Bitget 在针对近期安全事件的公开直播中披露，攻击者利用第三方安全产品的零日漏洞获取内部高权限凭证，随后伪造提现指令并绕过风控，从多个热钱包和温钱包转出约 3.88 亿美元资产。Bitget 表示，私钥没有泄露，冷钱包未受影响，所有用户余额不会受到损失，相关亏损将由用户保护基金承担。
本次直播由 Bitget CEO Gracy Chen 与大中华区负责人谢家印进行说明。Bitget 同时强调，目前披露的攻击原因和调查结论来自平台方面，后续仍以独立安全调查报告为准。
Bitget：事件发生于 9 月 25 日凌晨
Gracy Chen 在直播中表示，按 UTC+8 计算，9 月 25 日凌晨 2 点 31 分，Bitget 热钱包和温钱包基础设施中的部分资产在多条链上发生未经授权的转账。调查显示，攻击者通过第三方安全产品的漏洞获得了高权限内部凭证，并向钱包系统写入伪造的提现指令，绕过风险校验流程。
她称，私钥没有泄露，冷钱包也没有受到影响。当前攻击路径已经明确，漏洞已完成修复，事件已得到控制，此后未再发现新的未经授权转账。经确认，被转出资产总价值约为 3.88 亿美元。
Bitget 表示，Mandiant 与慢雾正在协助调查和链上追踪，攻击者地址及相关追踪数据已经公开。平台已启动资产追回悬赏计划，并与安全公司、执法机构、交易平台、公链项目及其他行业参与方合作，追踪和追回相关资产。
在用户资金安排上，Bitget 表示不会把追回被盗资产作为保障用户资金的主要方式，本次损失将完全由 Bitget 用户保护基金承担。保护基金使用后，公司会以自有资金在一周内将基金重新补充至至少 3 亿美元等值资产。
时间线：从小额测试到多链大额转账
Gracy Chen 按时间线详细回顾了本次攻击过程。
她表示，按 UTC+8 计算，9 月 25 日凌晨 2 点 31 分，黑客先进行了两笔小额测试转账，分别从以太坊热钱包转出 0.84 ETH，从 TRON 热钱包转出 93 TRX。由于金额低于当时风控阈值，系统没有触发告警。
2 点 58 分至 4 点 09 分，攻击进入关键阶段。黑客在 Ethereum、XRP、ZEC、BSC、Base、Arbitrum、Optimism 和 Avalanche 等多条链上发起 17 笔大额资金划转，总价值约 3.6 亿美元。
第一笔大额转账发生 7 分钟后，也就是 3 点 05 分，平台对账系统监测到大额差异，风险系统自动阻断整个平台由用户发起的提现请求。3 点 14 分，平台启动 P0 最高级别应急响应；3 点 40 分，技术团队开始采取止损措施。
4 点 40 分，由于当时还无法完全排除私钥被盗风险，钱包团队开始将资金归集到冷钱包。4 点 55 分至 5 点 23 分，黑客又发起第二轮共 7 笔资金划转，价值约 2800 万美元，涉及 Avalanche、XRP、Ethereum、ZEC、ALGO、TIA 和 ATOM。
5 点 44 分，技术团队停止签名机等钱包提现服务，并对提现相关出入向访问进行安全隔离，同时初步判断私钥没有泄露。当天下午 4 点 43 分，安全团队定位到整个事件的根因；当晚 9 点 42 分，法务团队向相关主体所在地报案。
Bitget 称，第二天在完成漏洞修复、服务隔离和安全核查后，平台确定了恢复提现的计划，恢复顺序为比特币、以太坊、USDT、其他代币以及法币服务。
攻击路径：真实凭证登录后伪造提现命令
对于攻击方式，Gracy Chen 表示，整个过程大致分为三步。
第一步，黑客利用第三方安全产品的零日漏洞窃取 Bitget 内部网络凭证，并进入平台内部关键管理系统。由于所使用的身份凭证真实有效，系统将其识别为正常登录行为。
第二步，攻击者利用窃取到的高权限凭证进入与钱包相关的后端服务，直接向钱包系统写入伪造的提现命令，使钱包将其当作正常提现执行，并绕过提现记录生成前的风险校验流程，最终将热钱包和温钱包中的资金转出。
第三步是清除痕迹。Gracy Chen 称，每次转账完成后，攻击者都会删除伪造提现命令可能留下的记录，以掩盖攻击行为并增加定位根因的难度。由于缺乏直接证据，平台需要对更广泛的系统进行排查，修复后的验证也需覆盖更多系统，因此调查和恢复过程耗时较长。
她还表示，攻击者没有使用常见病毒或恶意软件，而是使用真实凭证，将整个攻击伪装成常规运维操作，并在完成操作后删除痕迹。Bitget 认为，这是一次高水平的定向攻击。
Bitget 目前已排除私钥泄露，也初步排除了内部作案的可能。进一步调查由 Mandiant 和慢雾协助进行，在正式报告出炉前，平台暂不对攻击者身份作过多猜测，并希望在一周内公布调查报告。
Bitget：用户保护基金覆盖损失
谢家印在直播中表示，平台已完成较为彻底的溯源。按照现阶段调查，黑客利用第三方安全产品漏洞窃取内部网络权限凭证，通过向钱包系统伪造提现订单，欺骗钱包执行并绕过风控校验，最终完成异常转账。
他称，攻击者同样没有使用常见病毒或恶意程序，而是借助真实身份凭证和常规运维操作进行伪装，同时清除痕迹。事件发生后，Bitget 已排除私钥丢失的可能。本次事件的直接原因是钱包基础设施中的关键后端系统被攻破。经过初步排查，平台也排除了内部作案的可能。
关于赔付安排，谢家印表示，2022 年保护基金成立之初，Bitget 曾向外界承诺每个月至少保持 3 亿美元规模，用于黑天鹅事件发生时快速保障用户资产。本周之内，平台会把保护基金重新补充到 3 亿美元以上。
提现为何分阶段恢复
谢家印表示，由于本次事件涉及链和币种较多，为保证恢复后的安全性，每条链恢复前都需要完成多个环节的核心校验，因此平台采取分批、有序恢复提现的方式。
按照计划，平台先开放比特币提现，随后恢复以太坊及 Ethereum、BSC、Arbitrum、Base 和 Optimism 等网络相关资产的提现，再恢复 USDT，最后恢复全平台其他币种和法币提现。
他表示，所有用户，包括机构客户、VIP 客户和普通客户，使用的都是同一个提现通道，没有任何人拥有优先权。原有最低提现金额和 24 小时最大提现额度保持不变，用户也不需要进行额外操作，恢复后平台会直接显示。
针对提现暂停约三天半的问题，谢家印称，主要原因在于此次受影响的是基础设施中的关键后端系统，牵涉整个提现流程。在每个环节的排查和验证完成前，平台不希望继续暴露潜在风险。再加上涉及多条主网和多种资产，每条链都需要单独修复和完成安全验证，因此只能按链和资产分阶段恢复。
他同时强调，暂停提现与资金是否充足无关。事发时 Bitget 用户保护基金规模约为 4.64 亿美元，资产储备率为 127%，相关数据均为公开可查。
修复措施：隔离系统、重置凭证、收紧高敏感权限
谢家印介绍称，Bitget 已经采取多项修复和风控措施。
- 首先，平台已隔离受影响系统，所有相关服务器都已从网络中隔离，以阻止攻击继续扩散，同时保留证据用于后续溯源。
- 第二，平台已重置内部凭证，并进一步收紧高敏感权限。所有内部登录凭证均已作废并重新签发，攻击者此前窃取的凭证已经失效；高敏感权限被全面收回并重新拆分，关键操作需要多人审批。
- 第三，Bitget 已将漏洞详情通报给相关第三方安全厂商，协助对方分析和修复。在修复完成前，平台已停止使用相关功能。
- 第四，平台已加强提现校验，所有提现都需要进行独立验证。
Bitget 称，目前事件已得到控制，没有发现新的未授权转账。受影响系统已被隔离，漏洞也已修复，但每条链恢复提现前仍需完成多项核心安全校验。
平台称将加强第三方产品评估与异常监控
对于如何降低第三方安全产品带来的风险，谢家印表示，这是 Bitget 成立八年以来第一次发生安全事故，而且第一次就遇到如此规模的事件。平台后续将从几个方向调整。
第一，在引入第三方安全产品之前，Bitget 会采用更严格的评估标准。第二，在第三方产品部署阶段加强安全措施和隔离机制，弥补第三方产品本身可能存在的系统缺陷。第三，平台将完善异常监控，保证告警的可用性和稳定性，并提升判断准确性，减少错判和漏判。
对于外界有关第三方审计和渗透测试的提问，谢家印表示，平台一直在做相关工作，这些年每年都会与 Hacken 等机构进行安全测试。
Bitget 也已公布白帽赏金计划。若能帮助主动冻结攻击者资金，可获得相应资金 5% 的赏金；若能直接帮助追回资金，同样可获得相应资金 5% 的赏金。目前攻击者地址已经公开，平台正在实时追踪，相关信息和提交入口均已公开。
Bitget：不对追回比例作乐观假设
关于被盗资金最终能够追回多少，谢家印表示，平台并不乐观。
他称，以其他交易平台过往的安全事件为例，即便一年之后，被冻结和实际追回的资产比例也可能非常有限。这类攻击者通常较为专业，也清楚如何转移和混淆资金。
他表示，这也是用户保护基金存在的必要性。Bitget 的保护基金已经运行四年，平台承诺至少保持 3 亿美元规模，就是为了在类似情况下能够迅速保障用户资产。
目前平台能做的是尽可能增加攻击者套现的难度。监控相关地址的交易平台、能够冻结地址的稳定币发行商以及跨链桥，都在压缩攻击者的资金出口。对于这次被盗的 3.88 亿美元，Bitget 不会假设一定能追回多少，但会尽力追踪和追回，同时感谢交易平台、公链和项目方提供协助。
谢家印还表示，由于本次事件涉及第三方安全产品漏洞，Bitget 正与 Mandiant 和慢雾联合调查，希望在一周内发布完整的安全报告。
比特币提现恢复后，平台更新处理数据
在提现恢复进展方面，Gracy Chen 表示，比特币提现已经恢复。她解释称，提现分为两个部分：第一部分是交易平台处理，用户在 App 或网页端发起提现后，从订单产生到平台打包并广播上链通常需要几分钟；若提现订单已经出现 TXID，说明交易已经广播到区块链网络，用户可通过区块链浏览器查询实时状态；若还没有 TXID，则说明订单仍在平台处理中。
第二部分是比特币网络本身的处理。她表示，比特币网络目标出块时间约为 10 分钟，但实际可能从几分钟到几十分钟不等。用户从 Bitget 提现到其他交易平台后，对方通常还需要等待至少一个区块确认。因此，如果已经有 TXID 但暂时没有到账，更可能是在等待比特币网络确认，而不是卡在 Bitget 侧。
谢家印称，已有用户反馈提币成功，更多提现请求也已审核通过并正在打包。当天平台增加了大约 5 倍的人手处理提现。
Gracy Chen 此前披露，提现整体运行正常，平台已经收到 6000 多笔提现请求，对应 2700 多枚比特币，没有出现明显积压，第一批两三千笔提现已经获得区块链确认。随着恢复继续进行，平台还开放了通过 BSC 网络提现 BTC 的选项。她表示，比特币主网相对较慢、费用较高，BSC 速度更快、成本更低，用户可以按需选择网络。
随后她更新称，平台收到的提现订单进一步增加到 6800 多笔，对应约 3300 枚 BTC，其中一部分已经获得至少一个区块确认，其余已广播并获得 TXID，正在等待链上确认。
在直播最后一次更新中，Gracy Chen 表示，截至 UTC+8 16 点 50 分，平台共收到 7683 笔比特币提现订单，对应 3609 枚比特币。其中，已获得至少一个区块确认的有 6946 笔，对应 3326 枚比特币；另有 737 笔已广播、正在等待链上确认，对应 283 枚比特币。
她称，第一批比特币提现整体较为顺畅，没有出现明显积压。除比特币主网外，平台也收到了一些通过 BSC 提现的订单，目前处理同样较为顺畅。
用户保障、追责与后续报告
对于为何不把资产追回作为用户保障的主要方式，Gracy Chen 表示，面对非常专业、熟悉洗钱和资产转移方式的黑客，被盗资产追回难度很高，因此用户资产安全不能依赖最终能否从攻击者手中追回资金，这也是 Bitget 设立保护基金的原因。
她表示，资产追回悬赏计划的目的，是尽可能增加攻击者处理资金的难度。如果交易平台、稳定币发行商和跨链桥共同拒绝处理相关资金并冻结可疑地址，攻击者可选择的资金出口就会越来越少。
不过，无论最终追回多少，Bitget 都会通过保护基金保障用户资产，而不是等待追回结果出来后再处理用户损失。她还表示，由于此次损失将由保护基金覆盖，平台会从原本 4 亿多美元的保护基金中使用部分资金，并在一周内重新将保护基金补充到 3 亿美元以上。补充后的资产仍会放在公开钱包中，用户可以在链上实时验证。
对于是否会向涉及漏洞的第三方安全厂商追责，Gracy Chen 表示，这个问题仍需法务团队进一步讨论。她称，虽然第三方产品存在相关漏洞，但作为交易平台，Bitget 自身也有责任，因此最终是否追责以及以何种方式追责，仍需等待法务团队确认。
她还表示，这与追回被盗资产的逻辑类似。无论是悬赏计划，还是与行业共同增加黑客洗钱难度，Bitget 都不会把这些作为赔偿和保护用户的前提，用户保障仍依靠 Bitget 用户保护基金及平台自身安全机制。
目前，Mandiant 和慢雾正在进行独立取证，包括评估受影响系统和资产范围、攻击路径及攻击手法，并验证平台的止损和修复措施，同时支持资金追踪。独立调查报告预计会在一周内公布。
Gracy Chen 在直播最后表示，这是 Bitget 成立八年以来第一次发生安全事故。根据当前调查，攻击的主要原因是第三方安全产品漏洞，更多细节将放在独立安全报告中披露。