Учора хакери викрали з Bitget криптоактиви приблизно на $387,5 млн — імовірно, це найбільший криптозлам цього року. Ймовірним підозрюваним, як це часто буває, є Північна Корея, хоча це ще не підтверджено, а Bitget заявляє, що правоохоронні органи вже розслідують інцидент.

Ось що сталося: системи безпеки Bitget зафіксували несанкціоновані перекази з деяких її гарячих гаманців о 18:31 UTC 24 вересня. Приблизно за годину ончейн-аналітики вже нарахували близько $183 млн у стейблкоїнах, Ethereum та інших криптоактивах, що виходили з гаманців, позначених як такі, що належать біржі.

До моменту, коли Bitget кількома годинами пізніше публічно підтвердила злам, загальні втрати зросли до $351,6 млн. Сьогодні криптобіржа, одна з найбільших у галузі, оновила оцінку збитків до $387,5 млн.

Генеральна директорка Bitget Gracy Chen пояснила обставини інциденту під час стріму та в серії дописів у X. «Вони не підробляли заявки користувачів на виведення коштів і не отримали наші приватні ключі від холодного гаманця чи будь-яких гарячих або теплих гаманців», — сказала вона. Натомість зловмисники проникли до бекенд-системи в інфраструктурі гаманців Bitget і використали її для підміни даних транзакцій, ввівши в оману внутрішній процес авторизації біржі, який схвалив виплати, що виглядали звичайними.

Простіше кажучи, ніхто не викрадав комбінацію від сейфа. Хтось підробив документи настільки переконливо, що система схвалила їх без додаткових запитань — цифровий аналог ситуації, коли фальшивий бланк на зняття коштів проходить повз банківського касира, який перевіряє форму, а не особу.

Блокчейн-дослідники мали частини цієї історії ще до того, як Bitget щось підтвердила. Анонімний дослідник DCF GOD звернув увагу на щойно створений гаманець, який витратив $19,67 млн у USDT0 — кросчейн-версії прив’язаного до долара стейблкоїна Tether — на купівлю 7 111 ETH за шість хвилин. Активи купувалися приблизно на 5% вище ринкової ціни через децентралізовані біржі UniswapX та 1inch Fusion.

Після цього інші гаманці, позначені як гаманці Bitget, почали переказувати активи щонайменше через п’ять блокчейнів на адреси, контрольовані атакувальником. Найбільшою окремою частиною викраденого виявилися близько 103 млн XRP вартістю приблизно $157 млн.

Chen заявила, що відтік коштів уже зупинено й подальші несанкціоновані перекази неможливі. За її словами, Фонд захисту користувачів Bitget, у якому зберігається понад $464 млн, повністю покриє збитки. Це означає, що баланси клієнтських акаунтів залишаться недоторканими, хоча самі кошти було викрадено.

Депозити та торгівля продовжували працювати безперервно; як запобіжний захід було призупинено лише виведення коштів.

Bitget створила цей фонд захисту кілька років тому саме на випадок такого сценарію, зважаючи на те, наскільки поширеними, на жаль, є злами в індустрії. У 2023 році обсяг фонду захисту становив $300 млн; ці кошти були спеціально виділені для покриття збитків від зламів і крадіжок, щоб користувачі не залишилися сам на сам із втратами.

Північна Корея — звичний підозрюваний

Щодо того, хто стояв за зламом, Chen обережно вказала на Пхеньян. «Ми ідентифікували деякі IP-адреси, що збігаються з VPN-рішеннями, які використовує певна група КНДР», — сказала вона, додавши, що «патерн дуже схожий на те, що північнокорейська команда робила раніше».

Вона також заявила, що ончейн-сигнатури узгоджуються з методами, пов’язаними з підтримуваними державою північнокорейськими хакерськими групами, водночас наголосивши, що особу атакувальника не підтверджено, а жодних технічних доказів публічно не оприлюднено.

Chen заявила, що раніше сама ставала ціллю тієї ж групи й втратила близько $80 000 з особистого гаманця, не пов’язаного з Bitget.

На Lazarus Group із Північної Кореї, яку також відстежують під кодовою назвою TraderTraitor, покладають відповідальність за найбільші крадіжки в галузі, зокрема за злам Bybit у лютому 2025 року, внаслідок якого було втрачено $1,4 млрд. Через кілька тижнів ФБР підтвердило, що за атакою стояла Північна Корея. Аналітична блокчейн-компанія Chainalysis оцінює здобич країни за 2025 рік у понад $2 млрд.

Bitget пообіцяла опублікувати повний звіт про інцидент, зокрема аналіз першопричини, після завершення технічними командами відновлення систем. Виведення коштів залишатиметься призупиненим до завтра, коли біржа оголосить план для користувачів, які бажають скористатися цією функцією.