Что произошло
24 сентября 2026 года в 18:31 UTC системы безопасности Bitget зафиксировали несанкционированные переводы из части горячих и «тёплых» кошельков биржи. Первая оценка ущерба — $351,6 млн, к 25 сентября биржа уточнила её до $387,5 млн. Это крупнейший взлом в криптоиндустрии за 2026 год. Гендиректор Bitget Грейси Чен заявила, что по IP-адресам и ончейн-паттернам атака похожа на работу хакеров, связанных с КНДР, но официально атрибуция не подтверждена — расследованием занимаются правоохранительные органы.
Детали
- Как взломали. По словам Чен, ключи от кошельков не украдены, а заявки пользователей на вывод не подделаны. Атакующие проникли во внутреннюю систему инфраструктуры кошельков и подменили данные транзакций — собственный механизм авторизации биржи одобрил 19 переводов как обычные выплаты.
- Что вывели. Самая крупная часть — около 103 млн XRP, примерно $157 млн по курсу на 25 сентября. Кроме того, ETH, BNB, AVAX, USDT и USDC в сетях Ethereum, XRP Ledger, Arbitrum, Avalanche, BSC, Optimism и Base. Рост оценки с $351,6 до $387,5 млн биржа объяснила учётом активов, пропущенных в первом подсчёте (в том числе ZEC и TRX), а не новыми выводами.
- Почему КНДР. Аналитики Elliptic нашли связи между украденными средствами и адресами, через которые отмывали деньги после прошлых атак, приписанных КНДР, — включая взлом Bybit в феврале 2025 года примерно на $1,5 млрд. Если атрибуция подтвердится, хакеры КНДР за 2026 год украли бы более $1 млрд.
- Деньги клиентов. Bitget обещает покрыть убыток целиком из фонда защиты пользователей (User Protection Fund) — в нём более $464 млн, по заявлению Чен от 25 сентября. Балансы счетов не меняются, депозиты и торговля работают, остановлен только вывод. Расследование ведут Mandiant (принадлежит Google) и SlowMist; за заморозку или возврат украденного биржа платит по 5% от суммы.
Что это значит
Кого касается: прежде всего клиентов Bitget — их деньги на счетах формально целы, но недоступны для вывода. По графику биржи вывод BTC откроется 28 сентября в 08:00 UTC, ETH в сетях Ethereum, BSC, Arbitrum, Base и Optimism — 29 сентября, USDT в Ethereum, BSC, Solana и Tron — 30 сентября, остальные активы — до 2 октября. Если планируете вывод, заложите эти даты и ожидайте очередь в первые часы. Условия и репутация самой площадки — в нашем обзоре биржи Bitget.
Риск с цифрой: фонд в $464 млн покрывает ущерб $387,5 млн с запасом всего около $77 млн. Пока Bitget не пополнит резерв, на случай нового крупного инцидента подушка у фонда будет тонкой.
Горизонт: ближайшая неделя — восстановление вывода. Позже Bitget обещает полный отчёт о причинах. Для остальных вывод простой: держать крупные суммы на любой бирже — значит доверять чужим системам авторизации; долгосрочные накопления надёжнее переносить в холодный кошелёк.
