Bitget подтвердила, что 24 сентября на адреса злоумышленников переведено около $387,5 млн — больше, чем первоначальные $351,6 млн после добавления активов Zcash и TRON.

Генеральный директор Грейси Чен заявила, что злоумышленники подделали данные транзакций в скомпрометированном бэкенде кошелька; при этом приватные ключи и холодные кошельки не были похищены.

Фонд защиты пользователей более чем на $464 млн должен покрыть ущерб. Выводы средств возобновляются поэтапно с 28 сентября.

Bitget заявила, что ончейн-трейсинг теперь относит переведенные на адреса, контролируемые злоумышленниками, активы примерно к $387,5 млн после инцидента от 24 сентября, который сначала выглядел как несанкционированные оттоки из некоторых горячих кошельков биржи.

Системы безопасности биржи зафиксировали подозрительные переводы в 18:31 по UTC 24 сентября, говорится в уведомлении о безопасности Bitget. Первоначальная оценка в 351,6 млн долларов была пересмотрена на следующий день после того, как компания добавила переводы Zcash и TRON, отсутствовавшие в первом подсчёте. В обновлении по инциденту Bitget сообщила, что более высокая цифра не отражает дальнейших несанкционированных переводов, а сам инцидент по-прежнему локализован.

Генеральный директор Грейси Чен заявила, что злоумышленник скомпрометировал критически важную бэкенд-систему в инфраструктуре кошелька Bitget, подделал данные транзакций и задействовал собственный процесс авторизации компании. Позже Чен написала, что компрометация приватного ключа исключена. Холодные кошельки и отдельный продукт Bitget Wallet, использующий самоотчуждение средств, не пострадали, как сообщила компания.

Пострадавшие активы включают XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX и TRX в сети Ethereum и других EVM-сетях, в XRP Ledger, Zcash и TRON. В ходе трансляционного резюме Чен сказала, что наибольшие потери пришлись на XRP в рамках одной цепочки, и что паттерны IP и ончейн-подписи согласуются с техниками, используемыми группами, связанными с КНДР; при этом такая связь не подтверждена независимо. Mandiant и SlowMist помогают в расследовании.

Bitget заявила, что клиентские балансы остаются неизменными, а потери укладываются в её Фонд защиты пользователей (User Protection Fund) более чем на 464 млн долларов. Чен добавила, что компания располагает более чем 1 млрд долларов собственных активов. Биржа запустила 5%-ную награду за восстановление средств, которые были заморожены или возвращены по добровольным действиям, и опубликовала интерактивную панель для отслеживания в реальном времени для партнёров по отрасли.

Вывод средств остаётся приостановленным в качестве меры безопасности. В уведомлении о выводе Bitget сообщила, что возобновление будет проходить поэтапно: BTC — 28 сентября в 08:00 по UTC, сети ETH — 29 сентября, USDT — 30 сентября, а оставшиеся токены, фиат и P2P — 2 октября. Чен сказала, что проведёт прямой AMA 28 сентября в 07:30 по UTC, за 30 минут до перезапуска выводов биткоина.