Ущерб Bitget после кибератаки вырос до $387,5 млн — за инцидентом могли стоять северокорейские хакеры

Международная криптовалютная биржа Bitget претерпела кибератаку. По первоначальной оценке компании, были похищены средства пользователей в размере $351,6 млн, но позднее эта сумма была уточнена до $387,5 млн. Утечка затронула лишь кошельки уровней hot и warm, следует из заявления компании.

Bitget — международная централизованная криптовалютная биржа, основана в 2018 году. Специализируется на спотовой торговле, криптовалютных деривативах и копи-трейдинге. Bitget обслуживает пользователей более чем из 150 стран и регионов и заявляет о 120 млн зарегистрированных пользователей. По объему торгов Bitget относится к числу крупных мировых криптовалютных площадок: биржа заявляет о более чем $20 млрд ежедневного торгового объема.

Инцидент произошел 24 сентября — система безопасности обнаружила несанкционированные переводы с кошельков. В течение нескольких минут после обнаружения была задействована группа экстренного реагирования: были выявлены и отмечены аномальные адреса. Также был приостановлен вывод средств в качестве меры предосторожности.

По данным на 26 сентября, группа безопасности Bitget определила пути атаки и методы, использованные злоумышленниками при инциденте. Сообщается, что основная уязвимость выявлена и устранена, а инцидент локализован — дальнейшие несанкционированные переводы невозможны. Также был пересмотрен размер ущерба: сумма выросла с $351,6 млн до $387,5 за счет активов, затронутых в Zcash и TRON.

Bitget сотрудничает в расследовании с независимыми специалистами из Mandiant и SlowMist. Работы по восстановлению продолжаются, параллельно с этим Bitget объявил программу вознаграждения за восстановление пострадавших активов.

«С большой долей вероятности за взломом стоит северокорейская хакерская группировка LAZARUS GROUP, так как в ходе анализа была выявлена связь с адресами, задействованными в атаке на AFX Trade в июле этого года, которую также приписывают северокорейским хакерам», — считает ведущий аналитик AML/KYT оператора «Шард» Алиса Шумилина.

«Одного пентеста в год уже недостаточно»: как меняется экономика киберустойчивости

Лица

Эксперт «Шард» также обратила внимание на сходства со взломом Bybit в феврале 2025 года, которую также атаковали хакеры из LAZARUS GROUP. В обоих случаях злоумышленники атаковали инфраструктуру, связанную с формированием и авторизацией транзакций. Однако конкретные технические механизмы различаются: Bybit была атакована через инфраструктуру Safe и потеряла средства из холодных кошельков, тогда как Bitget сообщила о компрометации инфраструктуры горячих кошельков.

Хакеры похитили криптовалюту на $7,4 млн из хранилища THORChain — она используется северокорейскими группировками для отмыва средств

По словам Шумилиной, Bitget использует стандартный для крупных криптобирж комплекс мер безопасности: многоуровневое хранение активов с разделением hot/warm/cold wallets, двухфакторную аутентификацию, аппаратные ключи авторизации, контроль и ограничения вывода средств, мониторинг подозрительной активности и Proof of Reserves — подтверждение наличия у криптобиржи достаточного количества активов для покрытия средств клиентов. Кроме того, биржа поддерживает специальный Фонд защиты средств пользователей (User Protection Fund) для покрытия чрезвычайных потерь.

«Касательно произошедшей 24 сентября атаки, наиболее вероятно, что это была не классическая кража приватного ключа, а компрометация внутренней backend-инфраструктуры биржи Bitget, которая позволила злоумышленникам подменить данные транзакций и использовать штатный механизм авторизации биржи для вывода средств», — указывает Шумилина.

Эксперт также обращает внимание, что основная часть похищенных у Bitget активов была конвертирована в ETH через децентрализованные протоколы и выведена в сеть Ethereum с использованием кросс-чейн платформ. В частности, около 19,67 млн USDT0 в сети Arbitrum были обменены примерно на 7 111 ETH через Uniswap и 1inch, а затем перемещены в сеть Ethereum через Across Protocol.