Sàn giao dịch hàng đầu Bitget đã bị hack lúc 2:31 sáng ngày 25/9 (giờ Đài Bắc). Tính đến thời điểm bài viết ngày 27/9, trang theo dõi quỹ của Bitget cho thấy số tiền bị đánh cắp thực tế là 391,22 triệu USD, quy đổi ra khoảng 12,4 tỷ NDT Đài Loan (tức 124 tỷ đồng Đài Loan).
Con số này nhiều hơn một chút so với mức 387,5 triệu USD mà phía chính thức công bố ngày 25/9. Sự khác biệt ở chỗ trang theo dõi còn liệt kê tài sản bị đánh cắp trên 3 chuỗi ALGO, TIA và ATOM. Và khi phía chính thức công bố lịch khôi phục rút tiền vào ngày 26, sự việc cuối cùng cũng tạm kết thúc ở giai đoạn ban đầu.
Mốc thời gian xử lý chính thức như sau (giờ Đài Bắc):
9/25 05:39: Trang web chính thức đăng thông báo đầu tiên, ước tính tổn thất 351,6 triệu USD, tạm dừng rút tiền, nạp tiền và giao dịch vẫn bình thường
9/25 06:26: CEO Gracy Chen trực tiếp ra tuyến đầu, trong buổi livestream trên X giải thích trong hơn 3 giờ, cho biết quỹ bảo hộ đủ để bồi hoàn toàn bộ
9/25 11:11: Threads phiên bản Trung (phồn) của phía chính thức giải thích quỹ bảo hộ là 5.500 BTC, tổn thất do quỹ chịu trách nhiệm và sau đó sẽ bổ sung thêm
9/25 22:05: Trang web chính thức nâng mức tổn thất lên 387,5 triệu USD, công khai địa chỉ hacker và trang theo dõi, đồng thời ra mắt thưởng truy hồi 5%
9/26 11:55: Trang web chính thức công bố khôi phục rút tiền theo 4 đợt, rút kịp 5 phút trước thời hạn buổi trưa mà họ đã cam kết
9/28 16:00: Bắt đầu lần lượt mở rút Bitcoin, Ethereum và USDT; các loại coin khác phải chờ đến 10/2
Thực ra lần này hacker không hề đánh cắp mật khẩu để kiểm soát ví, tức là “private key”. Gracy cho biết hacker đã xâm nhập vào hậu trường hệ thống ví, giả mạo dữ liệu chuyển khoản có định dạng hoàn toàn bình thường, rồi gửi vào quy trình phê duyệt mà sàn giao dịch dùng hằng ngày.
Nói đơn giản, chìa khóa két vẫn còn đó, nhưng có người đã làm giả “giấy rút” trông rất chính thức. Còn phần tài sản bị chuyển đi chủ yếu đến từ các ví nóng/ ví ấm được kết nối mạng; các ví offline cất giữ tài sản số lượng lớn thì không bị ảnh hưởng.
Còn là ai làm thì Gracy cho biết đặc điểm IP của hacker trùng khớp rất cao với các hồ sơ đã từng liên quan tới nhóm hacker tại Bắc Triều Tiên trong quá khứ, nhưng trước khi có kết quả điều tra thì tạm thời chưa thể kết luận.
－－－
Theo trang theo dõi do phía chính thức cung cấp, tính theo giá tại thời điểm bị đánh cắp thì số tiền thiệt hại lớn nhất rơi vào 4 mục dưới đây:
XRP: khoảng 103 triệu coin, giá trị khoảng 158 triệu USD
Ether (ETH): khoảng 319.000 coin, giá trị khoảng 85,78 triệu USD
Stablecoin (tiền ổn định): USDT, USDC, USDT0 cộng lại khoảng 75,48 triệu USD
ZEC: khoảng 18,9 nghìn coin, giá trị khoảng 29,36 triệu USD
Nhưng trong số những đồng bị đánh cắp nhiều nhất, XRP không nằm trong danh sách các đợt mở rút token đầu tiên. Bạn phải đợi đến 10/2 cùng với các token khác. Và nguyên nhân có thể tìm thấy manh mối từ bằng chứng dự trữ mà Bitget đã công bố vào ngày 16/9.
Vào thời điểm đó, XRP trên nền tảng chỉ khoảng 104 triệu coin, trong đó 66,81 triệu coin là của người dùng. Vì vậy, nếu suy theo bản chụp này thì XRP của nền tảng gần như đã bị chuyển đi hết; cần phải bù lại trước thì mới có thể cho người dùng rút.
Tuy nhiên, số tiền bị đánh cắp hiện hầu như vẫn nằm trong tay hacker. Trang theo dõi cho thấy hacker vẫn đang nắm giữ khoảng 96%, còn khoảng 339.000 USD bị Tether và Circle đóng băng.
May mắn là lần này, số tiền thiệt hại do vụ hacker gây ra vẫn nằm trong phạm vi mà quỹ bảo vệ của Bitget có thể gánh vác, nên tạm thời sẽ không có ảnh hưởng quá lớn tới người dùng.
－－－
Cuối cùng, tôi muốn chia sẻ quan điểm của mình: hiện tại tôi vẫn còn tiền ở bên trong, nhưng tôi cũng không đến mức quá hoảng. Tôi cho rằng cách xử lý cuộc khủng hoảng lần này của Bitget ở mức đạt yêu cầu, vì họ công khai địa chỉ của hacker và trang theo dõi, đồng thời đưa ra lịch rút tiền đúng thời điểm. Nhìn chung, có cơ hội kết thúc an toàn như Bybit.
Chỉ từ 0:00 ngày 25/9 đến 2/10, dù tài sản của người dùng không bị ảnh hưởng, vẫn phải chờ thêm 7 ngày rưỡi thì mới rút được toàn bộ coin. Vì vậy, chuyện sàn “có bồi thường được hay không” và “khi nào bạn rút được” rốt cuộc là hai việc khác nhau.
Còn như các sàn giao dịch nước ngoài như Bitget, không nằm trong danh sách 10 bên đã hoàn tất đăng ký phòng chống rửa tiền với Ủy ban Giám sát Tài chính Đài Loan (FSC). Nếu thực sự có sự cố xảy ra, theo quy định pháp luật hiện hành của Đài Loan, sẽ không có cơ quan nào có thể hỗ trợ bạn đòi lại tiền.
Sau sự việc này, tôi vẫn muốn kêu gọi trong thị trường tiền mã hóa hãy cố gắng làm một “Vua tán tỉnh”/ “Nữ hoàng tán tỉnh” đa tình, đừng dồn toàn bộ tài sản vào chỉ một nền tảng/một sàn giao dịch.
Tài sản crypto của bạn hiện đang được phân tán trên mấy nền tảng? Nếu một trong số đó có sự cố, bạn có chịu được không?
Mời bạn chia sẻ với tôi～
⚠️ Nội dung trên chỉ để tham khảo, không cấu thành bất kỳ lời khuyên đầu tư nào.