Для: людей, которые держат или торгуют криптоактивами на Bitget, и всех, кто эксплуатирует устройства безопасности на границе сети. Статья основана на собственных уведомлениях Bitget и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 30 октября 2026 годаПока неизвестно
- Окончательная сумма похищенного
- Затронутый продукт и вендор
- Существует ли исправление от вендора
- Полный отчет о первопричине
- Замороженные или возвращенные средства
- Размер Фонда защиты
Bitget сообщила 25 сентября, что цифры могут измениться по мере отслеживания транзакций и что уязвимость была выявлена и устранена. По состоянию на 30 октября мы не нашли полного послеинцидентного отчета Bitget.
Что владельцам аккаунтов Bitget сделать сегодня
Проверьте, откуда вы открываете Bitget
Используйте официальное приложение или закладку, созданную вами самостоятельно. После крупной кражи часто появляются поддельные страницы и сообщения, имитирующие биржу. В уведомлениях Bitget сказано, что обновления публикуются на ее странице объявлений и в официальных каналах, а страница «Is Bitget safe?» говорит, что официальные обновления публикуются только через проверенные каналы, поэтому начинайте оттуда, а не со ссылок, присланных вам.
Считайте любое сообщение о возврате или компенсации поддельным
Страница Bitget «Is Bitget safe?» говорит, что Bitget никогда не просит пользователей переводить средства или сообщать пароли, закрытые ключи, сид-фразы или коды подтверждения, в том числе под предлогом возврата активов. Сообщение или незнакомец, предлагающий «вернуть» ваши монеты, «проверить» ваш кошелек или выплатить «компенсацию», — известная схема мошенничества (см. Что такое фишинг?).
Программа вознаграждения Bitget за возврат выплачивает 5% от успешно замороженных или возвращенных средств правомочной стороне, чьи усилия привели к замораживанию или возврату. Она рассчитана на тех, кто отслеживает украденные средства, а не на владельцев аккаунтов, и право на выплату определяет Bitget.
Включите двухфакторную аутентификацию и задайте уникальный пароль
Двухфакторная аутентификация означает, что для входа нужен второй код помимо пароля. Приложение-аутентификатор предпочтительнее SMS (см. руководство по многофакторной аутентификации). Менеджер паролей делает уникальный пароль практичным.
Проверьте свой баланс и историю, затем решите, сколько там держать
Bitget говорит, что балансы не затронуты. Свой баланс можно проверить в приложении. Решите, сколько вы хотите держать на любой бирже; активы, которые вы не планируете торговать, можно хранить в кошельке под вашим контролем. Это общий выбор для любой биржи, а не рекомендация переводить средства из-за этого инцидента.
Игнорируйте сообщения о том, что ваш вывод заблокирован, пока вы не заплатите
Вывод средств был приостановлен во время инцидента и восстановлен поэтапно. Сообщение, которое теперь утверждает, что для вашего вывода нужен дополнительный платеж в виде «комиссии», «разблокировки» или «проверки», исходит не от биржи.
Что произошло (по данным Bitget и публикациям прессы о криминалистической работе)
Приведенные ниже факты взяты из собственных уведомлений Bitget от 24 и 25 сентября и ее публичной страницы «Is Bitget safe?» (проверено 30 октября). Там, где деталь взята из публикаций прессы о результатах криминалистической экспертизы, это отмечено.
31 августа 2026
Самая ранняя вредоносная активность, связанная с инцидентом, по анализу журналов следователями, о чем сообщает BleepingComputer.24 сентября 2026 (UTC)
В 18:31 UTC, по данным страницы Bitget «Is Bitget safe?», злоумышленник начал первый несанкционированный перевод из ряда горячих и теплых кошельков. В 19:05 UTC, по уведомлению Bitget, ее системы сверки обнаружили несанкционированные переводы. Вывод средств был временно приостановлен в качестве меры предосторожности до завершения проверки безопасности, а ввод и торговля продолжались. Оценка ущерба: около 351,6 млн долларов США.25 сентября
Bitget подтвердила, что около 387,5 млн долларов США отправлено на адреса, контролируемые злоумышленником, добавив к первой оценке активы Zcash и TRON. Она сообщила, что уязвимость выявлена и устранена, и запустила программу вознаграждения за возврат.28–30 сентября
Возобновлен вывод биткоина; Bitget запланировала вывод ETH на 29 сентября, USDT — на 30 сентября, а других токенов, фиатных валют и P2P — с 2 октября (BleepingComputer). 30 сентября Bitget сообщила, что ее Фонд защиты снова превысил 300 млн долларов США (по сообщению Yellow).2 октября
На странице Bitget сказано, что вывод всех криптовалют, фиатных валют и услуг P2P полностью восстановлен.
- Что было похищено
- Около 387,5 млн долларов США в активах из части уровней горячих и теплых кошельков. Bitget перечисляет XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX и TRX в сетях Ethereum и других EVM, XRP Ledger, Zcash и TRON
- Что не было похищено
- К холодным кошелькам доступа не было. Bitget говорит, что балансы клиентских аккаунтов не затронуты
- Покрытие
- Потери укладываются в Фонд защиты пользователей Bitget, в котором, по словам Bitget, 24 сентября было более 464 млн долларов США. Ее страница сейчас указывает 314 млн долларов США и более
- Причина по раскрытым данным
- Вредоносная активность, связанная со сторонними продуктами безопасности, включая zero-day-уязвимость. Bitget говорит, что уязвимость выявлена и устранена и что дальнейшие несанкционированные переводы невозможны
- Расследование
- По данным Bitget, криминалистическая помощь от компании по реагированию на инциденты и компании по безопасности блокчейна. Часть активов заморожена вместе с партнерами по отрасли
- Контактная точка
- Страница объявлений Bitget и официальные каналы; она говорит, что официальные обновления публикуются только через проверенные каналы
Сторонние продукты безопасности: zero-day (Bitget)
↓→
Публикации прессы: доступ к устройствам безопасности
Среда, обрабатывающая операции с кошельками
↓→
Публикации прессы: переход в нее с устройств
Этап авторизации вывода
↓→
Генеральный директор, по сообщениям: его запустили поддельные данные
Горячие и теплые кошельки
↓→
Выведено около 387,5 млн долларов США; к холодным кошелькам доступа не было (Bitget)
Что известно и что неизвестно
По состоянию на 30 октября 2026 года. Когда Bitget опубликует новые сведения, мы обновим столбец статуса.
| Пункт | Что говорит Bitget | Статус |
|---|---|---|
| Сумма, отправленная на адреса злоумышленника | Около 387,5 млн долларов США (первая оценка — 351,6 млн долларов США); может измениться по мере отслеживания | Подтверждено (Bitget), может измениться |
| Балансы клиентских аккаунтов | Не затронуты | Не затронуты (Bitget) |
| Холодные кошельки | Доступа не было | Не затронуты (Bitget) |
| Покрытие потерь | В рамках Фонда защиты пользователей | Заявлено (Bitget), независимый аудит не проводился |
| Размер Фонда защиты | Более 464 млн долларов США на 24 сентября; страница сейчас указывает 314 млн долларов США и более и говорит, что фонд пополнен выше уровня до инцидента | Заявлено (Bitget); две цифры не совпадают и независимо не проверены |
| Точка входа | Zero-day-уязвимость в сторонних продуктах безопасности | Подтверждено (Bitget); продукт и вендор не названы |
| Исправление от вендора | Не указано | Не раскрыто |
| Вывод средств | Приостановлен 24 сентября, восстановлен поэтапно, полностью восстановлен 2 октября | Подтверждено (страница Bitget) |
| Персональные данные клиентов | В уведомлениях не указаны как затронутые | Не указаны |
| Полный отчет о первопричине | Не опубликован по состоянию на 30 октября | Расследуется |
| Замороженные или возвращенные средства | Часть активов заморожена с партнерами; общая сумма не опубликована | Расследуется |
Как читать: «покрыто» — это заявление компании, а цифры фонда не совпадают
Заявление о покрытии и цифры Фонда защиты исходят от самой Bitget и независимо не проверены. Bitget говорит, что фонд пополнен выше уровня до инцидента, но сейчас указывает 314 млн долларов США и более против более чем 464 млн долларов США на 24 сентября. Мы приводим обе цифры как заявлены и не пытаемся их согласовать. Два момента времени в хронологии — разные события: первый несанкционированный перевод (18:31 UTC) и его обнаружение (19:05 UTC). Если число имеет для вас значение, проверьте актуальную страницу Bitget.
Что означает кража из собственных кошельков биржи для вас
В общем случае кража из собственных кошельков биржи отличается от утечки данных клиентов. Балансы владельцев аккаунтов — это записи внутри биржи, поэтому то, потеряют ли клиенты что-либо, зависит от того, покрывает ли биржа убыток. Bitget говорит, что покрывает. Персональные данные клиентов в числе затронутых не названы, поэтому обычный сопутствующий риск — не украденные пароли, а мошеннические сообщения, использующие эту новость.
После крупных краж обычно следуют мошеннические сообщения: поддельные сайты «компенсации», самозванцы из поддержки и утверждения о том, что ваши средства заморожены. Мы не утверждаем, что что-либо из этого произошло здесь. Описанные выше шаги касаются именно такого мошенничества.
Командам безопасности: что говорят раскрытые факты
Bitget сообщила, что точкой входа стал zero-day в сторонних продуктах безопасности. В публикациях прессы о результатах криминалистической экспертизы описан доступ к устройствам безопасности с последующим переходом в среду, обрабатывающую операции с кошельками. Продукт и вендор не названы, а полная причина не опубликована, поэтому мы делаем только те выводы, которые подтверждаются раскрытыми фактами.
Продукт, охраняющий сеть, сам может оказаться входом. Относитесь к устройствам безопасности как к серверам, доступным из интернета: ведите их список, проверяйте, какие интерфейсы управления доступны из интернета, быстро применяйте исправления, как только вендор их выпустит, и следите за неожиданными файлами или исходящими соединениями на самом устройстве. Смежные материалы: защита VPN и пограничных устройств и уязвимости пограничных устройств, эксплуатировавшиеся в октябре 2026 года.
Системам, одобряющим перемещение денег, нужны собственные проверки. Генеральный директор Bitget, по сообщениям, сказал, что поддельные данные запустили этап авторизации. Контроль, в который соседняя система не может подставить ложные данные, например независимое подтверждение крупных выводов, ограничивает то, что может сделать одна скомпрометированная система. Мы не оцениваем собственные меры контроля Bitget.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Мы не гадаем о нераскрытых методах и о том, кто несет ответственность.
- Bitget, уведомление о безопасности об инциденте с горячим кошельком 24 сентября (24 сентября 2026) — bitget.com
- Bitget, «Security Latest Incident Update: Fund Tracing and Recovery Bounty Program» (25 сентября 2026) — bitget.com
- Bitget, страница с кратким описанием инцидента «Is Bitget safe?» (проверено 30 октября 2026) — bitget.com
- BleepingComputer, «Bitget hacked via zero-day in third-party security products» (30 сентября 2026) — bleepingcomputer.com
- BleepingComputer, «Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist» (28 сентября 2026) — bleepingcomputer.com
- Yellow, «Bitget Restores Protection Fund Above $300M As Withdrawals Resume» (1 октября 2026) — yellow.com
История обновлений
2026-10-30: Первая версия, основанная на уведомлениях Bitget от 24 и 25 сентября, ее странице с кратким описанием инцидента (проверена 30 октября) и публикациях прессы о результатах криминалистической экспертизы. Мы обновим статью, если Bitget опубликует отчет о первопричине, окончательную сумму или исправление от затронутого вендора.
Читайте далее
- Пограничные устройства как точка входа: Эксплуатируемые уязвимости пограничных устройств, октябрь 2026 / Защита VPN и пограничных устройств
- Аккаунты: Руководство по многофакторной аутентификации / Руководство по менеджерам паролей
- Мошенничество: Что такое фишинг?
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года