2026 年 9 月 24 日 18:31 UTC（北京时间 9 月 25 日凌晨 2:31），Bitget 安全系统监测到部分热钱包出现异常转账。黑客没有偷私钥、没有破冷钱包，而是入侵了钱包服务的后台系统，伪造转账数据、直接调用官方授权签名流程把钱转走。官方最初确认损失约 3.516 亿美元，9 月 25 日晚些时候上调至 3.875 亿美元——2026 年迄今最大单笔交易所被盗案。CEO Gracy Chen 承诺全部损失由规模超 4.64 亿美元的用户保护基金覆盖，用户账户余额不受影响。
⚡ 速览
| 事发时间 | 2026-09-24 18:31 UTC |
| 损失金额 | 初报 3.516 亿美元 → 上调至 3.875 亿美元 |
| 攻击入口 | 第三方软件供应链后门 → 钱包后台系统 → 伪造授权签名 |
| 私钥/冷钱包 | 未泄露、未受影响（官方明示） |
| 归因方向 | 疑似朝鲜系黑客（Lazarus / TraderTraitor 线索），初步证据，非定论 |
| 用户资金安全 | 保护基金 4.64 亿美元 > 损失，官方承诺全额覆盖 |
| 提币状态 | 分阶段恢复中：BTC 9/28、ETH 系 9/29、USDT 9/30、其他+法币 10/2（均 16:00 北京时间）；P2P 与其余全部冻结资产 10/2 08:00 UTC 一并解冻 |
| 保护基金现状 | 曾跌破 2 亿 → 09-30 回补至 3.09 亿美元（持币 3,705 枚 BTC，比事发前少 1,795 枚） |
| 赔付细则 | 官方称「条款将另行公布」，用户实际如何赔付、赔付比例与顺序均未明示 |
🧭 事件时间线
- 09-24 18:31 UTC — Bitget 安全系统告警：部分热钱包出现未授权转账。
- 18:31 后数分钟内 — Arkham Intelligence 公开标记异常流出，首批被盯上的资产是 AVAX、BNB、ETH 和稳定币。
- ~19:00–20:00 UTC — 资金从一汇集地址向外分发，链上监测账号 0xNox 记录到约 1.63 亿美元在一小时内流出。
- 21:30 UTC — CEO Gracy Chen 发布安全通告，确认事件、冻结提币。
- 21:34 UTC — @bitget 官方账号发 SECURITY NOTICE，称「部分热钱包未授权转账」。
- 09-25 01:08 UTC — Lookonchain 汇总链上数据：受损资产合计约 3.569 亿美元，并发现黑客已把 EVM 链上大部分资产兑换成 67,982 枚 ETH（约 1.83 亿美元）。
- 09-25 白天 — Gracy Chen 披露初步调查结论：攻击者入侵了连接钱包基础设施的后台系统，通过授权流程提交了伪造的转账数据；可以排除私钥泄露；部分 IP 与朝鲜黑客组织常用 VPN 服务高度吻合。
- 09-25 晚 — Bitget 将确认损失从 3.516 亿上调至 3.875 亿美元，提币恢复方案承诺 9 月 26 日前公布；完整事件报告在调查中。
- 09-26 04:00 UTC — 官方按承诺时点公布提款恢复安排（@bitget 公告）：漏洞已识别并修复；独立安全公司 Mandiant 与 SlowMist 介入调查；官方明示「事件已得到控制，不会再出现未经授权的转账行为」，交易与存款全程正常，用户无需任何操作。
🚪 提款恢复时间表（09-26 官方公告）
| 恢复时间（北京时间，UTC+8） | 资产 / 网络 |
|---|---|
| 9 月 28 日 16:00 | BTC（比特币网络） |
| 9 月 29 日 16:00 | ETH（以太坊、BSC、Arbitrum、Base、Optimism） |
| 9 月 30 日 16:00 | USDT（以太坊、BSC、Solana、Tron） |
| 10 月 2 日 16:00 | 其他代币、法定货币、P2P 交易 |
官方口径：暂停提款是安全防护措施，与用户资产可用性无关；账户余额不受影响，应急基金足以承担本次事件的财务影响。目标是在「尽可能快速且安全」的前提下恢复所有支持网络的提款服务，提款是否可用将直接体现在平台内，建议关注官方渠道。
09-30 补充：Gracy Chen 明确 P2P 提款与其余全部仍冻结资产于 10 月 2 日（周五）08:00 UTC（北京时间 16:00）一并恢复，BTC、ETH、USDT 提款当时已在处理中。表中的 10/2 一行是最后一批，覆盖范围为「其他代币、法定货币、P2P 交易」全部。
💰 被盗资产明细：跨 7 条链，XRP 占大头
这次被盗资产横跨 Ethereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BNB Chain、Base 共 7 条网络，是早期报道普遍低估总额的原因——EVM 系链上工具根本看不到 XRP Ledger 的部分。Lookonchain 的明细汇总（合计约 3.569 亿美元）：
| 资产 | 数量 | 约合美元 |
|---|---|---|
| XRP | 1.029 亿枚 | 1.575 亿 |
| ETH | 31,890 枚 | 8,575 万 |
| USDT | 3,475 万枚 | 3,475 万 |
| USDC | 2,105 万枚 | 2,105 万 |
| USDT0 | 1,967 万枚 | 1,967 万 |
| XAUt（黄金代币） | 3,000 枚 | 1,282 万 |
| BNB | 12,719 枚 | 988 万 |
| AVAX | 82.1 万枚 | 838 万 |
| TRX | 约 2,059 万枚 | 707 万 |
注意三个口径的差异：Bitget 官方初报 3.516 亿，Lookonchain 链上逐项汇总约 3.569 亿，9 月 25 日晚官方上调至 3.875 亿。随着调查继续，最终数字仍可能变动。
🎯 攻击手法：私钥没丢，为什么钱还是没了
这是本次事件最关键的认知冲击。官方初步结论（Gracy Chen 9 月 25 日 X 帖，原文引用）：
黑客入侵了钱包服务的一个关键后台系统，并利用该系统伪造转账信息、调用授权签名流程，将资金转出。可以排除私钥泄漏的情况。
拆解成链条是：
- 供应链入口：黑客在 Bitget 日常使用的第三方软件工具中植入后门（服务器管理工具、日志分析、CI/CD 流水线这类东西的其中一环——具体是哪个，官方报告未公布）。
- 控制后台：通过被植入后门的合法通道进入钱包服务的关键后端系统。
- 伪造指令：不碰私钥本身，而是伪造转账请求，让正常的授权签名流程「以为」这是合法提币，直接签字放行。
- 多链同时搬：一小时内跨多条链转走资产，提高追踪和冻结难度。
这和 2025 年 2 月 Bybit 被盗 14 亿美元是同一族手法——都不是偷钥匙，而是骗签名。区别在于：Bybit 案是篡改了 Safe 多签钱包的前端界面让签署者看到假内容；Bitget 案更进一层，后门直接埋在后端系统里，连前端确认环节都绕过了。用 WEB3AI 频道复盘里的话说：过去大家默认「私钥安全 = 资产安全」，这次事件彻底打破了这个等式——平台的安全防线在签名授权层形同虚设。
三层钱包架构也没能完全挡住：Bitget 的热钱包（联网高频）、温钱包（过渡层）、冷钱包（离线）分层设计里，冷钱包这次完好无损，但温钱包这个过渡地带成了突破口——它外观接近冷钱包的安全级别，实际却连着线上授权链路。冷热之间的灰色地带，恰恰是攻击面。
🕵️ 归因：朝鲜线索到哪一步了
把所有「疑似」证据按强度排列，注意区分官方明示与第三方推断：
- Bitget 官方（明示）：初步调查显示部分 IP 地址与朝鲜黑客组织常用的 VPN 服务高度吻合，攻击套路相似。官方表述是「没有排除可能性」，不是定论。
- 链上分析（第三方推断）：分析师 Specter 发现本次被盗的 XRP 经跨链桥转移后，可以直接关联到 2026 年 7 月 AFX 交易所被盗 2,400 万美元案的资金——那起案件已被归因于朝鲜系组织 TraderTraitor。
- 手法指纹（行业共识）：伪造授权签名绕过私钥，是 Lazarus Group 的招牌动作，2025 年 Bybit 14 亿美元大案（FBI 已正式归因朝鲜）用的就是同族手法。
CNBC 以「Bitget suspects North Korea」为标题报道，但严格讲：目前是「疑似 + 多条间接线索」，最终的法律级归因要等执法部门和链上取证公司的正式报告。
💸 赃款流向：为什么都换成了 ETH
黑客到账后立刻开始洗：Lookonchain 追踪显示，EVM 链上大部分被盗资产已被兑换成 67,982 枚 ETH（约 1.83 亿美元）。选择 ETH 的理由很现实：
- USDT、USDC、XAUt 这类发行方代币（Tether / Circle / TG Gold）都可以被发行方黑名单冻结，拿着烫手；
- ETH 是原生资产，没有任何人能冻结；
- ETH 的流动性最深，大额兑换滑点最小。
XRP 部分则走了跨链桥转移，Specter 正是顺着这条路径把资金关联到了 AFX 案。Bitget 方面已标记相关地址、联系各链组织试图限制赃款移动，大中华区负责人透露已发出 8 份律师函尝试追回，并承诺追回部分将全部空投给用户——但官方自己也承认，追回多少没有把握。历史上 Lazarus 案件的追回率很低（Bybit 案至今追回比例个位数百分比）。
🛡️ 保护基金：先跌破 2 亿，再回补到 3.09 亿
Bitget 用户保护基金在事发时规模超 4.64 亿美元，可这笔钱并没有停在原地：为恢复提款，官方从基金调走了资产，三钱包合计一度低于 2 亿美元。09-28 CEO Gracy Chen 承诺一周内用公司资本回补至 3 亿+，09-30 兑现。这也是开头那个「用户资金安全：保护基金 4.64 亿 > 损失」的更准确版本——4.64 亿是事发当天的事前数字，不是现在的状态。
Gracy Chen 明示：全部损失可由基金覆盖，用户账户余额不受影响。这是好消息，但有三层细节值得知道：- 基金保的是「余额数字」，不是「原币」。基金用自己的钱补缺口，保证你账户上的数字不减少；这不等于被盗资产被追回。
- 基金以 BTC 为主要储备形式，3.09 亿是时点价。当前基金持有 3,705 枚 BTC，事发前是约 5,500 枚（约 4.64 亿美元），少了 1,795 枚。既然大头是币而不是现金，BTC 价格一动，美元口径就跟着动——3.09 亿只比 3 亿门槛高出约 900 万（约 3%），币价回落一点，「已达 3 亿+」这个说法就不再成立。把「回补到 3 亿+」当成永久状态是误读。
- 基金是一次性冲击的缓冲，不是持续兜底承诺。CertiK 资本市场与政策主管 Esme Pau 指出：被盗金额约为基金的四分之三（按初报 3.5 亿口径），这已经不是普通漏洞而是危机事件。若短期内再来一起同级别事件，基金就会见底。
结论：这次用户大概率无损，但「有保护基金 = 绝对安全」的认知该更新了。
🌐 2026 全景：86 起事件、23 亿美元，这个月最贵
把 Bitget 放进年度坐标系看，2026 年的安全形势是恶化的：
| 事件 | 时间 | 损失 | 手法 |
|---|---|---|---|
| Bitget | 2026-09 | 3.875 亿 | 供应链后门 + 伪造签名 |
| Liquid Network | 2026-09 | 3.19 亿 | Elements 范围证明验证缓存漏洞 |
| KelpDAO | 2026-04 | 2.92 亿 | 跨链消息伪造 |
| Drift Protocol | 2026-04 | 2.85 亿 | 社会工程 |
| 某个人钱包 | 2026 | 1,459 BTC + 205 万 LTC | 冒充客服骗助记词 |
| （对比）Bybit | 2025-02 | 14 亿 | 篡改多签前端伪造签名 |
几个结构性事实：截至 9 月 25 日，2026 年已发生 86 起重大安全事件，公开损失超 23 亿美元；9 月单月因 Liquid Network + Bitget 两案成为年度最贵月份。而 2026 年 2 月全行业损失一度降到 3,600 万美元以下——当时不少人以为 Bybit 案后行业安全真的改善了，现在看那只是间歇期。另据 CoinGecko 统计，被攻击平台中约六成事前通过过安全审计：代码审计只能发现自己写的逻辑漏洞，发现不了第三方组件被人动过手脚。行业的钱过度投向链上安全、合约审计和储备金证明，链下系统和第三方依赖才是被忽视的暗面。软件侧的同题核查——编辑器遥测与供应链信任——见ZCodium 删了 2.6 万行遥测。
🔄 事件后续：09-28 承诺，09-30 兑现
下面五点是官方与主流媒体报道里能核到的最新状态，数字以公开报道为准，官方邮件截图只作旁证。
- 基金回补：3.09 亿美元。09-28 Chen 承诺一周内用公司资本补到 3 亿+，09-30 达成，公开基金页显示 3.09 亿，含 3,705 枚 BTC。相比事发前的约 4.64 亿，仍少 1,795 枚 BTC。
- 提款恢复进度。BTC（比特币与 BNB Smart Chain）09-28 08:00 UTC 起先恢复，ETH 与 USDT 随后处理中；P2P 提款连同其余全部冻结资产 10 月 2 日（周五）08:00 UTC 恢复。
- 3.09 亿是时点价，不是承诺值。基金大部分以 BTC 计价，币价波动直接改写美元口径；当前高出 3 亿门槛约 900 万（约 3%），缓冲很薄。
- 「用户资产未受影响」是官方口径，不是已兑现的事实。官方称本次财务影响由保护基金承担、用户账户余额不受影响，事件详情与覆盖条款「将另行公布」（details and coverage terms will be announced separately）。用户实际如何赔付、赔付顺序与比例，官方至今未明示——在细则落地前，「全额覆盖」应读作公司态度，不是合同条款。
- 追赃预期官方自己都放低。Chen 在访谈中以 Bybit 为鉴，称追回比例「并不乐观」。所以真正决定用户损益的，是保护基金能否持续补足，而非黑客何时被抓。
把这两天的信息接回开头那张表：损失 3.875 亿、私钥未泄露、供应链后门伪造授权这三条没变；变的是保护基金的状态——它从「4.64 亿稳稳兜底」变成「一度跌破 2 亿、靠公司资本三天才补回、且随币价浮动」。这次事件真正暴露的，不是私钥保管问题，而是保护基金在一夜之间会被自己的提款恢复动作掏空。
✅ 普通用户现在该做什么
按优先级排：
- 别恐慌操作。暂停提币期间在二级市场不计成本抛售、或提币一开就全部提走，都不是理性选择。Bitget 余额由保护基金覆盖，充币和交易正常，挤兑没必要。
- 盯应对质量，而不是盯口号。这次 Bitget 按时点交了卷：09-26 04:00 UTC 准点公布恢复时间表，漏洞已修复、Mandiant/SlowMist 双第三方介入。剩余观察点：完整事件报告的细节深度，以及恢复过程是否再有反复。
- 长期不动的币，提到自己的硬件钱包。托管在交易所的资产，私钥控制权始终在别人手里，单点故障风险永远存在。具体怎么提、提到哪种钱包，站内交易所提币到钱包教程和硬件钱包长期存放的风险拆解两篇有完整流程。
- 个人侧防的是另一族攻击。平台被供应链入侵你防不了，但钓鱼邮件、AI 克隆声音、假客服骗助记词这类直接攻人的手法正在暴增，站内六层零信任安全清单按层给过完整自查表。
- 选平台的新标准。保护基金只是底线，还要看：钱包分层架构是否真隔离、是否有第三方供应链安全审查机制、历史事件的应对透明度。
⚠️ 免责与事实边界
本文为公开信息整理与链上数据汇总，不构成投资建议（not financial advice）。事件中「朝鲜黑客参与」目前为初步线索而非定论；损失金额以 Bitget 官方最终报告为准；提款恢复时间表已于 09-26 公布（文内已收录），完整事件报告仍待官方发布。文内标注「官方明示」的内容来自 Bitget 及 CEO 公开声明，「推断」均来自具名第三方分析师。
📚 参考来源
- Bitget 官方安全通告（support 公告 + @bitget / @GracyBitget X 帖，2026-09-24/25/26；09-26 提款恢复时间表公告：漏洞已修复、Mandiant/SlowMist 介入、四批恢复）
- Reuters：Crypto exchange Bitget pauses withdrawals after $350 million stolen in hack（2026-09-25）
- CNBC：Crypto platform Bitget suspects North Korea in $352 million hack（2026-09-25）
- 联合早报：加密货币交易所 Bitget 被盗 4.5 亿元（2026-09-25）
- Lookonchain / Arkham Intelligence 链上追踪数据（X，2026-09-25）
- Specter：被盗 XRP 与 AFX 案资金关联分析（X，2026-09-25）
- Wu Blockchain：Bitget 上调确认损失至 3.875 亿美元（X，2026-09-25）
- WEB3AI 频道：《Bitget 被盗 3.5 亿美元！私钥没丢、冷钱包没破，为什么还是丢了》（YouTube，2026-09-25）