Bitget 被盗 3.9 亿美元：突破口是它买来保护自己的安全设备
配图：AI 生成的概念示意图，非实际产品或攻击现场，不代表攻击者归因。
TL;DR：交易所 Bitget 披露，热钱包和温钱包被盗约 3.875 亿美元，调查方称攻击者利用了第三方安全产品中的零日漏洞，再横向渗透到生产环境的钱包任务服务器。Bitget CEO 认为手法符合朝鲜黑客特征，但这是公司的判断，截至目前并无正式归因。公司称冷钱包未受影响，并表示用户保护基金可以覆盖损失。
2026 年 9 月 24 日至 25 日，Bitget 检测到未经授权的转账并暂停了提现。转账持续了近三个小时，涉及以太坊、XRP Ledger、Arbitrum、Avalanche、Optimism、BSC、Base 等多条链，资产包括 ETH、XRP、BNB、USDT、USDC 等。
被盗金额经历了修正：Bitget 最初估计约 3.516 亿美元，后来在发现更多受影响资产（有报道提到 Zcash 和 TRON）后，上调为约 3.875 亿美元。
入口不是交易所自己的代码。 据 BleepingComputer 转述，Mandiant 的调查显示，攻击者在 9 月 24 日获得了两台第三方安全设备的特权访问权限，在其中一台上部署了 Web shell 并建立命令与控制连接，然后横向移动到 Bitget 的生产钱包任务服务器，在上面植入了恶意软件包。
SlowMist 的时间线更早：日志里最早的恶意活动出现在 8 月 31 日，攻击者借助某款安全产品节点上的零日漏洞执行隐藏脚本，读取环境变量里的数据库密码并连接数据库。SlowMist 还恢复出一个被删除的高度定制工具，用来伪造风控参数、构造提现请求并调用提现流程。换句话说，攻击者并非拿走私钥，而是让 Bitget 自己的授权流程把钱转了出去。
两家机构公开的细节里，涉事安全产品被匿名称为「产品 A」「设备 B」，具体是哪家厂商、哪个漏洞，目前没有披露。
朝鲜归因尚未确认。 CEO Gracy Chen 表示，根据 IP 行为模式和链上分析，攻击高度符合朝鲜黑客的手法，早期有报道称公司倾向于认为是 Lazarus 组织。但据已有报道，Mandiant 和 SlowMist 并未给出这一结论，公开的技术证据也有限，官方没有正式归因。
关于善后：Bitget 称冷钱包安全、用户余额准确；其用户保护基金在事发时超过 4.6 亿美元，高于被盗金额；公司还推出了赏金计划，向协助追回或冻结资金的人提供 5% 的奖励。不同报道对已冻结的金额说法不一，目前只是百万美元量级，相对被盗总额微不足道。
这起事件再次说明，安全防护设备本身也是高价值攻击面：它们通常拥有很高的内网权限，一旦成为跳板，攻击者就站在了防线内侧。
来源：