Incident Bitget zaznamenal 24. septembra o 18:31 UTC pri neautorizovaných prevodoch z časti hot a warm peňaženiek. Burza následne pozastavila výbery a spustila vyšetrovanie. Pôvodne odhadovala rozsah škody na približne 351,6 milióna dolárov, po započítaní ďalších transakcií vrátane sietí Zcash a TRON však sumu zvýšila na približne 387,5 milióna dolárov.
Technický obraz útoku sa postupne spresnil. Bitget tvrdí, že zraniteľnosť sa nachádzala v nemenovanom externom bezpečnostnom produkte používanom vo firemnom prostredí. Útočník cez ňu získal vysoko oprávnené interné credentials a následne vytvoril falošné pokyny, ktoré systém peňaženiek vyhodnotil ako legitímne. Burza uvádza, že samotné privátne kľúče kompromitované neboli a cold wallets, v ktorých drží väčšinu aktív, zostali nedotknuté. Tieto technické závery zatiaľ pochádzajú predovšetkým od samotného Bitgetu; nezávislá forenzná analýza stále pokračuje.
Na vyšetrovaní spolupracujú spoločnosti Mandiant a SlowMist. Bitget tvrdí, že identifikoval cestu útoku, odstránil zraniteľnosť a od incidentu nezaznamenal ďalšie neoprávnené prevody. Súbežne prebieha sledovanie odcudzených aktív a pokusy o ich zmrazenie alebo získanie späť. Burza ponúkla aj odmenu vo výške 5 % z prostriedkov, ktoré sa podarí vďaka poskytnutým informáciám zmraziť alebo obnoviť.
Výbery sa vracajú postupne. Bitcoinové výbery Bitget obnovil 28. septembra a ETH nasledovalo 29. septembra. USDT má byť podľa aktuálneho harmonogramu sprístupnené 30. septembra o 08:00 UTC na sieťach Ethereum, BSC, Solana a Tron. Ostatné kryptomeny, fiat výbery a P2P služby majú nasledovať 2. októbra. Bitget zdôrazňuje, že vklady a obchodovanie počas incidentu fungovali ďalej.
Burza zároveň tvrdí, že používateľské zostatky zostali zachované a finančný dopad incidentu kryje jej Protection Fund. Na oficiálnej stránke k incidentu Bitget uvádza hodnotu fondu vyššiu ako 464 miliónov dolárov. To je dôležité odlišovať od samotnej technickej škody: používateľské účty podľa burzy neboli priamo odpísané, no platforma prišla o aktíva zo svojej hot a warm wallet infraštruktúry.
Otázkou zostáva aj osud odcudzených stablecoinov. Pri tokenoch ako USDT alebo USDC existuje technická možnosť zmrazenia konkrétnych adries zo strany ich emitentov, ak sú splnené právne a interné podmienky. Bitget uvádza, že spolupracuje s burzami, blockchainovými projektmi a bezpečnostnými firmami na zmrazovaní a spätnom získavaní aktív, presný rozsah už zablokovaných prostriedkov sa však priebežne mení.
V niektorých kryptomenových diskusiách sa objavila aj možná severokórejská stopa. Tá však zatiaľ nie je dostatočne podložená nezávislou verejnou atribúciou. Bitget využíva pri recovery aj platformu LazarusBounty spoločnosti Bybit, samotná účasť na tomto programe však nie je dôkazom, že za útokom stojí skupina Lazarus alebo severokórejský štát. Kým Mandiant, SlowMist alebo príslušné úrady nezverejnia presvedčivejšiu atribúciu, je bezpečnejšie hovoriť o neznámom útočníkovi.
Incident patrí rozsahom medzi najväčšie kryptomenové krádeže roka 2026 a ukazuje, že slabým miestom burzy nemusia byť iba privátne kľúče. Útok môže viesť aj cez softvér a bezpečnostné vrstvy, ktoré stoja medzi internými systémami a samotnou podpisovou infraštruktúrou. Práve výsledky nezávislej forenznej analýzy budú dôležité pre posúdenie, či išlo o chybu konkrétneho dodávateľa, nesprávnu konfiguráciu alebo kombináciu viacerých zlyhaní. ⚠️ Tento článok nie je finančné poradenstvo. Pákové obchodovanie s derivátmi nesie mimoriadne vysoké riziko straty investovaného kapitálu. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.