Bitget сообщила, что по предварительным данным злоумышленник мог использовать уязвимость в стороннем защитном продукте, получить внутренние учётные данные высокого уровня и отправить поддельные команды на вывод. Система кошельков исполнила их в обход действующих проверок; компрометацию приватных ключей биржа исключает.

По последней оценке Bitget, из 12 адресов горячих и тёплых кошельков вывели активы примерно на $388 млн. Холодные кошельки не затронуты. Это стоимость переведённых из инфраструктуры биржи активов, а не подтверждённые потери клиентов: Bitget утверждает, что остатки пользователей сохранены, но независимый итоговый разбор ещё не опубликован.

После инцидента биржа изолировала затронутые системы, отозвала и перевыпустила внутренние учётные данные, добавила несколько согласований для критических операций и отключила связанную со сторонним поставщиком функцию. Название продукта и точный способ получения учётных данных не раскрыты. Mandiant и SlowMist продолжают расследование, а полный отчёт Bitget обещает выпустить на этой неделе — поэтому речь пока о предварительно установленном пути атаки, а не о финальном постмортеме.

Одновременно изменилось рабочее состояние сервиса. В сообщении Bitget, опубликованном BeInCrypto, сказано, что 29 сентября в 08:00 UTC вывод ETH открылся в Ethereum, BNB Smart Chain, Arbitrum, Base и Optimism. К 09:00 UTC биржа зафиксировала 9 674 ETH пополнений и 9 023 ETH выводов, то есть чистый приток 651 ETH; это ранние данные самой компании за первый час, а не проверка всех маршрутов под нагрузкой. Вывод USDT назначен на 30 сентября, остальных токенов, фиатных операций и P2P — на 2 октября.