Bitget-hyökkäys kasvoi 387,5 miljoonaan dollariin: näin pörssin oma järjestelmä hyväksyi varkauden
- Bitgetin vahvistettu tappio nousi 387,5 miljoonaan dollariin, kun lisää siirtoja löytyi Zcash- ja TRON-verkoista.
- Summa vastaa noin 83,5 prosenttia pörssin käyttäjänsuojarahaston ilmoitetusta arvosta.
- Toimitusjohtaja Gracy Chen sanoo jäljen muistuttavan Pohjois-Korean aiempia operaatioita, mutta vahvistusta ei ole.
Tappio nousi lähes 84 prosenttiin pörssin käyttäjänsuojarahaston arvosta, ja jälki muistuttaa Pohjois-Korean aiempia operaatioita.
Bitget-pörssiin murtautuneet hyökkääjät eivät murtaneet yhtäkään yksityistä avainta eivätkä väärentäneet yhtäkään käyttäjän nostopyyntöä. He huijasivat pörssin oman taustajärjestelmän hyväksymään väärennetyt siirrot aidoiksi.
Pörssin suojausjärjestelmät havaitsivat luvattomat siirrot 24. syyskuuta klo 18.31 UTC, ja turvallisuustiimi käynnisti hätätoimet muutamassa minuutissa.
Lohkoketjuanalyysiyhtiö Arkhamin mukaan varojen siirtäminen ulos jatkui kello 18.31:stä 21.23:een ja ulottui seitsemään lohkoketjuun viiden murretun lompakon kautta. Pörssin kylmälompakot säilyivät koskemattomina kolmitasoisen arkkitehtuurin ansiosta. Nostot ovat edelleen keskeytettyinä, vaikka talletukset ja kaupankäynti jatkuvat normaalisti.
Chen julkaisi ensimmäisen tilannekatsauksensa vasta klo 21.30 UTC, lähes kolme tuntia havainnon jälkeen, ja arvioi tuolloin tappioksi 351,6 miljoonaa dollaria. Bitget on kuudenneksi suurin kryptopörssi, ja sen päivittäinen kaupankäyntivolyymi ylittää miljardi dollaria.
Gracy Chen, Bitgetin toimitusjohtaja, avasi hyökkäyksen mekanismia X-palvelun viestissään.
They did not forge user withdrawal requests, nor did they obtain our private keys.
– Gracy Chen (@GracyBitget) September 25, 2026
Hyökkääjät murtautuivat pörssin lompakkoinfrastruktuurin kriittiseen taustajärjestelmään, väärensivät siirtotietoja ja saivat sisäisen valtuutusprosessin läpäisemään siirrot ilman lisätarkistuksia.
Vahvistettu tappio on kasvanut koko ajan. Bitget nosti alkuperäisen 351,6 miljoonan dollarin arvion 387,5 miljoonaan dollariin, kun tutkijat löysivät lisää siirtoja.
Käyttäjänsuojarahaston ilmoitettu arvo on yli 464 miljoonaa dollaria, ja sen viralliseksi ilmoitettu sitoumus on 300 miljoonaa dollaria. Tappio nielaisisi suuren osan rahastosta. Bitget voisi joutua täydentämään sitä kattaakseen erotuksen.
Suurin yksittäinen varastettu erä oli noin 103 miljoonaa XRP-tokenia, arvoltaan noin 157 miljoonaa dollaria. Loppuosa jakautui vakausvaluuttoihin, etheriin ja muihin tokeneihin useilla lohkoketjuilla, ja myöhemmin joukkoon lisättiin vielä Zcash- ja TRON-siirrot.
Pohjois-Korea-epäily on yhä vahvistamatta
Chen sanoi, että hyökkäys muistuttaa Pohjois-Korean aiempia operaatioita: samankaltaista IP- ja VPN-infrastruktuuria sekä samaa rahanpesutapaa. Hän kuitenkin totesi suoraan, ettei yhteyttä ole vielä teknisesti vahvistettu.
Mandiant ja SlowMist tutkivat tapausta ulkopuolisina asiantuntijoina, eikä kumpikaan ole toistaiseksi vahvistanut epäilyä itsenäisesti. Analyysiyhtiö Elliptic on arvioinut, että Pohjois-Korean kryptovarkauksien yhteissumma vuonna 2026 nousisi Bitget-tapauksen myötä yli miljardiin dollariin ja että rahaa on ohjattu Tornado Cash -sekoituspalvelun kautta.
Hän sanoi myös, että Bitget pitää hallussaan yli miljardin dollarin edestä omia varoja, joita voidaan tarvittaessa käyttää käyttäjänsuojarahaston rinnalla. Yhtiö ei kertonut, miten mahdolliset korvaukset jakautuisivat näiden kahden lähteen välillä.
Bitget on luvannut viiden prosentin palkkion kaikille, jotka auttavat varojen jäädyttämisessä tai palauttamisessa. Samana päivänä kilpaileva pörssi Bybit julkaisi oman listansa rajoitetuista vastapuolista ja lisäsi siihen Lazarus-ryhmän. Ajoituksen ei ole vahvistettu liittyvän Bitgetin tapaukseen.
Bitget on luvannut kertoa nosto-oikeuksien tilanteesta viimeistään 26. syyskuuta klo 4 UTC, mutta se ei ole sitoutunut avaamaan nostoja silloin.
