Bitget 在披露一起与第三方安全产品漏洞相关的安全事件后，已恢复比特币和 BSC 网络上的 BTC 提现。该事件发生于 9 月 24 日，造成约 3.88 亿美元未经授权转账。
Bitget CEO Gracy Chen 在 X 平台直播中披露调查情况。她表示，攻击者利用被泄露的高级别内部凭证，向交易所钱包系统插入欺诈性提现指令，触发绕过现有风险控制的异常转账。
攻击时间线：从小额试探到大额转出
据 Chen 介绍，首笔未经授权转账约在 9 月 24 日 18:31 UTC 开始。攻击者先执行了两笔小额交易：从以太坊热钱包转出 0.84 ETH，从 Tron 热钱包转出 93 TRX。Bitget 表示，这两笔均低于风险控制阈值，未触发警报。
18:58 至 20:09 UTC 期间，攻击者发起 17 笔较大转账，涉及以太坊、XRP、Zcash、BNB Smart Chain、Base、Arbitrum、Optimism 和 Avalanche，合计估值约 3.61 亿美元。Bitget 监控系统于 19:05 UTC 发现显著异常，即在首笔大额转账后约 7 分钟，平台自动阻止用户发起的全平台提现。
19:14 UTC，Bitget 启动最高级别 P0 应急响应；19:40 UTC 技术团队开始遏制。约 20:40 UTC，钱包团队在评估私钥是否泄露的同时，将资金转移至冷存储作为预防措施。
20:55 至 21:23 UTC，攻击者又发起 7 笔转账，涉及 Avalanche、XRP、以太坊、Zcash、Algorand、TIA 和 Cosmos，Bitget 估计第二波价值约 3000 万美元。约 21:44 UTC，Bitget 关闭钱包提现服务，包括签名服务，并隔离与提现相关的进出访问。
损失与资产安全
Bitget 确认，事件期间约 3.88 亿美元资产被转出，这是其根据最新对相关交易的核对与分类得出的结果。交易所表示，私钥未被泄露，冷钱包未受影响，用户账户余额未受影响。
Chen 将此次攻击描述为一次有针对性行动。攻击者使用合法凭证，并试图删除证据。“他们一路使用合法凭证，将活动伪装成日常管理操作，同时清除行为痕迹。”她说，“这是一次复杂的定向攻击。”
Bitget 称，攻击者通过第三方漏洞进入内部管理系统，使用被泄露凭证向钱包相关后端服务插入欺诈提现指令，随后删除这些指令的痕迹。Chen 表示，Bitget 目前不认为事件为内部人员所为，但在调查得出确认结论前不会猜测攻击者身份。
调查与恢复进展
Mandiant 和 SlowMist 正在支持调查，包括分析攻击向量、验证遏制与补救措施以及链上资产追踪。Bitget 表示，正与执法部门、其他交易所、区块链项目、链上安全专家和行业参与者合作，追踪并追回受影响资产。部分资产已被冻结，Bitget 已公布已识别的攻击者地址和追踪数据，以支持行业协作。
Bitget 预计本周完成官方安全报告，并将在核实后披露更多发现。
提现分阶段恢复
Bitget 已开始分阶段恢复提现服务。BTC 于 9 月 28 日 08:00 UTC 在比特币和 BSC 网络恢复提现。截至 09:00 UTC，用户已发起 9,585 笔 BTC 提现，总计 4,098.03574 BTC，交易所称服务运行正常。
ETH 提现计划于 9 月 29 日恢复，USDT 提现计划于 9 月 30 日恢复。其他支持代币、法币提现和 P2P 服务计划于 10 月 2 日恢复。可用性将直接在 Bitget 平台显示。
Chen 表示，优先恢复 BTC 是因为其提现管道已完成必要安全检查，且比特币网络本身未受影响。其他网络和资产将在完成各自安全审查后恢复。Bitget 称，单个服务恢复后用户无需采取额外步骤，现有最低提现金额和 24 小时最高限额将继续保留。
Chen 强调，暂时暂停提现是安全措施，而非用户资产不足。“暂停只是安全措施，与用户资产是否充足无关，因为资产已完全恢复或由 Bitget 保护基金完全覆盖。”她说。
用户保护基金与储备
Bitget 表示，用户账户余额未受影响，事件损失将由用户保护基金覆盖。该基金目前超过 4.64 亿美元。Chen 称，该基金成立于 2022 年，将先用于覆盖损失，随后以公司资金补充。她表示，基金在被使用后一周内将恢复至超过 3 亿美元的 USDT 或等值资产。
交易所还报告综合 Proof of Reserves 比率为 127%。Bitget 称，储备比率和用户保护基金是两项独立措施，前者代表其报告的储备与覆盖用户负债之间的关系。
后续强化措施
事件发生后，Bitget 表示已加强第三方安全产品的评估与部署标准，以及内部访问控制、提现验证和异常活动监控。公司还计划引入更强的提现独立验证。
伴随提现恢复，Bitget 推出两项限时计划。Bitget Alliance Program 面向符合条件的用户，时间为 9 月 28 日 08:00 UTC 至 10 月 26 日 08:00 UTC，参与者可分享符合条件交易活动产生的手续费。Project Stand Together 面向符合条件的 PRO 客户和做市商，提供特殊项目手续费折扣和延长 PRO 级保护。优惠费率计划从 9 月 28 日 10:00 UTC 持续至 10 月 30 日 09:00 UTC，延长 PRO 级保护将持续至 11 月 30 日 09:00 UTC。
Chen 表示，Bitget 将继续在相关发现得到核实后，发布有关调查、补救措施、提现恢复和资产追回的信息。“这一事件显然是对 Bitget 的非常严峻考验。我们会直接面对它。”她说，“我们希望从中学习，不会让它定义我们。”她补充说，交易所打算让其应对措施接受用户和更广泛行业的审视，包括进一步披露事件经过及事后实施的改变。