Singkatnya • Bitget mengonfirmasi pelanggaran senilai $387,5 juta yang terdeteksi pada 24 September, setelah penyerang memalsukan data transaksi untuk memicu persetujuan transfer yang tampak sah dari hot wallet dan warm wallet, bukan dengan mencuri private key. • Hasil curian mencakup sekitar 103 juta XRP senilai $157 juta. • CEO Gracy Chen mengatakan alamat IP dan pola on-chain cocok dengan teknik yang digunakan peretas yang terkait dengan negara Korea Utara. Peretas mencuri sekitar $387,5 juta dalam aset kripto dari Bitget kemarin, dalam insiden yang diyakini sebagai peretasan kripto terbesar tahun ini. Tersangka utamanya, seperti biasanya, adalah Korea Utara—meski hal tersebut belum dikonfirmasi, dan Bitget menyatakan aparat penegak hukum kini tengah menyelidikinya. Berikut yang terjadi: sistem keamanan Bitget mendeteksi transfer tidak sah yang keluar dari beberapa hot wallet-nya pada pukul 18.31 UTC, 24 September. Dalam waktu sekitar satu jam, investigator on-chain telah menghitung sekitar $183 juta dalam stablecoin, Ethereum, dan aset kripto lainnya yang keluar dari dompet-dompet yang ditandai sebagai milik bursa tersebut. Myriad: Ke mana Ethereum akan bergerak selanjutnya? Klik untuk membuat prediksi Anda. Saat Bitget mengumumkan peretasan itu kepada publik beberapa jam kemudian, total kerugian telah meningkat menjadi $351,6 juta. Bursa kripto tersebut, salah satu yang terbesar di industri, hari ini memperbarui angka itu menjadi $387,5 juta. CEO Bitget Gracy Chen menjelaskan apa yang terjadi dalam siaran langsung dan serangkaian unggahan di X. “Mereka tidak memalsukan permintaan penarikan pengguna, juga tidak memperoleh private key cold wallet maupun hot wallet atau warm wallet kami,” ujarnya. Sebaliknya, penyerang membobol sistem backend dalam infrastruktur wallet Bitget dan menggunakannya untuk memalsukan data transaksi, sehingga proses otorisasi bursa sendiri tertipu untuk menyetujui pembayaran yang tampak rutin. Secara lebih sederhana, tidak ada yang mencuri kombinasi brankas. Seseorang memalsukan dokumen dengan cukup meyakinkan hingga sistem menyetujuinya tanpa mempertanyakan apa pun—setara digital dari menyelipkan formulir penarikan palsu kepada teller bank yang hanya memeriksa formulir, bukan identitas orangnya. Para pelacak blockchain telah menemukan sebagian potongan cerita sebelum Bitget mengonfirmasi apa pun. Peneliti dengan nama samaran DCF GOD menandai wallet yang baru dibuat dan menghabiskan $19,67 juta dalam USDT0—versi lintas rantai dari stablecoin Tether yang dipatok pada dolar AS—untuk membeli 7.111 ETH dalam enam menit, dengan membayar sekitar 5% di atas harga pasar melalui bursa terdesentralisasi UniswapX dan 1inch Fusion. Dalam 24 jam setelah insiden 24 September (UTC): berikut pembaruan lanjutan kami sebagaimana dijanjikan. Investigasi kami bersama Mandiant dan SlowMist masih berlangsung—analisis forensik menyeluruh membutuhkan lebih dari 24 jam, dan temuan tambahan akan dibagikan segera setelah tersedia. Tiga poin utama… — Gracy Chen @Bitget (@GracyBitget), 25 September 2026 Wallet lain yang ditandai sebagai milik Bitget kemudian menyusul, mengirim aset melalui sedikitnya lima blockchain ke alamat-alamat yang dikendalikan penyerang. Bagian terbesar dari aset curian tersebut adalah sekitar 103 juta XRP, senilai kurang lebih $157 juta. Chen mengatakan arus keluar dana telah dihentikan dan tidak ada lagi transfer tidak sah yang dapat terjadi. Dana Perlindungan Pengguna Bitget, yang menyimpan lebih dari $464 juta, akan menanggung seluruh kerugian, katanya. Artinya, saldo akun pelanggan tetap utuh meskipun dana itu sendiri telah hilang. Setoran dan perdagangan tetap berjalan sepanjang insiden; hanya penarikan yang dibekukan sebagai langkah pencegahan. Bitget membentuk dana perlindungan tersebut bertahun-tahun lalu untuk skenario seperti ini, mengingat peretasan sayangnya sangat umum terjadi di industri ini. Pada 2023, dana perlindungan itu bernilai $300 juta, yang secara khusus dialokasikan untuk menanggung peretasan dan pencurian agar pengguna tidak harus menanggung kerugian. Korea Utara menjadi tersangka utama Terkait pihak di balik peretasan ini, Chen dengan hati-hati mengarah pada Pyongyang. “Kami telah mengidentifikasi sejumlah alamat IP yang sesuai dengan pilihan VPN oleh kelompok DPRK tertentu,” katanya, seraya menambahkan bahwa “polanya sangat mirip dengan apa yang pernah dilakukan tim Korea Utara sebelumnya.” Ia juga mengatakan bahwa jejak on-chain selaras dengan teknik yang terkait dengan kelompok peretas yang berafiliasi dengan negara Korea Utara, sambil menegaskan bahwa identitas penyerang belum dikonfirmasi dan belum ada bukti teknis yang dipublikasikan. Bitcoin BTC · USD $83.956 +3,51% 24 Jam 7 Hari 1 Bulan 1 Tahun YTD 18 Sep 20 Sep 22 Sep 24 Sep 25 Sep $87,2 ribu $84,9 ribu $82,6 ribu $80,3 ribu Tertinggi 24 jam: $85.208 Terendah 24 jam: $83.230 Volume: $1,5 miliar Proyeksi pasar Peluang oleh Myriad Hari ini: Di bawah $84.000 — peluang 51% Minggu ini: Di bawah $84.000 — peluang 51% Bulan ini: Di bawah $84.000 — peluang 51% Beli Bitcoin dengan USDT Didukung oleh Jupiter Beli Data harga oleh CoinGecko Berita dan proyeksi Bitcoin lainnya → Chen mengatakan dirinya secara pribadi pernah menjadi sasaran kelompok yang sama sebelumnya, dengan kerugian sekitar $80.000 dari wallet pribadinya di luar Bitget. Lazarus Group dari Korea Utara, yang juga dilacak dengan nama sandi TraderTraitor, telah dituding berada di balik pencurian terbesar di industri ini, termasuk peretasan Bybit senilai $1,4 miliar pada Februari 2025, yang beberapa pekan kemudian dikonfirmasi FBI sebagai ulah Korea Utara. Perusahaan analitik blockchain Chainalysis memperkirakan total hasil curian negara itu pada 2025 melampaui $2 miliar. Bitget berjanji akan merilis laporan insiden lengkap, termasuk analisis akar masalah, setelah tim teknisnya menyelesaikan pemulihan sistem. Penarikan tetap dihentikan hingga besok, ketika bursa akan mengumumkan rencana bagi pengguna yang ingin melakukan penarikan.