После возобновления вывода средств капитал не снизился, а вырос. Как Bitget удалось в течение пяти дней переломить ситуацию?

Автор: WhiteRunner

В последние годы крупные инциденты безопасности на биржах были не редкостью, векторы атак постепенно смещались с горячих кошельков и систем подписи на внутренние права доступа и сторонние сервисы. По мере усложнения инфраструктуры границы защиты для бирж становились всё шире.

25 сентября биржа Bitget подверглась кибератаке, в результате которой пострадали активы примерно на 388 млн долларов США. Генеральный директор Gracy Chen позже заявила в прямом эфире, что это первый подобный инцидент безопасности за восемь лет работы платформы. Согласно опубликованному расследованию SlowMist, первая выявленная вредоносная активность была связана с уязвимостью нулевого дня в узлах стороннего продукта безопасности. Расследования Mandiant и SlowMist независимо друг от друга указывают на то, что атака прошла через взломанную стороннюю инфраструктуру безопасности и впоследствии проникла в среду кошельков Bitget.

После инцидента Bitget объявила о покрытии убытков за счёт фонда защиты пользователей. На момент происшествия фонд, учреждённый в 2022 году, хранил 5 500 BTC стоимостью свыше 464 млн долларов США. Gracy пообещала, что после использования средства фонда будут восстановлены до базового уровня в 300 млн долларов США в течение недели, как было определено при его создании в 2022 году. 30 сентября это обещание было выполнено точно в срок.

Также началось восстановление вывода средств согласно ранее опубликованному графику. 28 сентября в 16:00 первым открылся вывод BTC. После восстановления вывода ETH 29-го числа связанные с ним горячие кошельки быстро перешли от чистого оттока к притоку, и вскоре баланс даже немного превысил начальный уровень до открытия вывода. Доверие пользователей начинает возвращаться. К моменту публикации статьи вывод всех монет был полностью восстановлен.

От кражи почти 400 млн долларов до восстановления вывода и нового притока средств прошло всего несколько дней. Как именно хакеры сумели вывести активы, не скомпрометировав приватные ключи? Как фактически сработал четырёхлетний резервный фонд защиты? И что конкретно сделала Bitget, чтобы повернуть ход событий?

Как хакеры использовали уязвимость нулевого дня для взлома стороннего продукта безопасности

Особенность этой атаки заключалась в том, что приватные ключи Bitget не были скомпрометированы, холодные кошельки не были взломаны, а причиной стал не баг в смарт-контрактах. Брешью, которую нашли хакеры, оказался сторонний продукт безопасности, используемый платформой.

Согласно раскрытой информации расследования Bitget, около 02:31 по пекинскому времени 25 сентября в блокчейне были зафиксированы первые подтверждённые мелкие переводы по данному делу, вслед за которыми начались крупномасштабные перемещения активов.

Gracy в интервью изданию The Block отметила, что с 02:58 до 04:09 злоумышленники совершили 17 крупных транзакций через сети Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism и Avalanche. По мере уточнения данных Bitget окончательно подтвердила ущерб активам примерно на 388 млн долларов США.

В 03:05, примерно через семь минут после первой крупной транзакции, система сверки расчётов Bitget обнаружила явные расхождения в средствах и инициировала блокировку вывода на всей платформе; в 03:14 платформа перевела работу на максимальный уровень реагирования на инциденты. Поскольку возможность компрометации приватных ключей ещё нельзя было исключить, команда кошельков тут же перевела активы в холодное хранение и остановила услуги вывода и подписи транзакций.

Затем группа безопасности подтвердила первопричину инцидента. Согласно опубликованной схеме атаки, злоумышленники эксплуатировали неизвестную ранее уязвимость нулевого дня в стороннем продукте безопасности.

Под «уязвимостью нулевого дня» подразумевается дефект безопасности, которого разработчики и пользователи ранее не знали, и для которого нет готовых патчей. Иными словами, это новый, ранее неизвестный вектор атаки. Именно следующие события являются ключом к пониманию того, как произошли потери почти в 400 млн долларов.

Используя эту брешь, злоумышленники получили доступ к учётным данным внутренней сети через сторонний продукт безопасности, затем подделали команды на вывод средств для системы кошельков и заставили их выполнить аномальные переводы с обходом проверки рисков. Весь процесс прошёл без утечки приватных ключей и без влияния на холодные кошельки.

Позже Gracy также сообщила, что хакеры удалили часть следов после выполнения атаки, что усложнило расследование и реконструкцию событий.

После этого Bitget отключила затронутые функции стороннего сервиса, переиздала внутренние учётные данные, аннулировала и разделила высокоуровневые права доступа, а также добавила независимую верификацию для вывода средств. Mandiant и SlowMist продолжают участвовать в независимом форензик-расследовании и отслеживании движения активов.

Прямым уроком этой инцидента для индустрии стало осознание того, что границы безопасности бирж больше не ограничиваются только приватными ключами и холодными кошельками. Программы безопасности, инфраструктура кошельков и любые сторонние сервисы с доступом к ядровой системе сами могут стать точкой входа для атак.

Активация фонда защиты и восстановление вывода средств по графику

После инцидента главное испытание для любой биржи заключается в том, кто понесёт ответственность за убытки и как руководство будет работать с пользователями, успокаивая их и восстанавливая доверие.

Первым шагом Bitget активирует фонд защиты пользователей.

Этот фонд был создан в 2022 году, и его целевой объём исторически составлял 300 млн долларов США. На момент происшествия он содержал 5 500 BTC стоимостью более 464 млн долларов, чего хватило бы для полного покрытия окончательного ущерба в 388 млн долларов.

Bitget позднее официально заявило, что финансовые последствия данного инцидента будут покрыты за счёт фонда защиты, и балансы пользователей не пострадают.

Ещё до восстановления вывода BTC 28 сентября в блокчейне уже можно было заметить, как фонд защиты начал переводить активы на горячие кошельки. Цепочный аналитик Ai Yi отследил, что первоначально 2 042,28 BTC были переведены со специальных адресов фонда в горячий кошелек Bitget (Отслеживание цепочки фонда защиты Bitget).

Это один из самых показательных аспектов реакции Bitget, достойный внимания всей отрасли.

Данный фонд не был спешно объявлен как схема компенсаций после инцидента — он действовал уже четыре года. Средства аккумулировались долго, адреса кошельков были публичны, а целевой объём чётко определён; он был действительно использован лишь по факту ЧП, а затем пополнен обратно до установленной нормы.

Фонд защиты решил вопрос компенсации потерь. В этот раз убытки почти в 400 млн долларов в итоге не были возложены на пользователей. Gracy заявила, что Bitget восстановит размер фонда до минимума в 300 млн долларов в течение недели, что уже подтверждается данными цепочного мониторинга.

Кроме того, 30 сентября Bitget опубликовала 47-й отчёт Proof of Reserves (PoR): общий коэффициент резервирования составил 131% по 19 категориям активов. Коэффициенты для BTC, ETH, USDT и USDC составили соответственно 142%, 110%, 107% и 154%.

Помимо финансовых мер, особого внимания заслуживает комьюникационная стратегия Bitget в эти дни.

Gracy провела прямой эфир с сообществом продолжительностью около трёх часов, непрерывно отвечая на вопросы. Сюэ Цзяинь также постоянно обновлял информацию в социальных сетях и комьюнити. Сам факт трёхчасового эфира не так важен, как то, что руководство оставалось на виду и оперативно давало ответы в самые хаотичные дни после атаки.

Каждый из этих ключевых обращений практически всегда содержал чёткие сообщения или конкретные планы дальнейших действий.

Кто несёт убытки: быстро определили, что это сделает фонд защиты; после корректировки оценки ущерба с 351,6 млн до 388 млн долларов подробно объяснили причины изменения цифр; до выяснения точки входа хакеров не спешили называть имена атакующих или классифицировать метод; когда расследование продвинулось вперёд, начали поэтапно раскрывать детали: применение стороннего ПО, уязвимость нулевого дня, компрометированные учётные данные и поддельные команды на вывод.

Аналогичная логика применялась и к восстановлению вывода средств.

Инцидент затронул множество монет и сетей, поэтому зона проверки выходила далеко за пределы одного кошелька. Bitget не стала сразу открывать весь вывод, а делала это поэтапно: после последовательной проверки каждого кошелька, сети и подтверждения отсутствия угроз.

26 сентября платформа обнародовала детальный график: 28 сентября — возврат вывода BTC, 29 сентября — ETH и соответствующих сетей, 30 сентября — USDT и связанных сетей, остальные токены, фиатные операции и P2P-сервисы планировалось запустить 2 октября. К моменту подготовки материала было подтверждено, что всё было сделано точно в срок.

Учитывая масштаб ЧП, затрагивающего разные активы, сети, стороннее ПО и внутренние права, грамотным решением было изначально обозначить чёткий план восстановления по датам и часам, а затем последовательно его исполнить.

Фонд защиты создавался заблаговременно за четыре года и был реально задействован по факту происшествия; руководство постоянно взаимодействует с сообществом; проверенная информация публикуется своевременно, непроверенная не становится предметом скоропалительных выводов; график восстановления строго фиксируется по времени и выполняется в установленном порядке.

Эта скоординированная и профессиональная реакция во многих вызвала гораздо более позитивное отношение к Bitget.

Перелом налицо: новый чистый приток средств

После восстановления вывода ETH 29 сентября в блокчейне довольно быстро наблюдалась заметная позитивная динамика.

По данным цепочного аналитика Ai Yi, горячие кошельки Bitget, специально подготовленные для обеспечения вывода ETH, в течение получаса после возобновления операций восстановили баланс выше 30 000 ETH, превзойдя исходный уровень.

Последующие данные Bitget показали, что в первый час после восстановления вывода в сеть поступило около 9 674 ETH, а выведено — около 9 023 ETH, что обеспечило чистый приток порядка 651 ETH. Статистика за 30 сентября зафиксировала приток средств на платформу за 24 часа на сумму 231 млн долларов, что близко к среднему суточному показателю августа (245 млн долларов). Вместо опасавшегося рынком одностороннего оттока капитала наблюдается явное восстановление уверенности инвесторов.

Параллельно, чтобы отблагодарить пользователей за доверие, Bitget запустила серию стимулирующих мероприятий.

Пулы ETH PoolX предлагают приз 500 000 USDT: пользователям достаточно заблочить ETH, чтобы принять участие в распределении rewards. На раннем этапе мероприятия ожидаемая годовая доходность (APR) достигала отметки около 37,11%, однако по мере увеличения объёма участвующих средств она динамически снизилась.

Затем запустился BTC PoolX с призовым фондом 100 000 BGB, предлагающим дополнительные бонусы в зависимости от объёма BTC-позиций пользователей за предыдущие 15 дней.

В сегменте стейблкоинов параллельно стартовали программы гибкого управления капиталом для USDT и USDGO с возможностью мгновенного снятия средств: временная APR для них составила 10% и 12% соответственно. В рамках «Программы партнёров» 30% доходов от комиссий за торговлю (при условии соответствия критериям) направлялись в пользовательский приз: 60% распределялось пропорционально торговым объёмам, а 40% — по объёму активов. По официальным данным Bitget от 2 октября, первая партия выплат была успешно распределена: общим пользователям перечислено 1 907 455 USDT.

Мотивация запуска этих мероприятий понятна без лишних слов: восстановление вывода средств решило главный страх пользователей («смогу ли я вывести деньги?»), а последующие акции направлены на повторную активацию торговли, инвестирования и накопления средств.

Пользователи довольно быстро проголосовали рублём, продемонстрировав уверенность в Bitget и живой интерес к новым предложениям.

Если ещё несколько дней главным вопросом рынка было «когда заработают выплаты», то после их включения фокус сместился на «какое мероприятие даст самый высокий APR».

Это яркий сигнал начала перелома ситуации.

Для бирж самым прямым доказательством восстановления доверия пользователей является их готовность оставлять средства на платформе, имея возможность свободно вывести их в любой момент.

К чему приводит кибератака на биржу: отраслевые уроки

После инцидента на Bitget получила почти полную поддержку со стороны половины всей криптобиржевой индустрии.

Среди прочих особенно стоит отметить Bybit.

В феврале 2025 года Bybit сама столкнулась с атакой на сумму около 1,4 млрд долларов США. Примерно через пять часов после инцидента Bitget предоставила Bybit 40 000 ETH на сумму свыше 100 млн тогдашней стоимости. Эти ETH были переданы без процентов, залога или жёстких сроков возврата. Bybit впоследствии полностью вернула всю сумму в течение трёх дней.

Спустя год с лишним роли поменялись местами. Сразу после инцидента на Bitget глава Bybit Бен Чжоу публично заявил о готовности оказать помощь, особо подчеркнув: «Когда нас атаковали хакеры, Bitget помог нам». Впоследствии Bybit включила информацию о скомпрометированных средствах в систему отслеживания LazarusBounty.

Участие оказали не только представители Bybit. Эммануэль Дзаньеда (CZ) публично поддержал проект, после чего команда безопасности Binance установила с Bitget сотрудничество: обмен информацией об угрозах, совместное отслеживание украденных средств и поддержка процессов возврата активов. Глава MEXC Вугар Уси также лично связался с Bitget для выражения поддержки. За пределами самих бирж в расследовании и сборе цифровых доказательств приняли участие Mandiant и SlowMist, а Circle и Tether подключились к процедуре заморозки подозрительных активов.

Читаешь эти новости — и дух захватывает от ощущения единства.

Криптоиндустрия никогда не знала недостатка в конкурентной борьбе. Биржи дерутся за пользователей, ликвидность и долю рынка, но при столкновении с беспрецедентной киберугрозой масштаба сотен миллионов долларов они быстро объединяются для взаимопомощи.

Именно в моменты кризиса наиболее ярко видно, насколько данная платформа действительно завоевала доверие и уважение в индустрии.

Однако если сводить всё только к принципу «настоящие друзья познаются в беде», значит сильно недооценивать масштаб происходящего.

В криптоиндустрии нет единого регулирующего органа или централизованной системы страхования вкладов, однако механизмы защитных фондов, межбиржевого взаимодействия, работа профильных безопасностных компаний и технологии анализа блокчейна постепенно формируют собственную экосистему управления рисками. При этом зона обороны бирж расширяется: от горячих кошельков и систем подписи до стороннего ПО и внутренних прав доступа. Атаки становятся сложнее, и индустрии необходимо действовать сообща.

Создание защитных фондов, постфактум сохранения максимальной прозрачности и честности, а также межотраслевого сотрудничества — сегодня сложился отличный стандарт поведения в кризис. И Bitget недавно продемонстрировала этот алгоритм на практике в полной мере.

Последние два года криптоиндустрия говорила о массовой адаптации (Mass Adoption). ETF, стейблкоины, RWA и токенизированные ценные бумаги привлекают всё больше традиционного финансового капитала, а нормативно-правовая база в США постепенно формируется. Достигнув этого этапа, сектору предстоит доказать не только свою инновационность и потенциал роста, но и способность эффективно управлять рисками.

В этот раз благодаря потере в 400 млн долларов Bitget смогла показать уровень своей ответственности перед лицом кризиса. Кризисы не убивают проекты, а искренняя ответственность способна кардинально изменить восприятие платформы.

Для криптоиндустрии, делающей шаги к интеграции в мейнстрим-финансы, это аналогично обязательному экзамену. Никогда ни одна финансовая архитектура не строится на допущении «ничего плохого не случится». Когда проблема происходит по-настоящему, то, насколько хорошо система сможет компенсировать ущерб, дать внятные пояснения и быстро восстановиться, напрямую зависит от её ответственности и моральных пределов.

В конечном счёте, то, как глобальная финансовая система воспримет криптомир, будет зависеть от того, насколько грамотно он справляется с самыми тяжёлыми днями.