Взлом Bitget на $351,6 млн: атака без кражи ключей

24 сентября 2026 года криптобиржа Bitget зафиксировала несанкционированный вывод средств из части своих горячих и промежуточных кошельков на сумму около 351,6 миллиона долларов. Атака стала крупнейшим взломом криптовалютной площадки за весь 2026 год и в очередной раз показала, что даже биржи с зрелой инфраструктурой безопасности остаются уязвимы не к банальной краже ключей, а к более тонким атакам на внутреннюю логику систем.

Что именно произошло

По данным биржи, аномальная активность была обнаружена в 18:31 по UTC — команда безопасности среагировала в течение нескольких минут и запустила процедуры экстренного реагирования. Атакующие вывели средства девятнадцатью транзакциями из части горячих и «тёплых» кошельков — тех, что подключены к торговым системам биржи для обслуживания операций пользователей в реальном времени. Холодные кошельки, хранящие основную часть резервов офлайн, атака не затронула, и баланс пользовательских аккаунтов на платформе, по заявлению Bitget, остаётся неизменным. Полный список похищенных активов биржа пока не раскрыла, но наблюдатели ончейн-аналитики зафиксировали перемещения в ETH, BNB, AVAX, USDT и USDC.

Как хакерам удалось обойти защиту без кражи ключей

Ключевая деталь инцидента в том, что злоумышленники не получили доступ к приватным ключам кошельков — точке, которую индустрия обычно считает главным рубежом обороны. Вместо этого, по предварительным данным Bitget, атака была направлена на серверную систему, обслуживающую кошельки: хакеры подменили данные о истории транзакций и тем самым инициировали процедуру авторизации несанкционированных переводов. Это принципиально иной вектор атаки по сравнению с классическими взломами криптобирж, где точкой входа чаще становится утечка или компрометация закрытых ключей. Подмена внутренней логики авторизации означает, что дело было не в слабом хранении секретов, а в уязвимости бизнес-процесса, который эти секреты использует.

Подозрения на причастность северокорейских хакеров

В ходе публичной сессии вопросов и ответов глава биржи Грейси Чен сообщила, что среди предварительных улик — IP-адреса, характерные для VPN-инфраструктуры, ранее связывавшейся с хакерской группировкой из КНДР, а сам характер атаки напоминает схемы, которые расследователи и раньше приписывали северокорейским операторам, в том числе группировке Lazarus Group. При этом Bitget подчёркивает, что расследование продолжается и официальной атрибуции пока нет. Стоит отметить, что подобные подозрения в адрес северокорейских групп в последние годы возникают почти после каждого крупного взлома криптобиржи — отчасти потому, что схема с обналичиванием через цепочки миксеров и децентрализованных мостов действительно неоднократно фиксировалась за такими группами, но сама по себе привязка к IP или паттерну поведения не является доказательством в строгом смысле.

Реакция биржи и что будет с пользователями

Bitget временно приостановила вывод средств на время проверки безопасности, при этом депозиты и торговля продолжают работать в обычном режиме. Биржа пообещала полностью компенсировать потери пользователей из собственного User Protection Fund — фонда защиты, объём которого превышает 464 миллиона долларов, то есть больше похищенной суммы. Формально это должно снять риск прямых потерь для клиентов биржи, однако практика показывает, что такие обещания требуют времени на реализацию, а приостановка вывода средств сама по себе создаёт временные неудобства и подрывает доверие части аудитории, даже если компенсация в итоге происходит в полном объёме.

Почему это важно для индустрии

Взлом Bitget — не изолированный случай, а часть более широкой тенденции 2026 года, когда крупные атаки на биржи смещаются от прямой кражи ключей к эксплуатации логики бэкенд-систем и процессов авторизации. Для инженерных команд бирж это означает, что аудит безопасности должен охватывать не только хранилища ключей и мультиподписи, но и весь конвейер обработки транзакций — включая то, как система проверяет историю операций перед подтверждением вывода. Классическая модель угроз, в которой главным риском считается компрометация приватного ключа, явно перестаёт покрывать реальный спектр атак: злоумышленники всё чаще ищут не сам сейф, а слабое место в процедуре, которая решает, кому и когда этот сейф открыть.

Для пользователей практический вывод куда проще: даже формальное наличие холодного хранения и компенсационных фондов не отменяет рисков, связанных с горячими кошельками, через которые проходит основная часть ежедневных операций. Приостановка вывода средств — стандартная и в целом оправданная мера при подозрении на взлом, но она же означает, что даже добросовестные пользователи биржи на время лишаются доступа к своим активам не по своей вине. Это ещё один аргумент в пользу давнего правила криптовалютного сообщества: крупные суммы разумнее держать в собственных холодных кошельках, а не оставлять на балансе биржи, какими бы надёжными ни выглядели её резервные фонды.