Що сталося
24 вересня 2026 року о 18:31 UTC системи безпеки Bitget зафіксували несанкціоновані перекази з частини гарячих і «теплих» гаманців біржі. Перша оцінка збитків — $351,6 млн, до 25 вересня біржа уточнила її до $387,5 млн. Це найбільший злам у криптоіндустрії за 2026 рік. Генеральна директорка Bitget Грейсі Чень заявила, що за IP-адресами та ончейн-патернами атака схожа на роботу хакерів, пов’язаних із КНДР, але офіційно атрибуцію не підтверджено — розслідування ведуть правоохоронні органи.
Деталі
- Як зламали. За словами Чень, ключі від гаманців не викрадені, а заявки користувачів на виведення не підроблені. Зловмисники проникли у внутрішню систему інфраструктури гаманців і підмінили дані транзакцій — власний механізм авторизації біржі схвалив 19 переказів як звичайні виплати.
- Що вивели. Найбільша частина — близько 103 млн XRP, приблизно $157 млн за курсом на 25 вересня. Крім того, ETH, BNB, AVAX, USDT і USDC у мережах Ethereum, XRP Ledger, Arbitrum, Avalanche, BSC, Optimism і Base. Зростання оцінки з $351,6 до $387,5 млн біржа пояснила врахуванням активів, пропущених у першому підрахунку (зокрема ZEC і TRX), а не новими виведеннями.
- Чому КНДР. Аналітики Elliptic знайшли зв’язки між викраденими коштами та адресами, через які відмивали гроші після попередніх атак, приписаних КНДР, — зокрема зламу Bybit у лютому 2025 року приблизно на $1,5 млрд. Якщо атрибуція підтвердиться, хакери КНДР за 2026 рік викрали б понад $1 млрд.
- Гроші клієнтів. Bitget обіцяє покрити збиток повністю з фонду захисту користувачів (User Protection Fund) — у ньому понад $464 млн, за заявою Чень від 25 вересня. Баланси рахунків не змінюються, депозити й торгівля працюють, зупинено лише виведення. Розслідування ведуть Mandiant (належить Google) і SlowMist; за заморожування або повернення викраденого біржа платить по 5% від суми.
Що це означає
Кого стосується: насамперед клієнтів Bitget — їхні гроші на рахунках формально цілі, але недоступні для виведення. За графіком біржі виведення BTC відкриється 28 вересня о 08:00 UTC, ETH у мережах Ethereum, BSC, Arbitrum, Base і Optimism — 29 вересня, USDT в Ethereum, BSC, Solana і Tron — 30 вересня, решта активів — до 2 жовтня. Якщо плануєте виведення, закладіть ці дати й очікуйте черги в перші години. Умови та репутація самого майданчика — у нашому огляді біржі Bitget.
Ризик із цифрою: фонд на $464 млн покриває збиток $387,5 млн із запасом лише близько $77 млн. Доки Bitget не поповнить резерв, на випадок нового великого інциденту подушка у фонду буде тонкою.
Горизонт: найближчий тиждень — відновлення виведення. Пізніше Bitget обіцяє повний звіт про причини. Для решти висновок простий: тримати великі суми на будь-якій біржі — означає довіряти чужим системам авторизації; довгострокові накопичення надійніше переносити в холодний гаманець.
