A Bitget começou a restaurar saques de Bitcoin às 8:00 UTC em 28 de setembro, após um exploit em 24 de setembro que drenou cerca de US$ 388 milhões.

A exchange disse que os atacantes comprometeram um sistema de carteira de back-end e falsificaram os dados das transações; chaves privadas não foram roubadas.

Um Fundo de Proteção ao Usuário de mais de US$ 464 milhões está cobrindo a perda, e os saldos dos clientes não foram baixados.

Éter, USDT e os demais ativos estão programados para serem devolvidos em etapas até 2 de outubro.

A Bitget iniciou uma retomada faseada dos saques na segunda-feira, começando com bitcoin às 8:00 UTC, quatro dias após um exploit que drenou cerca de US$ 388 milhões das carteiras hot e warm. A exchange afirmou, em um comunicado oficial de suporte, que a vulnerabilidade foi corrigida e que cada rede deve passar por verificações de segurança adicionais antes que os saques sejam reabertos.

Foram detectadas transferências não autorizadas às 18h31 UTC de 24 de setembro. A Bitget primeiro estimou o valor afetado em cerca de US$ 351,6 milhão e, depois, elevou a cifra para aproximadamente US$ 387,5 milhões após o rastreamento on-chain adicionar ativos nas redes Zcash e TRON, segundo uma atualização de rastreamento de fundos. Esse total faz do incidente o maior roubo de cripto noticiado até agora em 2026. Não houve comprometimento de cold wallets, e depósitos e negociações permaneceram abertos durante a pausa.

Em uma atualização no X, a CEO Gracy Chen disse que o atacante "comprometeu um sistema crítico de backend dentro da nossa infraestrutura de carteiras, usou-o para falsificar dados de transações e acionou nosso processo de autorização para mover fundos para fora". Ela acrescentou que o comprometimento de chaves privadas foi descartado e que não são mais possíveis transferências não autorizadas. Mais tarde, Chen disse que padrões de IP e VPN tornaram um grupo ligado à Coreia do Norte "muito provável", uma atribuição que ainda está sob investigação com a Mandiant e a SlowMist.

Os ativos roubados incluíram XRP, ether, USDT, USDC, BNB, AVAX, ZEC e TRX em várias redes. A Circle e a Tether congelaram posteriormente cerca de US$ 318.000 em stablecoins relacionados, uma pequena parcela do butim. A Bitget está oferecendo uma recompensa de 5% para ajudar a congelar ou recuperar os fundos.

Chen disse aos usuários em seu comunicado inicial de segurança que "o valor total dessa perda se enquadra na cobertura do Fundo de Proteção ao Usuário da Bitget, que atualmente detém mais de US$ 464 milhões". A empresa disse depois que a reserva é de 5.500 BTC e que irá repor o fundo após cobrir o incidente. Cobrir a perda total revisada consumiria a maior parte desse colchão, deixando a reserva bem abaixo do patamar de US$ 300 milhões declarado pela exchange, a menos que recuperações ou uma complementação cheguem rapidamente.

De acordo com o cronograma publicado, saques de ETH na Ethereum, BSC, Arbitrum, Base e Optimism começam às 8:00 UTC de 29 de setembro; USDT na Ethereum, BSC, Solana e Tron em 30 de setembro; e os tokens restantes, o dinheiro fiduciário e P2P em 2 de outubro. Chen fez uma transmissão ao vivo (AMA) às 7:30 UTC de segunda-feira, 30 minutos antes de os saques de bitcoin serem retomados, e disse que a Bitget está adotando uma abordagem mais lenta, cadeia por cadeia, do que a Bybit fez após sua violação de 2025 para reduzir riscos.