Bitget mengonfirmasi sekitar $387,5 juta dipindahkan ke alamat penyerang pada 24 Sept., naik dari perkiraan awal $351,6 juta setelah menambahkan aset Zcash dan TRON.

CEO Gracy Chen mengatakan penyerang memalsukan data transaksi di backend wallet yang telah dikompromikan; kunci privat dan cold wallet tidak diambil.

Dana Perlindungan Pengguna lebih dari $464 juta dijadwalkan untuk menutupi kerugian tersebut. Penarikan dana dimulai lagi secara bertahap mulai 28 Sept.

Bitget mengatakan pelacakan on-chain sekarang menempatkan aset yang ditransfer ke alamat yang dikendalikan penyerang pada sekitar $387,5 juta setelah insiden 24 Sept. yang awalnya muncul sebagai arus keluar tanpa izin dari beberapa hot wallet bursa tersebut.

Sistem keamanan bursa mendeteksi transfer pada pukul 18:31 UTC tanggal 24 September, menurut pemberitahuan keamanan Bitget. Perkiraan awal sebesar $351,6 juta direvisi pada hari berikutnya setelah perusahaan menambahkan transfer Zcash dan TRON yang tidak tercakup dalam hitungan pertama. Dalam pembaruan insiden lanjutan, Bitget menyatakan angka yang lebih tinggi tersebut tidak mencerminkan transfer tambahan yang tidak sah dan insiden tetap terkendali.

CEO Gracy Chen mengatakan penyerang membobol sistem backend kritis di dalam infrastruktur dompet Bitget, memalsukan data transaksi, dan memicu proses otorisasi milik perusahaan. Chen kemudian menulis bahwa kompromi kunci privat telah dikesampingkan. Cold wallet dan produk Bitget Wallet yang terpisah dan self-custodial tidak terdampak, kata perusahaan.

Aset yang terdampak mencakup XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX, dan TRX di Ethereum serta jaringan EVM lainnya, XRP Ledger, Zcash, dan TRON. Dalam rangkuman siaran langsung, Chen mengatakan XRP adalah kerugian terbesar pada satu rantai dan bahwa pola IP serta tanda tangan onchain konsisten dengan teknik yang digunakan oleh kelompok yang terkait DPRK, sebuah tautan yang belum dikonfirmasi secara independen. Mandiant dan SlowMist membantu penyelidikan.

Bitget mengatakan saldo pelanggan tetap utuh dan kerugian tersebut masih berada dalam User Protection Fund miliknya yang bernilai lebih dari $464 juta. Chen menambahkan bahwa perusahaan memegang lebih dari $1 miliar dalam aset miliknya sendiri. Bursa meluncurkan imbalan pemulihan sebesar 5% untuk dana yang dibekukan atau dipulihkan melalui tindakan sukarela serta menerbitkan dasbor pelacakan langsung untuk mitra industri.

Penarikan dana tetap dihentikan sebagai langkah keamanan. Dalam pemberitahuan penarikan, Bitget mengatakan mereka akan melanjutkan secara bertahap: BTC pada 28 September pukul 08:00 UTC, jaringan ETH pada 29 September, USDT pada 30 September, serta token lainnya, mata uang fiat, dan P2P pada 2 Oktober. Chen mengatakan ia akan mengadakan live AMA pada 28 September pukul 07:30 UTC, 30 menit sebelum penarikan bitcoin dimulai kembali.