2026 年 9 月 24 日 18:31（UTC），加密交易所 Bitget 的安全系统监测到异常转账，随后确认约 3.516 亿美元资产从部分热钱包与温钱包被转出，涉及 19 笔独立交易。CEO Gracy Chen 明确表示已排除私钥泄露，攻击者走的是另一条路：入侵钱包后端关键系统，伪造交易数据，再借平台自身的授权流程完成出账。交易所已将初步归因指向朝鲜黑客组织。
事件概述
- 受损范围：仅限部分热钱包与温钱包，冷钱包与绝大多数平台资产未受影响，用户余额保持准确。
- 涉及币种与链：ETH、XRP、BNB、AVAX、USDT、USDC，横跨 Ethereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BNB Smart Chain、Base 等网络。
- 处置动作：暂停提现、保留充值交易，委托 Mandiant 与 SlowMist 开展取证；自托管产品 Bitget Wallet 运行在独立基础设施上，未受波及。
- 赔付能力：用户保护基金持有逾 4.64 亿美元公开可验证资产，另有用超 10 亿美元自有资金，交易所称足以覆盖全部损失。
技术细节
Chen 的表述相对具体：攻击者没有拿到任何冷、温、热钱包的私钥，而是攻入钱包基础设施中的关键后端系统，随后篡改转账信息并触发交易所既有的授权签名工作流。用她自己的比喻，相当于有人绕过金库钥匙，直接闯入后厨伪造了一张看起来完全合规的取款单，再走正常审批窗口把钱提走。
链上分析显示，超过 1.7 亿美元资产在攻击过程中被换成 ETH，这是被盗资金归集为高流动性代币以便后续洗钱的典型手法。攻击者使用了与已知朝鲜黑客组织相关的 VPN 服务 IP，行为模式与该国既有行动高度一致。区块链分析机构 Elliptic 同样将本次事件归因于朝鲜关联组织，并指出该事件推动 2026 年朝鲜关联加密盗窃总额突破 10 亿美元。
影响评估
这是今年规模最大的加密资产盗取事件之一。它的价值不在于金额，而在于攻击路径：攻击者完全绕过了密码学保护，转而在授权链路的前置业务系统上做手脚。这意味着即便钱包私钥采用硬件模块保管、分离存储、多重签名等标准防护，只要转账信息的生成与校验环节可以被伪造，资金安全依然不成立。
对托管类业务而言，后端系统的完整性需要与私钥同等看待：转账指令的来源、格式与签名前状态都必须做独立校验，而不是默认内部系统产出的数据可信。
修复建议
- 控制热钱包余额上限，大额转账强制多方可信授权或硬件签名，不允许单一后端系统触发。
- 对转账请求实施端到端签名与来源校验，拒绝未经独立验证的授权流程输入。
- 对钱包基础设施实施网络分段，监控内部 API 的异常调用与授权流程偏离。
- 预留链上冻结与执法协作通道，缩短从发现到冻结的时间窗口。