Bitget начала восстанавливать выводы биткоина в 08:00 UTC 28 сентября после эксплойта 24 сентября, в результате которого было похищено около $388 млн.

Биржа сообщила, что злоумышленники скомпрометировали систему бэкенд-кошельков и подменили данные транзакций; при этом приватные ключи не были украдены.

Фонд защиты пользователей на сумму более $464 млн покрывает ущерб, а балансы клиентов не были списаны.

Эфир, USDT и оставшиеся активы будут возвращены поэтапно до 2 октября.

Bitget начала поэтапное возобновление выводов в понедельник, начиная с биткоина в 08:00 UTC, через четыре дня после эксплойта, который похитил около $388 млн из горячих и тепловых кошельков. Биржа в официальном уведомлении для поддержки заявила, что уязвимость устранена, и что для возобновления выводов каждой цепочке нужно пройти дополнительные проверки безопасности.

Несанкционированные переводы были обнаружены в 18:31 UTC 24 сентября. Сначала Bitget оценила затронутую сумму примерно в $351,6 млн, а затем увеличила ее до примерно $387,5 млн после того, как в ходе ончейн-отслеживания были добавлены активы в Zcash и TRON — говорится в обновлении по отслеживанию средств. Эта общая сумма делает инцидент крупнейшей из зарегистрированных краж криптовалюты в 2026 году на данный момент. Холодные кошельки не были скомпрометированы, а депозиты и торговля оставались открытыми на протяжении всей паузы.

В последующем сообщении в X генеральный директор Грейси Чен сказала, что злоумышленник "скомпрометировал критически важную бэкенд-систему в инфраструктуре нашего кошелька, использовал ее для подмены данных транзакций и инициировал наш процесс авторизации для вывода средств". Она добавила, что компрометация приватных ключей исключена и что дальнейшие несанкционированные переводы невозможны. Позже Чен заявила, что паттерны IP и VPN делают группу, связанную с Северной Кореей, "крайне вероятной" — такая атрибуция остается предметом расследования вместе с Mandiant и SlowMist.

Похищенные активы включали XRP, ether, USDT, USDC, BNB, AVAX, ZEC и TRX в нескольких сетях. Позже Circle и Tether заморозили около $318 000 в связанных стейблкоинах — небольшую часть добычи. Bitget предлагает вознаграждение в размере 5% за помощь в заморозке или восстановлении средств.

Чен сообщила пользователям в своем первоначальном уведомлении по безопасности, что "полная сумма этой потери подпадает под покрытие Фонда защиты пользователей Bitget, который в настоящее время располагает более чем $464 млн". Позднее компания заявила, что резервы составляют 5 500 BTC, и что она пополнит фонд после покрытия инцидента. Покрытие полной пересмотренной суммы поглотило бы большую часть этого страховочного резерва, оставив его существенно ниже объявленного биржей порога в $300 млн, если только быстро не поступят возмещения или дополнительное пополнение.

Согласно опубликованному графику, снятие средств в ETH в сетях Ethereum, BSC, Arbitrum, Base и Optimism откроется в 8:00 UTC 29 сентября; USDT в Ethereum, BSC, Solana и Tron — 30 сентября; оставшиеся токены, фиат и P2P — 2 октября. Чен провела прямую AMA в 7:30 UTC в понедельник, за 30 минут до перезапуска снятий биткоинов, и заявила, что Bitget использует более медленный подход по принципу «цепочка за цепочкой», чем Bybit после ее инцидента в 2025 году, чтобы снизить риски.