导语：Bitget 已确认，9 月 24 日发生的安全事件损失扩大至 3.875 亿美元。攻击者疑似通过伪造交易数据触发交易所授权流程，从部分热钱包和温钱包转走资产。目前提款仍暂停，公司称保护基金覆盖损失，Mandiant 与 SlowMist 正在调查。
事件时间线
Bitget 表示，其安全系统在 UTC 18:31 检测到未授权转账，并在数分钟内启动应急程序。受影响范围包括部分热钱包和温钱包，离线冷钱包未受影响。不过，检测时间并不等于攻击者首次入侵时间。
UTC 19:57，分析师 DCF GOD 标记一个新钱包在六分钟内花费 1967 万美元 USDT0 买入 7,111 枚 ETH，据称成交价较市价高出最多 5%。UTC 21:06，Bubblemaps 报告约 1.8 亿美元从 Bitget 钱包转入一个共同接收地址，随后被分散至多个钱包。
授权流程疑似被利用
UTC 21:30，Gracy Chen 的安全通知将初步损失定为 3.516 亿美元，并确认提款已暂停。该通知距 Bitget 所述检测时间近三小时，但这并不证明资金在整个时段持续流出。
到 9 月 25 日 UTC 00:43，疑似作案手法更清晰。Chen 表示，攻击者攻陷了一个管理钱包操作的关键后台系统。他们据称提供虚假交易数据并触发 Bitget 的授权流程，使交易所自身系统批准了欺诈性转账。私钥被盗已据报被排除。攻击者如何进入后台、哪些安全检查失效，仍未有答案。
损失扩大与调查进展
9 月 25 日 UTC 14:03，Bitget 在纳入受影响的 Zcash 和 TRON 资产后，将估计损失上修至 3.875 亿美元。交易所称漏洞已修复，并承诺在 9 月 26 日 UTC 04:00 前公布提款计划，但未承诺届时恢复提款。
所谓朝鲜关联目前仍只是怀疑。Chen 提到，IP 行为和链上活动与朝鲜相关团伙一致。若干细节与 2025 年 2 月 Bybit 被盗事件相似，包括操纵审批、快速资产转换、钱包拆分和使用 THORChain。这些相似点值得进一步调查，但不能独立确认攻击者身份。
眼下，这起 Bitget 黑客事件在 3.875 亿美元损失背后仍留下最大疑问：攻击者究竟如何进入后台系统，并说服其授权流程批准这起盗窃。