Bitget ने कहा है कि 351.6 मिलियन डॉलर के वॉलेट ब्रीच की उसकी प्रारंभिक जांच में private key लीक का कोई संकेत नहीं मिला, जबकि 24 सितंबर, 2026 को अनधिकृत ट्रांसफर के बाद withdrawals अब भी निलंबित हैं।

Bitget की आधिकारिक सुरक्षा सूचना के अनुसार, उसके सिस्टम ने 18:31 UTC पर इन ट्रांसफर्स का पता लगाया और कुछ ही मिनटों में आपातकालीन प्रक्रियाएं सक्रिय कर दीं। एक्सचेंज ने अनुमान लगाया कि लगभग 351.6 मिलियन डॉलर की परिसंपत्तियां प्रभावित हुईं और कहा कि यह घटना उसके hot और warm wallet लेयर्स के कुछ हिस्सों तक पहुंची। कंपनी के अनुसार, Bitget की आंतरिक three-tier classification के तहत cold wallets सुरक्षित रहे।

एक्सचेंज ने deposits और trading को खुला रखते हुए withdrawals अस्थायी रूप से रोक दिए। Bitget ने कहा कि ग्राहकों के account balances सटीक बने हुए हैं और उसका User Protection Fund, जिसकी वैल्यू 464 मिलियन डॉलर से अधिक है, अनुमानित नुकसान को कवर कर सकता है। कानून-प्रवर्तन एजेंसियों और on-chain सुरक्षा फर्मों को सूचित कर दिया गया है, जबकि असामान्य ट्रांसफर्स से जुड़े addresses को flag कर दिया गया है।

Bitget का कहना है कि private keys उजागर नहीं हुईं

ब्रीच के बाद आयोजित एक live Q&A के दौरान CEO Gracy Chen ने कहा कि जांचकर्ताओं ने Bitget के cold, warm और hot wallets में इस्तेमाल होने वाली private keys के लीक होने की आशंका को खारिज कर दिया है। Chen ने कहा कि हमलावर Bitget के सिस्टम में घुसे और ग्राहकों की withdrawal requests का उपयोग किए बिना सीधे फंड्स ट्रांसफर कर दिए। जांचकर्ता अभी भी सटीक entry point निर्धारित करने पर काम कर रहे थे।

उसी live session पर आधारित एक रिपोर्ट में कहा गया कि Bitget की सुरक्षा टीम ने attack route के एक हिस्से की पहचान कर ली है। प्रारंभिक निष्कर्ष में core backend wallet service के compromise होने का वर्णन किया गया, जहां फर्जी transfer data एक्सचेंज की approval-signature process तक पहुंच गया। Bitget ने अब तक इस निष्कर्ष के पीछे का तकनीकी साक्ष्य प्रकाशित नहीं किया है, इसलिए घुसपैठ की सटीक विधि अभी समीक्षा के अधीन है।

Chen ने कहा कि आगे फंड्स के outflow को रोकने के लिए बनाई गई व्यवस्थाएं पूरी कर ली गई हैं। Engineering teams अभी भी सिस्टम की मरम्मत, security controls को मजबूत करने और withdrawal services को दोबारा शुरू करने की तैयारी में लगी हुई थीं। 25 सितंबर की शुरुआत तक पुनःआरंभ का कोई निश्चित समय घोषित नहीं किया गया था।

पहली सार्वजनिक सूचना में attack method का नाम लेने से परहेज किया गया था। Bitget ने लिखा, “जांच पूरी होने तक हम attack vector पर अटकलें नहीं लगाएंगे।” इसलिए backend-system से जुड़ा उसका बाद का निष्कर्ष तब तक प्रारंभिक ही माना जाएगा, जब तक वादा की गई root-cause report जारी नहीं हो जाती।

जैसा कि 2025 में 1.4 बिलियन डॉलर की Bybit चोरी के बाद crypto.news ने रिपोर्ट किया था, forensic investigators ने उस हमले को compromise हुए Safe infrastructure से जोड़ा था। जांचकर्ताओं ने कहा था कि उस घटना के दौरान Bybit के अपने security systems सुरक्षित बने रहे।

On-chain tracking में XRP चोरी की गई परिसंपत्तियों में सबसे ऊपर

On-chain estimates लगातार बदलते रहे हैं क्योंकि शोधकर्ता अधिक addresses और assets की पहचान कर रहे हैं। Lookonchain ने अपने अपडेट के प्रकाशन के समय के token prices का उपयोग करते हुए चोरी हुए पोर्टफोलियो का मूल्य लगभग 356.8 मिलियन डॉलर आंका, जो Bitget के लगभग 351.6 मिलियन डॉलर के आंतरिक अनुमान से थोड़ा अधिक है। ये आंकड़े अलग-अलग accounting methods से आए हैं और इन्हें समान माप नहीं माना जाना चाहिए।

Lookonchain ने 102.93 मिलियन XRP, जिनकी कीमत 157.48 मिलियन डॉलर थी, को सबसे बड़ा घटक बताया। इसके breakdown में लगभग 85.75 मिलियन डॉलर मूल्य के 31,890 ETH, 34.75 मिलियन USDT, 21.05 मिलियन USDC, 19.67 मिलियन USD₮0, 3,000 XAUt, 12,719 BNB, 821,012 AVAX और 20.59 मिलियन TRX शामिल थे। ये आंकड़े अब भी एक बाहरी on-chain estimate हैं, Bitget की अंतिम transaction-level accounting नहीं।

पहले की blockchain tracking में कुल रकम कम दिखाई गई थी क्योंकि analysts उन publicly labeled wallets को ट्रैक कर रहे थे, जबकि ट्रांसफर्स अभी जारी थे। एक्सचेंज द्वारा अपना आंतरिक अनुमान उजागर करने से पहले Wu Blockchain ने Bitget से जुड़े लगभग 178 मिलियन डॉलर से 190 मिलियन डॉलर तक के दृश्य flows रिकॉर्ड किए थे।

उत्तर कोरिया लिंक अभी भी प्रारंभिक स्तर पर

Chen ने live Q&A के दौरान संभावित उत्तर कोरियाई संबंध का मुद्दा उठाया, लेकिन उन्होंने यह पुष्टि करने से परहेज किया कि ब्रीच को अंजाम किसने दिया। उन्होंने कहा कि जांचकर्ताओं ने ऐसे IP addresses की पहचान की है जो एक उत्तर कोरियाई hacking group द्वारा उपयोग की जाने वाली VPN services से मेल खाते हैं।

Chen ने कहा, “हमने कुछ IP addresses की पहचान की है जो एक खास DPRK group की VPN choices से मेल खाते हैं।” बाद में उन्होंने इस देखे गए पैटर्न को पिछली उत्तर कोरियाई गतिविधियों के समान बताया। Bitget ने कहा कि फिलहाल उसे नहीं लगता कि इस घटना में किसी insider की भूमिका थी।

समीक्षा की गई नवीनतम जानकारी में किसी सरकारी एजेंसी ने सार्वजनिक रूप से Bitget ब्रीच को उत्तर कोरिया से नहीं जोड़ा था। जांचकर्ता अब भी प्रभावित systems, infrastructure और प्लेटफॉर्म में प्रवेश के लिए इस्तेमाल की गई method की जांच कर रहे थे। इसलिए Chen की टिप्पणियां Bitget के प्रारंभिक संदेह को दर्शाती हैं, न कि पुष्टि की गई attribution को।

उत्तर कोरिया को पहले भी औपचारिक रूप से बड़े एक्सचेंज thefts से जोड़ा गया है। जैसा कि crypto.news ने अगस्त में रिपोर्ट किया था, Bybit ने फरवरी 2025 की चोरी को लेकर उत्तर कोरिया, उसके Reconnaissance General Bureau और Lazarus Group के खिलाफ अमेरिकी federal lawsuit दायर किया था। FBI पहले ही Bybit attack को उत्तर कोरियाई actors से जोड़ चुकी थी।

Crypto.news ने अप्रैल 2026 में Drift Protocol और KelpDAO से 577 मिलियन डॉलर निकालने वाली उत्तर कोरिया-लिंक्ड operations को भी अलग से कवर किया है। उन मामलों में अलग attack paths शामिल थे और वे यह स्थापित नहीं करते कि Bitget ब्रीच को किसने अंजाम दिया। 2026 में उत्तर कोरिया-लिंक्ड crypto attacks

Bitget पूरी रिपोर्ट की तैयारी के दौरान withdrawals निलंबित रखे हुए है

Bitget की withdrawal suspension notice के अनुसार, withdrawals तभी फिर शुरू होंगी जब security review पूरी हो जाएगी। Deposits और trading उपलब्ध हैं, जबकि technical teams system recovery और security work जारी रखे हुए हैं।

Live Q&A के दौरान Chen ने कहा कि चोरी किए गए कुछ funds रिकवर कर लिए गए हैं, हालांकि उन्होंने राशि का खुलासा नहीं किया। उन्होंने कहा कि Bitget recovery efforts पर blockchain foundations और अन्य partners के साथ काम कर रहा है। समीक्षा की गई नवीनतम updates में frozen या recovered assets के लिए कोई स्वतंत्र रूप से सत्यापित कुल राशि सामने नहीं आई थी।

Protection fund, नुकसान के प्रति Bitget की प्रतिक्रिया का हिस्सा बना हुआ है। कंपनी का कहना है कि उसके पास 464 मिलियन डॉलर से अधिक हैं और वह लगभग 351.6 मिलियन डॉलर के प्रभावित नुकसान को कवर कर सकती है, जबकि ग्राहकों के account balances सटीक बने हुए हैं। Bitget ने अब तक transaction-by-transaction reconciliation प्रकाशित नहीं किया है, जो उसके अनुमान और Lookonchain की बाद की market-value calculation के बीच अंतर को समझाए।

Bitget ने अपनी मूल security notice के 24 घंटों के भीतर root-cause analysis और corrective actions वाली एक पूर्ण incident report जारी करने का वादा किया है। यह notice 24 सितंबर को 21:39 UTC पर प्रकाशित की गई थी, जिससे कंपनी की घोषित प्रतिबद्धता के अनुसार विस्तृत रिपोर्ट 25 सितंबर की समयसीमा के भीतर आनी चाहिए।