हैकर्स ने कल Bitget से करीब $387.5 मिलियन की क्रिप्टो संपत्तियां चुरा लीं, जिसे इस साल का सबसे बड़ा क्रिप्टो हैक माना जा रहा है। सामान्यतः की तरह मुख्य संदिग्ध उत्तर कोरिया है—हालांकि इसकी पुष्टि अभी नहीं हुई है और Bitget का कहना है कि कानून प्रवर्तन एजेंसियां अब जांच कर रही हैं।

घटना इस प्रकार हुई: Bitget के सुरक्षा सिस्टम ने 24 सितंबर को 18:31 UTC पर उसके कुछ हॉट वॉलेट्स से बाहर जा रहे अनधिकृत ट्रांसफर का पता लगाया। लगभग एक घंटे के भीतर, ऑन-चेन जांचकर्ताओं ने एक्सचेंज से जुड़े टैग किए गए वॉलेट्स से स्टेबलकॉइन्स, Ethereum और अन्य क्रिप्टो एसेट्स के करीब $183 मिलियन निकलने का अनुमान लगा लिया था।

कई घंटे बाद जब Bitget ने हैक की सार्वजनिक रूप से पुष्टि की, तब तक कुल नुकसान बढ़कर $351.6 मिलियन हो चुका था। उद्योग के सबसे बड़े क्रिप्टो एक्सचेंजों में से एक Bitget ने आज इस आंकड़े को संशोधित कर $387.5 मिलियन कर दिया।

Bitget की सीईओ ग्रेसी चेन ने एक लाइवस्ट्रीम और X पर कई पोस्ट में बताया कि क्या हुआ था। उन्होंने कहा, “उन्होंने न तो यूजर विदड्रॉल रिक्वेस्ट फोर्ज कीं, न ही उन्हें हमारे कोल्ड वॉलेट या किसी हॉट एवं वॉर्म वॉलेट की प्राइवेट की मिली।” इसके बजाय, हमलावरों ने Bitget के वॉलेट इंफ्रास्ट्रक्चर के भीतर मौजूद एक बैकएंड सिस्टम में सेंध लगाई और उसका इस्तेमाल ट्रांजैक्शन डेटा को स्पूफ करने के लिए किया। इससे एक्सचेंज की अपनी ऑथराइजेशन प्रक्रिया ऐसे पेआउट्स को मंजूरी देने के लिए धोखा खा गई, जो सामान्य दिख रहे थे।

सरल शब्दों में, किसी ने तिजोरी का कॉम्बिनेशन नहीं चुराया। किसी ने इतने विश्वसनीय जाली दस्तावेज तैयार किए कि सिस्टम ने बिना सवाल किए उन पर हस्ताक्षर कर दिए—जैसे बैंक टेलर के सामने नकली विदड्रॉल स्लिप रख दी जाए और वह व्यक्ति की पहचान के बजाय केवल फॉर्म की जांच करे।

Bitget के कुछ भी पुष्टि करने से पहले ही ब्लॉकचेन जांचकर्ताओं के पास कहानी के कुछ हिस्से मौजूद थे। छद्मनाम शोधकर्ता DCF GOD ने एक नए बनाए गए वॉलेट को चिह्नित किया, जिसने डॉलर-पेग्ड स्टेबलकॉइन Tether के क्रॉस-चेन संस्करण USDT0 में $19.67 मिलियन खर्च कर छह मिनट में 7,111 ETH खरीदे। इसने विकेंद्रीकृत एक्सचेंज UniswapX और 1inch Fusion के जरिए बाजार मूल्य से करीब 5% अधिक भुगतान किया।

इसके बाद Bitget के रूप में टैग किए गए और वॉलेट्स से कम-से-कम पांच ब्लॉकचेन पर हमलावर के नियंत्रण वाले एड्रेसों को एसेट्स भेजे गए। चोरी का सबसे बड़ा हिस्सा लगभग 103 मिलियन XRP था, जिसकी कीमत करीब $157 मिलियन थी।

चेन ने कहा कि एसेट्स का आउटफ्लो अब रोक दिया गया है और आगे कोई अनधिकृत ट्रांसफर संभव नहीं है। उनके अनुसार, Bitget का यूजर प्रोटेक्शन फंड, जिसमें $464 मिलियन से अधिक राशि है, पूरे नुकसान को कवर करेगा। इसका अर्थ है कि धनराशि चले जाने के बावजूद ग्राहकों के अकाउंट बैलेंस सुरक्षित रहेंगे।

पूरे घटनाक्रम के दौरान डिपॉजिट और ट्रेडिंग जारी रहे; एहतियात के तौर पर केवल विदड्रॉल को रोक दिया गया था।

उद्योग में हैक की दुर्भाग्यपूर्ण आम घटनाओं को देखते हुए, Bitget ने वर्षों पहले इसी तरह के संभावित परिदृश्य के लिए यह प्रोटेक्शन फंड बनाया था। 2023 में इस फंड में $300 मिलियन थे, जिन्हें विशेष रूप से हैक और चोरी से होने वाले नुकसान को कवर करने के लिए अलग रखा गया था, ताकि यूजर्स को नुकसान न उठाना पड़े।

उत्तर कोरिया सामान्य संदिग्ध है

हैक के पीछे किसका हाथ था, इस पर चेन ने सावधानी से प्योंगयांग की ओर इशारा किया है। उन्होंने कहा, “हमने कुछ ऐसे IP एड्रेस पहचाने हैं जो एक विशेष DPRK समूह द्वारा चुनी गई VPN सेवाओं से मेल खाते हैं,” और जोड़ा कि “पैटर्न काफी हद तक वैसा ही दिखता है जैसा उत्तर कोरियाई टीम ने पहले किया था।”

उन्होंने यह भी कहा कि ऑन-चेन सिग्नेचर उत्तर कोरिया से जुड़े राज्य-समर्थित हैकिंग समूहों की तकनीकों से मेल खाते हैं। हालांकि, उन्होंने जोर दिया कि हमलावर की पहचान की पुष्टि नहीं हुई है और कोई तकनीकी साक्ष्य सार्वजनिक नहीं किया गया है।

चेन ने कहा कि उन्हें भी पहले इसी समूह ने व्यक्तिगत रूप से निशाना बनाया था और Bitget से बाहर उनके निजी वॉलेट से करीब $80,000 की चोरी हुई थी।

उत्तर कोरिया के Lazarus Group, जिसे TraderTraitor कोडनेम से भी ट्रैक किया जाता है, पर उद्योग की सबसे बड़ी चोरी की घटनाओं का आरोप लगाया गया है। इनमें फरवरी 2025 में Bybit से $1.4 बिलियन की चोरी भी शामिल है, जिसकी पुष्टि FBI ने कुछ सप्ताह बाद उत्तर कोरियाई कार्रवाई के रूप में की थी। ब्लॉकचेन एनालिटिक्स फर्म Chainalysis के अनुसार, 2025 में देश द्वारा चुराई गई कुल राशि $2 बिलियन से अधिक है।

Bitget ने अपने तकनीकी दल द्वारा सिस्टम रिमेडिएशन पूरा होने के बाद रूट-कॉज विश्लेषण सहित एक पूर्ण घटना रिपोर्ट जारी करने का वादा किया है। विदड्रॉल कल तक निलंबित रहेंगे, जब एक्सचेंज उन यूजर्स के लिए योजना की घोषणा करेगा जो निकासी करना चाहते हैं।