Para: pessoas que mantêm ou negociam criptoativos na Bitget e quem administra appliances de segurança na borda de uma rede. Este artigo se baseia nos próprios avisos da Bitget e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Valor final roubado
- O produto afetado e o fornecedor
- Se existe uma correção do fornecedor
- Relatório completo da causa raiz
- Fundos congelados ou recuperados
- Nível do Fundo de Proteção
A Bitget disse em 25 de setembro que os valores podem mudar conforme mais transações forem rastreadas, e que a vulnerabilidade havia sido identificada e corrigida. Em 30 de outubro não encontramos nenhum relatório pós-incidente completo da Bitget.
O que os titulares de contas da Bitget devem fazer hoje
Verifique de onde você abre a Bitget
Use o aplicativo oficial ou um favorito que você mesmo criou. Após um grande roubo, são comuns páginas e mensagens falsas que imitam a corretora. Os avisos da Bitget dizem que as atualizações são publicadas em sua página de anúncios e em seus canais oficiais, e sua página «Is Bitget safe?» diz que as atualizações oficiais são divulgadas somente por canais verificados, então comece por aí e não por links que lhe enviarem.
Trate como falsa qualquer mensagem de recuperação ou compensação
A página «Is Bitget safe?» da Bitget diz que a Bitget nunca pedirá aos usuários que transfiram fundos nem que compartilhem senhas, chaves privadas, frases-semente ou códigos de verificação, nem sob o pretexto de recuperar ativos. Uma mensagem ou um desconhecido que ofereça «recuperar» suas moedas, «verificar» sua carteira ou pagar «compensação» é um padrão de golpe conhecido (veja O que é phishing?).
O Programa de Recompensa por Recuperação da Bitget paga 5% dos fundos congelados ou recuperados com sucesso à parte elegível cujos esforços causaram o congelamento ou a recuperação. Ele é voltado a quem rastreia fundos roubados, não a titulares de contas, e a Bitget decide a elegibilidade.
Ative a autenticação em dois fatores e defina uma senha única
A autenticação em dois fatores significa que um login exige um segundo código além da senha. Um aplicativo autenticador é preferível ao SMS (veja o guia de autenticação multifator). Um gerenciador de senhas torna prática uma senha única.
Confira seu próprio saldo e histórico e decida quanto manter lá
A Bitget diz que os saldos não foram afetados. Você pode confirmar o seu no aplicativo. Decida quanto quer manter em qualquer corretora; ativos que você não pretende negociar podem ficar em uma carteira que você controla. É uma escolha geral para qualquer corretora, não uma recomendação de mover fundos por causa deste incidente.
Ignore mensagens dizendo que seu saque está bloqueado a menos que você pague
Os saques foram pausados durante o incidente e restabelecidos em fases. Uma mensagem que agora afirme que seu saque precisa de um pagamento extra de «taxa», «desbloqueio» ou «verificação» não é da corretora.
O que aconteceu (segundo a Bitget e reportagens sobre o trabalho forense)
Os fatos abaixo vêm dos próprios avisos da Bitget de 24 e 25 de setembro e de sua página pública «Is Bitget safe?» (consultada em 30 de outubro). Quando um detalhe vem da cobertura da imprensa sobre os achados forenses, isso é indicado.
31 de agosto de 2026
Primeira atividade maliciosa ligada ao incidente, segundo a análise de logs dos investigadores noticiada pelo BleepingComputer.24 de setembro de 2026 (UTC)
Às 18h31 UTC, segundo a página «Is Bitget safe?» da Bitget, o atacante iniciou a primeira transferência não autorizada de certas carteiras quentes e mornas. Às 19h05 UTC, segundo o aviso da Bitget, seus sistemas de conciliação detectaram as transferências não autorizadas. Os saques foram suspensos temporariamente por precaução até uma revisão de segurança, enquanto depósitos e negociações continuaram. Impacto estimado: cerca de US$ 351,6 milhões.25 de setembro
A Bitget confirmou cerca de US$ 387,5 milhões enviados a endereços controlados pelo atacante, acrescentando ativos Zcash e TRON à primeira estimativa. Disse que a vulnerabilidade havia sido identificada e corrigida e lançou um Programa de Recompensa por Recuperação.28–30 de setembro
Os saques de Bitcoin foram retomados; a Bitget programou os saques de ETH para 29 de setembro, USDT para 30 de setembro, e outros tokens, moeda fiduciária e P2P a partir de 2 de outubro (BleepingComputer). Em 30 de setembro a Bitget disse que seu Fundo de Proteção voltou a ficar acima de US$ 300 milhões (segundo a Yellow).2 de outubro
A página da Bitget diz que os saques de todas as criptomoedas, moedas fiduciárias e serviços P2P foram totalmente restabelecidos.
- O que foi levado
- Cerca de US$ 387,5 milhões em ativos de parte das camadas de carteiras quentes e mornas. A Bitget lista XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX e TRX na Ethereum e outras redes EVM, XRP Ledger, Zcash e TRON
- O que não foi levado
- As carteiras frias não foram acessadas. A Bitget diz que os saldos das contas dos clientes não foram afetados
- Cobertura
- A perda se enquadra no Fundo de Proteção ao Usuário da Bitget, que segundo a Bitget tinha mais de US$ 464 milhões em 24 de setembro. Sua página agora cita US$ 314 milhões ou mais
- Causa divulgada
- Atividade maliciosa envolvendo produtos de segurança de terceiros, incluindo uma vulnerabilidade zero-day. A Bitget diz que a vulnerabilidade foi identificada e corrigida e que não são possíveis novas transferências não autorizadas
- Investigação
- Apoio forense de uma empresa de resposta a incidentes e de uma empresa de segurança blockchain, segundo a Bitget. Alguns ativos foram congelados com parceiros do setor
- Ponto de contato
- A página de anúncios da Bitget e seus canais oficiais; ela diz que as atualizações oficiais são divulgadas somente por canais verificados
Produtos de segurança de terceiros: zero-day (Bitget)
↓→
Reportagens: acesso a appliances de segurança
Ambiente que cuida das operações das carteiras
↓→
Reportagens: movimento para ele a partir dos appliances
Etapa de autorização de saques
↓→
CEO, conforme noticiado: dados falsificados a acionaram
Carteiras quentes e mornas
↓→
Cerca de US$ 387,5 milhões enviados; carteiras frias não acessadas (Bitget)
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Quando a Bitget publicar mais, atualizaremos a coluna de situação.
| Item | O que a Bitget diz | Situação |
|---|---|---|
| Valor enviado a endereços controlados pelo atacante | Cerca de US$ 387,5 milhões (primeira estimativa US$ 351,6 milhões); pode mudar enquanto o rastreamento continua | Confirmado (Bitget), pode mudar |
| Saldos das contas dos clientes | Não afetados | Não afetados (Bitget) |
| Carteiras frias | Não acessadas | Não afetadas (Bitget) |
| Cobertura da perda | Dentro do Fundo de Proteção ao Usuário | Declarado (Bitget), não auditado de forma independente |
| Tamanho do Fundo de Proteção | Mais de US$ 464 milhões em 24 de setembro; a página agora cita US$ 314 milhões ou mais e diz que o fundo foi reposto acima do nível anterior ao incidente | Declarado (Bitget); os dois valores não coincidem e não foram verificados de forma independente |
| Porta de entrada | Vulnerabilidade zero-day em produtos de segurança de terceiros | Confirmado (Bitget); produto e fornecedor sem nome |
| Correção do fornecedor | Não informada | Não divulgado |
| Saques | Pausados em 24 de setembro, restabelecidos em fases, totalmente restabelecidos em 2 de outubro | Confirmado (página da Bitget) |
| Dados pessoais de clientes | Não listados como afetados nos avisos | Não listados |
| Relatório completo da causa raiz | Não publicado até 30 de outubro | Sob investigação |
| Fundos congelados ou recuperados | Alguns ativos congelados com parceiros; nenhum total publicado | Sob investigação |
Como ler isto: «coberto» é uma declaração da empresa, e os valores do fundo não coincidem
A declaração de cobertura e os valores do Fundo de Proteção vêm da própria Bitget e não foram verificados de forma independente. A Bitget diz que o fundo foi reposto acima do nível anterior ao incidente, mas cita agora US$ 314 milhões ou mais contra mais de US$ 464 milhões em 24 de setembro. Citamos os dois como declarados e não os conciliamos. Os dois horários da cronologia são eventos diferentes: a primeira transferência não autorizada (18h31 UTC) e sua detecção (19h05 UTC). Se um número importa para você, confira a página atual da Bitget.
O que um roubo das carteiras da própria corretora significa para você
Em geral, um roubo das carteiras da própria corretora é diferente de um vazamento de dados de clientes. Os saldos dos titulares são registros dentro da corretora, então os clientes perderem algo depende de a corretora cobrir a perda. A Bitget diz que cobre. Os dados pessoais dos clientes não estão listados como afetados, então o risco posterior habitual não são senhas roubadas, mas mensagens de golpe que usam a notícia.
Mensagens de golpe costumam seguir grandes roubos: falsos sites de «compensação», falsos atendentes e alegações de que seus fundos estão congelados. Não estamos dizendo que algo disso aconteceu aqui. Os passos acima tratam desses golpes.
Para equipes de segurança: o que os fatos divulgados dizem
A Bitget disse que a porta de entrada foi um zero-day em produtos de segurança de terceiros. Reportagens sobre os achados forenses descrevem acesso a appliances de segurança, seguido de movimento para o ambiente que cuida das operações das carteiras. O produto e o fornecedor não foram nomeados e a causa completa não foi publicada, então extraímos apenas o que os fatos divulgados sustentam.
O produto que protege a rede pode ser, ele mesmo, a porta de entrada. Trate os appliances de segurança como servidores expostos à internet: mantenha uma lista deles, verifique quais interfaces de administração são acessíveis pela internet, aplique as correções rapidamente quando o fornecedor as emitir e observe arquivos inesperados ou conexões de saída no próprio appliance. Orientação relacionada: como defender VPNs e dispositivos de borda e vulnerabilidades de dispositivos de borda exploradas em outubro de 2026.
Sistemas que aprovam movimentação de dinheiro precisam de verificações próprias. O CEO da Bitget disse, conforme noticiado, que dados foram falsificados para acionar a etapa de autorização. Um controle que o sistema vizinho não consiga alimentar com dados falsos, por exemplo uma confirmação independente de saques grandes, limita o que um único sistema comprometido pode fazer. Não avaliamos os controles da própria Bitget.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre técnicas não divulgadas nem sobre quem foi o responsável.
- Bitget, aviso de segurança sobre o incidente da carteira quente de 24 de setembro (24 de setembro de 2026) — bitget.com
- Bitget, «Security Latest Incident Update: Fund Tracing and Recovery Bounty Program» (25 de setembro de 2026) — bitget.com
- Bitget, página de resumo do incidente «Is Bitget safe?» (consultada em 30 de outubro de 2026) — bitget.com
- BleepingComputer, «Bitget hacked via zero-day in third-party security products» (30 de setembro de 2026) — bleepingcomputer.com
- BleepingComputer, «Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist» (28 de setembro de 2026) — bleepingcomputer.com
- Yellow, «Bitget Restores Protection Fund Above $300M As Withdrawals Resume» (1.º de outubro de 2026) — yellow.com
Histórico de atualizações
2026-10-30: Primeira versão, com base nos avisos da Bitget de 24 e 25 de setembro, em sua página de resumo do incidente (consultada em 30 de outubro) e na cobertura da imprensa sobre os achados forenses. Atualizaremos este artigo se a Bitget publicar um relatório de causa raiz, um valor final ou a correção do fornecedor afetado.
Leia em seguida
- Dispositivos de borda como porta de entrada: Vulnerabilidades de dispositivos de borda exploradas, outubro de 2026 / Como defender VPNs e dispositivos de borda
- Contas: Guia de autenticação multifator / Guia de gerenciadores de senhas
- Golpes: O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026