Bitget не удержала $387,5 млн

Криптовалютная биржа Bitget потеряла около $387,5 млн в результате хакерской атаки 24 сентября. Это крупнейшая кража криптоактивов с начала 2026 года, следует из данных специализирующейся на блокчейн-аналитике компании TRM Labs. Bitget заявила, что ущерб будет покрыт за счет фонда защиты пользователей объемом более $464 млн.

По данным Bitget, злоумышленники воспользовались уязвимостью в стороннем продукте безопасности, получили доступ к внутренней инфраструктуре и направили в кошельковую систему поддельные команды на вывод средств, обойдя механизмы риск-контроля. После компрометации внутренней инфраструктуры атакующий получает возможность добраться и до находящихся в ней защитных систем, поясняет директор по ИБ-консалтингу Positive Technologies Юлия Воронова. «Обход защиты — это не преодоление какой-то мифической брони, а, к сожалению, просто взлом еще одной информационной системы», — говорит она.

Первоначально биржа оценивала ущерб в $351,6 млн, но позднее повысила его оценку до $387,5 млн после учета операций в сетях Zcash и Tron. По словам представителя Bitget, приватные ключи — секретные коды для доступа к криптовалюте и подтверждения транзакций — скомпрометированы не были. Не были затронуты и холодные кошельки — офлайн-хранилища, где находится основная часть активов площадки. По словам госпожи Вороновой, современные атаки на криптоплощадки все чаще направлены не на приватные ключи и другие специфические Web3-механизмы, а на обычную IT-инфраструктуру вокруг хранения активов и проведения транзакций. «В Web3-технологиях (блокчейн-инфраструктуре) есть механизмы проверки, позволяющие не допускать банальных ошибок. А вот про аудит и классическую информационную безопасность Web2-инфраструктуры (обычных серверов и внутренних IT-систем) часто забывают», — отмечает эксперт.

Универсального лимита суммы, которую можно похитить за одну атаку, нет, считает Юлия Воронова: операции на криптоплощадках проходят быстрее и проще, чем в традиционных банках, — «это тот случай, когда фича одновременно является багом». При этом для конкретной биржи предел все же задается архитектурой хранения активов, уточняет заместитель директора исследовательского центра стратегического анализа технологического развития ВШССН МГУ имени М. В. Ломоносова Тимофей Воронин. Крупные площадки распределяют средства между горячими кошельками, постоянно подключенными к интернету, теплыми, которые используются как промежуточное хранилище, и холодными, отключенными от сети. «Предел кражи — это суммарный объем горячих и теплых кошельков», — говорит эксперт. По его словам, крупнейшие игроки обычно держат онлайн лишь небольшую часть общей ликвидности, а основную — в холодных кошельках, откуда удаленно вывести средства нельзя. Если в случае Bitget было похищено $387,5 млн, это может означать, что операционный пул площадки был сопоставим с этой суммой либо злоумышленники успели вывести значительную его часть до остановки систем, считает Тимофей Воронин.

Гендиректор Bitget Грейси Чен назвала причастность северокорейских хакеров «весьма вероятной». TRM Labs также выявила связи между инфраструктурой для перемещения похищенных средств и кошельками, использовавшимися после других атак, связываемых с КНДР, однако окончательно атаку на Bitget Северной Корее пока не атрибутировала. К расследованию биржа привлекла Mandiant, входящую в Google Cloud компанию по расследованию кибератак, и специализирующуюся на блокчейн-безопасности SlowMist.

Bitget также опубликовала адреса, на которые выводились активы, и предложила вознаграждение в размере 5% от суммы средств, которые удастся заморозить или вернуть. Сам факт публичности блокчейна при этом не гарантирует раскрытия преступления, отмечает Юлия Воронова: движение средств можно отслеживать, но злоумышленники используют инструменты сокрытия следов, а высокая скорость перемещения активов дополнительно осложняет расследование. По ее словам, именно возможность быстро вывести крупные суммы делает криптоплощадки привлекательной целью для тех же киберпреступников, которые атакуют традиционные финансовые организации.

По объему похищенных средств атака на Bitget вошла в пятерку крупнейших известных взломов централизованных криптобирж. Рекорд остается за Bybit: в феврале 2025 года с площадки было похищено около $1,5 млрд, ответственность за атаку ФБР США возложило на КНДР. В 2018 году с японской Coincheck вывели криптовалюту примерно на $530 млн, а в результате взлома Mt.Gox в 2011–2014 годах — примерно на $473 млн по стоимости на тот момент.