Bitget đã xác nhận rằng kẻ tấn công đã đánh cắp 387,5 triệu USD từ các ví sàn giao dịch của mình vào ngày 24 tháng 9. Việc rút tiền vẫn đang bị tạm dừng, trong khi công ty cho biết quỹ bảo vệ của mình chi trả cho khoản lỗ.

Mandiant và SlowMist đang điều tra. CEO Gracy Chen nghi ngờ có sự tham gia của Triều Tiên, mặc dù điểm xâm nhập ban đầu vẫn chưa được tiết lộ.

Vậy, vụ hack có thể đã diễn ra như thế nào? BeInCrypto đã lập một dòng thời gian dựa trên thông tin công khai.

24 tháng 9, 18:31 UTC: Bitget Phát hiện các giao dịch chuyển tiền trái phép

Bitget cho biết hệ thống bảo mật của họ đã phát hiện các giao dịch chuyển tiền lúc 18:31 UTC và kích hoạt quy trình khẩn cấp trong vài phút.

Vụ vi phạm ảnh hưởng đến một phần các ví nóng và ví ấm của họ, vốn hỗ trợ hoạt động giao dịch sàn. Theo công ty, các ví lạnh ngoại tuyến của họ vẫn an toàn. Thời điểm phát hiện không cho biết kẻ tấn công đã lần đầu xâm nhập khi nào.

最新的进展同步一下：我们正在与独立第三方专家 @Mandiant 和 @SlowMist_Team 合作，对此次事件进行全面调查。 其他几点都是说过的，我再强调一下：-我们的首要任务是保障用户。用户余额保持完整，Bitget 用户保护基金将覆盖此次平台层面事件造成的影响。 -Bitget Wallet 为自托管钱包，运行于与… https://t.co/pZM4XzFolp

— Gracy Chen @Bitget (@GracyBitget) ngày 25 tháng 9 năm 2026

19:57–21:06 UTC: Các giao dịch bất thường làm dấy lên cảnh báo

Vào 19:57, nhà phân tích DCF GOD đã gắn cờ một ví mới chi tiêu 19,67 triệu USD USDT0 để mua 7.111 ETH trong vòng sáu phút. Theo báo cáo, họ đã trả tới 5% cao hơn giá thị trường.

Hành vi này cho thấy ai đó ưu tiên chuyển tiền đi nhanh chóng. Động cơ vẫn chưa rõ.

Đến 21:06, Bubblemaps báo cáo khoảng 180 triệu USD đang được chuyển từ các ví của Bitget sang một địa chỉ nhận chung, rồi sau đó tách ra thành nhiều ví khác.

21:30 UTC: Chen xác nhận vụ vi phạm

Thông báo bảo mật của Chen cho biết tổn thất ban đầu là 351,6 triệu USD và xác nhận rằng các lệnh rút tiền đã bị tạm dừng.

Thông báo xuất hiện gần ba giờ sau thời điểm phát hiện mà Bitget đã nêu. Khoảng cách này đặt ra câu hỏi về phản ứng của họ, nhưng không chứng minh rằng tiền vẫn tiếp tục rời đi trong suốt giai đoạn đó.

Ngày 25 tháng 9, 00:43 UTC: Phương thức bị nghi ngờ xuất hiện

Chen cho biết kẻ tấn công đã xâm nhập một hệ thống backend quan trọng, tức là phần mềm quản lý hoạt động ví ở chế độ hậu trường.

Chúng cung cấp dữ liệu giao dịch giả và kích hoạt quy trình ủy quyền của Bitget. Nói đơn giản, hệ thống của chính nó đã phê duyệt các giao dịch chuyển tiền gian lận.

Chen cho biết việc đánh cắp khóa riêng đã bị loại trừ. Việc kẻ tấn công đã xâm nhập vào backend như thế nào và những bước kiểm tra nào thất bại vẫn cần một giải thích công khai chi tiết.

Ngày tồi tệ cho Bitget. Tôi kỳ vọng và biết rằng hệ sinh thái @Binance, @BNBCHAIN và cộng đồng sẽ làm mọi thứ chúng tôi có thể để giúp đỡ. Hãy SAFU! 🙏 pic.twitter.com/cyAEHdSi1S

— CZ 🔶 BNB (@cz_binance) ngày 25 tháng 9 năm 2026

14:03 UTC: Tổn thất đạt 387,5 triệu USD

Bitget đã điều chỉnh ước tính sau khi đưa vào các tài sản Zcash và TRON bị ảnh hưởng. Công ty cho biết mức tăng phản ánh việc hạch toán đầy đủ hơn cho vụ trộm ban đầu.

Công ty cho biết lỗ hổng đã được khắc phục. Họ hứa sẽ công bố kế hoạch rút tiền vào ngày 26 tháng 9 lúc 04:00 UTC, nhưng không cam kết sẽ mở lại việc rút tiền vào thời điểm đó.

Vì sao các nhà điều tra nghi ngờ có liên quan của Triều Tiên

Chen dẫn ra hành vi IP và hoạt động blockchain phù hợp với các nhóm Triều Tiên. Một số đặc điểm giống với vụ trộm Bybit vào tháng 2/2025 mà FBI cho rằng do Triều Tiên thực hiện.

  • Tạo phê duyệt giả: Bitget mô tả các lệnh sai được gửi đến hệ thống ủy quyền của mình. Tại Bybit, một giao diện bị xâm nhập đã lừa các bên ký để phê duyệt một giao dịch độc hại. Cơ chế khác nhau, nhưng cả hai đều khai thác quy trình phê duyệt.

  • Chuyển đổi tài sản nhanh chóng: Các khoản tiền liên quan đến Bitget đã nhanh chóng mua ETH. FBI đã ghi nhận việc Bybit chuyển đổi nhanh các tài sản bị đánh cắp của mình thành các loại tiền mã hóa khác.

  • Chia nhỏ tiền qua nhiều ví: Bubblemaps xác định một số ví nhận. Theo FBI, các khoản thu từ Bybit được phân tán ra hàng nghìn địa chỉ.

  • Sử dụng THORChain: MistTrack báo cáo các khoản thu từ Bitget đi vào giao thức và xác định việc chúng được sử dụng trước đó để chuyển các khoản tiền bị đánh cắp từ Bybit.

Những điểm tương đồng này hỗ trợ việc tiếp tục điều tra. Chúng không tự xác định độc lập thủ phạm trong vụ tấn công nhắm vào Bitget.