecoin, Ethereum, at iba pang crypto asset na inililipat palabas ng mga wallet na na-tag bilang pagmamay-ari ng exchange.

Nang kumpirmahin ng Bitget sa publiko ang hack makalipas ang ilang oras, umabot na sa $351.6 milyon ang kabuuang pagkalugi. In-update ngayon ng crypto exchange, na isa sa pinakamalaki sa industriya, ang bilang sa $387.5 milyon.

Ipinaliwanag ni Bitget CEO Gracy Chen ang nangyari sa isang livestream at sa serye ng mga post sa X. “Hindi nila pineke ang mga withdrawal request ng user, at hindi rin nila nakuha ang aming mga private key para sa cold wallet o anumang hot at warm wallet,” aniya. Sa halip, pinasok ng mga umaatake ang isang backend system sa wallet infrastructure ng Bitget at ginamit ito upang pekein ang data ng transaksyon, na nilinlang ang sariling proseso ng awtorisasyon ng exchange upang aprubahan ang mga payout na mukhang karaniwan.

Sa mas simpleng paliwanag, walang nagnakaw ng kombinasyon ng vault. May nagpeke ng mga dokumentong sapat na kapani-paniwala upang aprubahan ito ng system nang walang tanong—ang digital na katumbas ng pagpapalusot ng pekeng withdrawal slip sa isang bank teller na form ang sinusuri, hindi ang taong nagsumite nito.

May mga piraso na ng kuwento ang mga blockchain investigator bago pa man magkumpirma ang Bitget. Na-flag ng pseudonymous researcher na si DCF GOD ang isang bagong likhang wallet na gumastos ng $19.67 milyon sa USDT0—isang cross-chain na bersyon ng dollar-pegged stablecoin na Tether—upang bumili ng 7,111 ETH sa loob ng anim na minuto. Nagbayad ito ng humigit-kumulang 5% na mas mataas sa presyo sa merkado sa pamamagitan ng mga decentralized exchange na UniswapX at 1inch Fusion.

Sumunod ang iba pang wallet na na-tag bilang pagmamay-ari ng Bitget, na nagpadala ng mga asset sa hindi bababa sa limang blockchain patungo sa mga address na kontrolado ng umaatake. Ang pinakamalaking bahagi ng ninakaw ay humigit-kumulang 103 milyong XRP, na nagkakahalaga ng mga $157 milyon.

Sinabi ni Chen na napahinto na ang paglabas ng mga pondo at wala nang karagdagang hindi awtorisadong transfer ang posible. Sasagutin umano ng User Protection Fund ng Bitget, na may hawak na higit $464 milyon, ang buong pagkawala. Ibig sabihin, mananatiling buo ang mga balanse sa account ng mga customer kahit na nawala na ang mismong pondo.

Nanatiling aktibo ang deposits at trading sa buong insidente; withdrawals lamang ang pansamantalang itinigil bilang pag-iingat.

Itinatag ng Bitget ang protection fund na iyon ilang taon na ang nakalipas para mismo sa ganitong posibleng sitwasyon, dahil sa kasamaang-palad ay karaniwan ang mga hack sa industriya. Noong 2023, umabot ang protection fund sa $300 milyon, na partikular na inilaan upang sagutin ang mga hack at pagnanakaw upang hindi ang mga user ang magdusa sa pagkalugi.

Karaniwang suspek ang North Korea

Tungkol sa nasa likod ng hack, maingat na itinuro ni Chen ang Pyongyang. “May natukoy kaming ilang IP address na tugma sa mga VPN choice ng isang partikular na grupong DPRK,” aniya, at idinagdag na “ang pattern ay halos kapareho ng ginawa ng North Korean team noon.”

Sinabi rin niya na tumutugma ang mga on-chain signature sa mga teknik na iniuugnay sa mga hacking group na may koneksiyon sa estado ng North Korea, habang binibigyang-diin na hindi pa nakukumpirma ang pagkakakilanlan ng umaatake at wala pang teknikal na ebidensiyang inilalabas sa publiko.

Sinabi ni Chen na dati na rin siyang personal na tinarget ng parehong grupo at nawalan siya ng humigit-kumulang $80,000 mula sa isang personal wallet na hindi konektado sa Bitget.

Ang Lazarus Group ng North Korea, na sinusubaybayan din sa codename na TraderTraitor, ay sinisisi sa pinakamalalaking crypto heist sa industriya, kabilang ang $1.4 bilyong hack sa Bybit noong Pebrero 2025. Kinumpirma ng FBI makalipas ang ilang linggo na gawa ito ng North Korea. Ayon sa blockchain analytics firm na Chainalysis, higit $2 bilyon ang nakuha ng bansa noong 2025.

Nangako ang Bitget na maglalabas ng kumpletong incident report, kabilang ang root-cause analysis, kapag natapos ng technical team nito ang remediation ng system. Mananatiling naka-pause ang withdrawals hanggang bukas, kung kailan iaanunsyo ng exchange ang plano nito para sa mga gustong mag-withdraw.