Bitget bị đánh cắp đột ngột vào sáng sớm: Tóm tắt thời gian, chính thức cho biết khoảng 351,6 triệu USD bị ảnh hưởng

Biên tập: Ngô Thuyết Blockchain, Grok, v.v.

Sàn giao dịch tiền điện tử Bitget vào lúc 02:31 ngày 25 tháng 9 đã xác nhận xảy ra chuyển khoản không được ủy quyền từ ví nóng. CEO Gracy Chen cho biết, hệ thống an ninh đã phát hiện một số ví nóng có dấu hiệu chuyển tiền bất thường, ước tính số tiền bị ảnh hưởng khoảng 351.6 triệu USD. Chính thức cho biết ví lạnh vẫn an toàn, số dư tài khoản người dùng không bị thay đổi, thiệt hại có thể được quỹ bảo vệ người dùng trên 464 triệu USD bù đắp. Nền tảng đã tạm ngừng rút tiền, nạp tiền và giao dịch vẫn mở, và hứa hẹn sẽ phát hành báo cáo sự cố đầy đủ có phân tích nguyên nhân trước 05:30 ngày 26 tháng 9.

Trước khi có thông báo chính thức, các nhà phân tích trên chuỗi đã quan sát thấy ví có nhãn Bitget chuyển khoảng 178 triệu đến 190 triệu USD tài sản sang địa chỉ mới. Hai con số này hiện đang tồn tại song song: 351.6 triệu USD là số liệu nội bộ của sàn giao dịch, khoảng 180 triệu USD là thống kê trên chuỗi từ địa chỉ có nhãn công khai.

Sự bất thường trên chuỗi trùng khớp với thời gian phát hiện của chính thức. Unchained ghi nhận khoảng thời gian rút tiền từ 02:31 đến 04:55 ngày 25 tháng 9. Trong khoảng thời gian này, một địa chỉ mới đã rút khoảng 19.67 triệu USDT từ địa chỉ có nhãn ví nóng Bitget, trong khoảng 6 phút trên Arbitrum đã đổi thành khoảng 7111 ETH qua UniswapX và 1inch Fusion, giá giao dịch cao hơn giá thị trường khoảng 5%. Nhà quan sát trên chuỗi DCF GOD là người đầu tiên chỉ ra giao dịch này. Stablecoin có khả năng bị phát hành đóng băng, việc đổi sang ETH sẽ khó bị chặn hơn.

Sau đó, nhiều ví có nhãn Bitget đã chuyển ETH, USDT, USDC, AVAX, BNB và XAUT vào cùng một địa chỉ mới 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee. Etherscan sau đó đã đánh dấu nó là Bitget Exploiter 1. Tiền sau đó được chuyển đến các địa chỉ khác và xuất hiện cầu nối chuỗi chéo. Unchained cũng ghi nhận, trong khoảng 30 phút, cùng một địa chỉ đã nhận khoảng 34.75 triệu USDT, 12.85 triệu USDC và 3000 XAUT; sau đó khoảng 1 giờ lại nhận khoảng 24373 ETH từ nhiều địa chỉ có nhãn khác. Vào lúc 04:55 vẫn có một giao dịch chuyển từ Avalanche.

Vào lúc 04:24, nhà phân tích Emmett Gallic từ Arkham Intelligence đã đăng bài, báo cáo khoảng 178 triệu USD, cập nhật vào lúc 04:35 lên khoảng 183 triệu USD và cho biết liên quan đến 3 ví nóng và 1 địa chỉ ví lạnh, thu thập đa chuỗi. Ở đây "ví lạnh" đến từ nhãn của trình duyệt và nhà phân tích, không tự động tương đương với phân loại ba cấp nóng, ấm, lạnh nội bộ của chính thức. Vào lúc 05:06, Bubblemaps phát đi cảnh báo, cho biết tổng cộng khoảng 180 triệu USD đã được chuyển vào cùng một địa chỉ, cập nhật vào lúc 05:33 lên khoảng 190 triệu USD. CryptoSlate trích dẫn thống kê của họ cho biết, 15 giao dịch liên quan đến gần 192 triệu USD, bảy loại tài sản, trong đó ETH chiếm khoảng 44.4%.

Vào lúc 05:30, Gracy Chen đã công bố thông báo an toàn đầy đủ trên X, trang web chính thức cũng đăng thông báo. Chính thức xác nhận số tiền bị ảnh hưởng khoảng 351.6 triệu USD, nhấn mạnh rằng lần này chỉ ảnh hưởng đến một phần ví nóng và ví ấm, ví lạnh hoàn toàn an toàn; số dư tài khoản người dùng chính xác, nạp tiền và giao dịch diễn ra bình thường, rút tiền tạm ngừng như một biện pháp phòng ngừa. Bitget cho biết đã khởi động nhóm khẩn cấp trong vài phút sau khi phát hiện, đánh dấu và báo cáo địa chỉ bất thường, đồng thời thông báo cho cơ quan thực thi pháp luật và công ty an ninh chuỗi. Chính thức đã rõ ràng rằng, trước khi hoàn thành điều tra sẽ không đưa ra suy đoán về đường tấn công, và sẽ cập nhật tiến trình mỗi giờ qua kênh chính thức.

Nếu 351.6 triệu USD cuối cùng được xác thực, Bitget sẽ đứng ở vị trí cao trong lịch sử các sàn giao dịch tập trung bị đánh cắp, nhưng vẫn rõ ràng nhỏ hơn số tiền bị đánh cắp của Bybit vào tháng 2 năm 2025.

Khi đó, ví lạnh Ethereum của Bybit đã bị đánh cắp khoảng 400,000 ETH trong quá trình điều chuyển định kỳ, trị giá khoảng 1.4 đến 1.5 tỷ USD, là vụ đánh cắp lớn nhất trong lịch sử các sàn giao dịch. Cuộc điều tra sau đó chỉ ra rằng giao diện của ví đa chữ ký Safe đã bị cài đặt mã độc định hướng, người ký trên giao diện thấy là giao dịch chuyển tiền bình thường, nhưng thực tế ký là giao dịch thay thế hợp đồng thực hiện, do đó quyền kiểm soát ví lạnh đã bị chuyển giao. Cục Điều tra Liên bang Mỹ và các cơ quan khác sau đó đã quy kết cuộc tấn công này vào nhóm Lazarus của Triều Tiên. Bybit đã sử dụng quỹ riêng để bù đắp, sau đó hoạt động bình thường, tài sản của người dùng không bị ảnh hưởng.

Sau khi ví lạnh của Bybit bị đánh cắp vào tháng 2 năm 2025, Bitget đã là một trong những sàn giao dịch đầu tiên công khai đưa tay ra giúp đỡ, nền tảng đã chuyển 40,000 ETH bằng quỹ riêng cho Bybit, trị giá khoảng 1.05 đến 1.06 triệu USD, để giảm bớt áp lực rút tiền. Khoản vay này không có tài sản đảm bảo, không lãi suất, không thời hạn hoàn trả cố định, CEO Bybit Ben Zhou sau đó đã nói trong một cuộc phỏng vấn rằng, Bitget là đơn vị đầu tiên giúp đỡ, thậm chí không ký hợp đồng. Bitget cũng đã chặn các địa chỉ liên quan và cho biết có thể tiếp tục cung cấp hỗ trợ. Khoảng ba ngày sau, Lookonchain đã phát hiện Bybit đã chuyển 40,000 ETH trở lại, Gracy đã đăng bài xác nhận đã nhận lại.

Trong lịch sử các sàn giao dịch tập trung bị đánh cắp, lý do phổ biến nhất trong các cuộc tổng kết công khai là khóa riêng của ví nóng hoặc quyền ký đã bị lấy được. Coincheck năm 2018 khoảng 530 triệu USD, KuCoin năm 2020 khoảng 280 triệu USD, Bitmart năm 2021 khoảng 150 triệu USD, đều chỉ ra rằng khóa của ví nóng kết nối đã bị mất. Một loại khác là quyền kiểm soát đa chữ ký và giao diện ký đã bị vượt qua: Bitfinex năm 2016 liên quan đến giải pháp đa chữ ký lúc đó; WazirX năm 2024 xuất hiện quyền kiểm soát đa chữ ký bị thay đổi; Bybit bị đánh cắp vào tháng 2 năm 2025, v.v. Ngoài ra còn có sự mất mát trong chuỗi cung ứng và quy trình vận hành, như thiết bị của người ký, nhà cung cấp dịch vụ ví hoặc quyền nội bộ bị lợi dụng.

Tính đến thời điểm viết bài, Bitget cho biết sẽ theo dõi tiến trình điều tra mỗi giờ, đường tấn công cụ thể (như có liên quan đến rò rỉ khóa riêng hoặc lỗ hổng giao diện) vẫn đang chờ báo cáo đầy đủ của chính thức công bố.