Bitget遭窃3.875亿美元，朝鲜相关加密货币盗窃金额突破10亿美元

损失总额突破10亿美元，审批系统遭攻破

据Chainalysis称，2026年9月24日Bitget遭窃3.875亿美元，使归因于朝鲜黑客的年度加密货币损失超过10亿美元。加上上半年归因于相关人员的6.43亿美元，此次事件使损失总额至少达到10.305亿美元。

这次攻击的目标，比窃取密码或泄露钱包密钥更复杂。初步调查称，入侵者通过外部安全产品获得访问权限，控制了一台处理钱包业务的服务器，并伪造审批信息。随后，Bitget自身的基础设施授权了看似合法的转账。

Chainalysis表示，其10月1日发布的调查追踪了被盗XRP的流向，发现资金转入比特币，并呈现与朝鲜相关人员有关的洗钱模式。调查人员利用人工智能将一项追踪任务自动化，在不到10分钟内完成；手动处理则需要20多个小时。但这并不意味着整起盗窃案已经侦破，也不代表资金已追回。

这起事件还揭示了攻击者之外的金融网络。对后续交易的研究发现，兑换服务收取了手续费，各方对可疑资金的处理方式不一，并可能存在专门洗钱中介。这些细节有助于解释：在公开区块链上识别被盗加密货币，只是追回资金的第一步。

多项调查结论仍属初步判断。Chainalysis将这起事件归因于朝鲜相关人员，Elliptic则认为这种关联的可能性很高。公开报道尚未确定可将事件确凿归因于拉撒路集团（Lazarus Group），据称提供入侵渠道的安全产品供应商也尚未公布名称。

损失金额为何增加了3590万美元

Bitget最初估计被盗金额为3.516亿美元。9月25日，在发现包括涉及Zcash和Tron的转账在内的更多受影响资产后，交易所将这一数字上调至3.875亿美元。据交易所称，增加的3590万美元源于补充核算，并非发生了第二次攻击。

各项调查统计的金额略有差异。Bitquery追踪到资金通过9条链上的23笔转账流动，总额为3.868亿美元。一份技术报告称，Bitget按更广口径统计的金额约为3.88亿美元，涉及11条链。Chainalysis称，资金最初主要分布在四个网络：以太坊占49.7%，XRP占40.8%，Zcash占7.6%，Tron占1.8%。这些四舍五入后的百分比合计为99.9%。

这些数字反映的是不同的追踪范围，不应视为完全一致的资产清单。技术报告称，XRP部分为1.578亿美元，并估计约2.14亿美元来自Bitquery归类为温钱包的钱包。热钱包和温钱包是用于支持交易和提现的运营性加密货币资金池，不同于完全离线保存的储备资产。

关于Bitget何时发现问题，各方报道也不尽相同。多份报道将发现时间定在9月24日18:31 UTC。一份详细复盘则称，该时刻发生了首批小额转账，并将对账警报时间定为19:05。这个区别很重要，因为后续报告估计，警报发出后仍有约2.38亿美元、约占损失总额的61%被转走。

从入侵到恢复服务的时间线

归因于Mandiant和SlowMist的初步调查结果显示，最早记录到的恶意活动发生在8月31日，比盗窃案早三个多星期。公开时间线分别列出了初始入侵、资金转移和交易所应对情况。

• 8月31日：据称，最早记录到的恶意活动利用了一款安全产品中的未知漏洞。
• 9月24日17:49 UTC：一款定制提现工具开始在钱包主机上运行。
• 9月24日18:31 UTC：追踪到的首批转账先转出93 TRX，随后转出0.84 ETH。
• 9月24日19:05 UTC：详细复盘将Bitget的对账警报及对客户提现申请的限制时间定在此时。
• 9月24日21:23 UTC：追踪到的最后一笔转账转出223.20 ETH。包括签名服务在内的钱包提现服务于21:44关闭。
• 9月25日：Bitget查明疑似根本原因，向执法部门报告事件，并修订损失估算。
• 9月28日至30日：比特币、以太坊和USDT提现分阶段恢复。初步取证报告于9月30日发布。
• 10月1日：Chainalysis公布归因和追踪调查结果。其余服务原定于10月2日前恢复。

详细报告称，19:05警报发出后，签名服务仍持续运行了2小时39分钟。因此，拦截普通客户的提现请求，并未立即切断攻击者通过另一条路径进入提现流程的渠道。

攻击者利用签名服务，未窃取密钥

Bitget称，此次事件未危及其冷钱包密钥，也不是通过伪造客户提现请求实施的。据称，攻击者从钱包基础设施内部提供了虚假的交易授权数据。私钥是授权加密货币转账的秘密凭证。此次事件的疑点在于，攻击者可能指使合法的签名服务批准非法交易。

初步技术复盘描述了两款未具名的安全产品。据称，攻击者利用第一款产品上的活动，令隐藏脚本读取了存储在环境变量中的数据库密码。随后，攻击者冒用一名内部员工的身份操作第二款产品的管理平台，进而进入一台生产环境钱包服务器并安装恶意软件。

据报道，SlowMist恢复了一款已删除的工具，该工具专为Bitget提现系统定制。它伪造风控字段并调用提现流程。初始数据库访问与第二款产品中使用的身份之间的确切关联，仍未得到证实。

Bitget称，入侵入口是一个零日漏洞，即此前未知的软件缺陷。截至10月2日的技术报告发布时，两家供应商均未具名，也没有公开的漏洞编号或公告。Bitget称已修复漏洞，但公开信息不足以让其他客户识别受影响的产品。

交易所旗下独立的Bitget Wallet产品未受影响。该服务采用不同的基础设施，允许用户自行掌控资产。这一区别限定了目前已知的事件影响范围，但并未减轻交易所运营钱包所遭受的损失。

朝鲜归因依据何在

Bitget首席执行官Gracy Chen在解释疑似朝鲜关联时，提到了互联网地址的行为和区块链交易特征。她这样描述相关技术：

与朝鲜民主主义人民共和国关联黑客组织使用的技术一致

Chen随后表示，这一关联基于初步迹象。Chainalysis独立将这起盗窃案归因于朝鲜相关人员；Elliptic则指出，相关洗钱地址与包括Bybit在内的早前盗窃案有关。技术报告称，TRM Labs也认为事件很可能与朝鲜有关。

这些评估不能等同于公开的刑事调查结论。Mandiant的初步调查未指明攻击者，现有调查也未在公开层面确认是拉撒路集团的某个特定小组实施了对Bitget的入侵。

年度损失数据也需谨慎解读。Drift Protocol在4月1日损失2.85亿美元，KelpDAO在4月18日损失2.92亿美元，两者合计5.77亿美元，约占上半年归因于朝鲜相关人员的6.43亿美元的90%。研究人员将KelpDAO漏洞攻击与TraderTraitor关联起来，该组织被认为曾攻击用于连接不同区块链的基础设施。Elliptic另称，2026年有超过51起疑似朝鲜相关事件；这一统计范围比已确认损失更广。

人工智能加快了追踪资金流向的一项任务

Chainalysis表示，它与Bitget及执法部门合作追踪被盗资产。约3小时内，资金经过23笔转账，随后流经流动性协议、跨链消息服务、即时兑换服务和洗钱服务。

其中一项核心任务，是将存入某协议的被盗XRP与该协议在其他地方支付的比特币对应起来。这类服务让用户能够兑换不同区块链上的资产。即使进出资金使用了不同资产、地址和交易记录，调查人员仍需将两端交易关联起来。

Chainalysis称，它在约一天半内沿这条路径追踪了数千万美元资金，最终定位到由攻击者控制的比特币地址。该公司表示，利用内部人工智能构建的自动化工具，将这项核对任务的耗时从20多个小时缩短至不到10分钟；整个过程中由调查人员指导并审核结果。按这些估算，该任务耗时不到先前的120分之一。

其他资金流动则更难追踪。攻击者开始将资金转入Zcash的屏蔽池，该池的隐私功能会隐藏交易细节，而这些细节通常有助于关联发送方、接收方和金额。Chainalysis表示将继续监测资金流向地址，并与交易所和执法部门共享信息。

追踪本身并不能使资金被扣押。比特币和以太币没有能够冻结余额的中央发行方。追回资金通常需要平台配合、拥有冻结权的发行方介入，或由执法部门取得资产控制权。

兑换服务对是否介入意见不一

NEAR Intents称，其SHIELD系统拦截了与此次事件相关、金额超过5000万美元的转账尝试，并在执行过程中冻结了约50.3万美元。总经理Alex Shevchenko表示，在疑似资金流被制止前，约有16.6万美元通过了系统。

THORChain继续处理兑换交易，并拒绝了Bitget提出的定向干预请求。该协议区分了旨在保护自身运营的紧急网络暂停，与屏蔽个别地址或交易这两种做法。协议还提及其自身在5月遭受的1070万美元攻击，并称涉事攻击者事后也未被禁止通过该协议兑换资产。

BlockSec于9月29日发布的快照估计，与Bitget有关的资金流经THORChain的交易共有7804笔，金额约2.69亿美元。这是交易处理总额，并不一定代表不同被盗资金的总额：同一笔资金在服务中流转时可能被重复计入。

冻结金额的估算也不一致。一份报告称，Circle和Tether冻结的稳定币合计约31.8万美元。10月1日一份覆盖范围更广的技术估算称，相关发行方及NEAR Intents冻结的资金约为110万美元。这些数字的统计日期和覆盖范围不同，不应作为彼此独立的追回金额相加。

洗钱交易带来手续费收入和交易量激增

独立研究人员Andrey Sergeenkov统计，截至10月2日10:22 UTC，根据已审查的交易，服务和协议收取的手续费共计761,725美元。他的分类结果显示，THORChain流动性提供者获得573,226美元，MetaMask获得149,417美元，Chainflip获得26,751美元，CoW EthFlow获得12,332美元。

他另行识别出259,718美元的THORChain联盟手续费，这些款项支付给了七个地址，而这些地址与参与兑换的钱包还存在其他资金关联。另有206,196美元支付给一些收款方，但他未能确认这些额外关联。这些联盟类别是独立的分析数据，并非已追回金额。

被列为手续费收款方，并不能证明其拥有攻击者身份。Sergeenkov追踪了关联最密切的最大收款方收到的部分款项。该收款方收到177,499美元，资金随后转为USDT，最终流入一个标记为“OKX热钱包5”的地址。这条资金链不能证明交易所客户的身份，也不能证明其参与了盗窃。

THORChain 9月系统收入为301万美元，兑换交易量为240亿美元。9月25日至29日，该协议处理了约137亿美元，占月交易量的57%；收入约190万美元，占月收入的63%。这些时段总额还包括已识别被盗资金以外的活动。

该协议在声明中描述了交易量激增的时间段：

9月25日至29日，随着与Bitget漏洞攻击有关的资金流经该网络，每日交易量约为1.9亿至4.6亿美元。

活跃钱包数量从8月的23,500个升至9月的25,000个，增幅约为6.4%。与之相比，兑换交易量从6.13亿美元升至24亿美元，增幅显著。数据表明，增长主要来自大额交易集中涌入，而非用户数量以相近幅度扩张。

中介可能在资金去向不明前先向攻击者付款

对2025年2月21日Bybit盗窃案的调查显示，为什么可见的被盗资金不一定仍由原始黑客控制。美国联邦调查局将这起约15亿美元的攻击归因于朝鲜的TraderTraitor人员。研究人员怀疑，专门的中介接收被盗资产，扣除手续费后向攻击者支付等值资金，并承担后续洗钱风险。

安全公司zeroShadow估计，2025年2月至6月期间，Bybit被盗资金中有超过10亿美元被洗钱。这并不能证明全部资金都兑换成了传统货币，也不能说明攻击者最终所得恰好等于这一金额。Chainalysis还称，Bybit和WazirX被盗的数千万美元流经Xinbi的供应商网络；据称，中介在该网络中将可追踪资产兑换为来自其他犯罪活动的稳定币。

化名调查人员ZachXBT在10月5日的一份披露中称，他投入了349,700美元稳定币，并以客户身份每笔订单接受5%的损失。他表示，一名名为Jimmy Green的运营者协助揭露了一个持有超过1200万美元Bybit相关资金的钱包集群，之后Tether冻结了442,000 USDT。

ZachXBT指称，该网络横跨香港和中国大陆，曾为拉撒路集团洗钱超过10亿美元。其规模和运营者身份尚未通过公开起诉得到独立证实。他还指称，处理Bitget资金的中国人员曾在公开的Discord和Telegram群组中寻求协助，其中一名运营者还经手过KelpDAO被盗资金。

Bitget的财务保障及追回资金的局限

Bitget称，攻击发生前，其用户保护基金规模超过4.64亿美元，可用于弥补客户损失。3.875亿美元的盗窃金额约相当于4.64亿美元储备的83.5%。这一比较反映的是潜在负担，并不能证明赔偿如何支付或资金来自哪些资产。

9月28日，交易所承诺在一周内将基金恢复至至少3亿美元。它于9月30日宣布完成恢复。交易所还承诺，对成功冻结或追回的资金提供最高5%的奖励，与Mandiant和SlowMist合作，并发布了钱包追踪仪表板。

Bitget称，提现暂停期间交易和存款仍保持开放。比特币提现于9月28日恢复，以太坊提现于9月29日恢复，USDT提现于9月30日恢复。交易所称，暂停期间没有发生进一步损失。在相关交易数据快照中，其BGB代币一度下跌近7%，跌至1.93美元，随后回升至1.97美元。

9月整体损失的统计范围也存在争议。PeckShield统计了55起黑客攻击，损失总额为7.665亿美元；CertiK统计了97起事件，损失总额为7.684亿美元。Bitget的损失约占两项统计总额的一半。另有报道称，Liquid Network发生一起独立事件，损失在3.19亿至3.2亿美元之间，其中据称超过2.7亿美元已返还。另一起据报涉及Coldcard的事件发生于7月，金额约为1.16亿美元。

执法行动的范围也不止于交易所盗窃案。美国财政部制裁了8名个人和2个实体，指控他们为网络犯罪所得及海外IT工作者收入洗钱。相关指控包括：有银行人员通过First Credit Bank管理至少530万美元，并通过中国和俄罗斯的中介隐匿资金。美国司法部另行采取行动，涉及与涉嫌IT工作者欺诈有关的770万美元，以及与归因于APT38的四起盗窃案有关的超过1500万美元。

这些行动表明，冻结、扣押和返还属于不同阶段。Bitget最终能追回多少资金、哪些供应商的产品存在漏洞，以及最终技术调查结果是什么，仍未有定论。相关方面尚未公布最终调查或返还被盗资产的明确日期。

要点

• Bitget修订后的3.875亿美元损失金额，使2026年所称朝鲜相关盗窃案总额至少达到10.305亿美元。
• 初步调查显示，提现得以进行的机制是伪造审批数据，而非窃取私钥。
• Chainalysis将攻击归因于朝鲜相关人员；公开层面尚未确认具体由拉撒路集团实施。
• 人工智能将一项资金追踪任务缩短至不到10分钟，但追踪并未带来资产追回。
• 兑换服务对是否介入意见不一，已审查的洗钱交易则产生了可观手续费。
• Bitget宣布已将保护基金恢复至至少3亿美元，并分阶段恢复提现。
• 最终追回金额及受影响安全产品供应商的身份仍未公布。