Bitget 遭竊 3.875 億美元，北韓加密貨幣竊案總額突破 10 億美元

十億美元竊案總額與遭攻陷的核准系統

根據 Chainalysis，Bitget 於 2026 年 9 月 24 日遭竊 3 億 8,750 萬美元，使今年歸因於北韓駭客的加密貨幣損失突破 10 億美元。加上上半年歸因於這些行動者的 6 億 4,300 萬美元，竊案總額至少達 10 億 3,050 萬美元。

這起攻擊的目標，比遭竊的密碼或外洩的錢包金鑰更為複雜。初步調查指出，入侵者透過外部安全產品取得存取權限，控制一部處理錢包交易的伺服器，並偽造核准資訊。Bitget 自身的基礎設施隨後核准了看似合法的轉帳。

Chainalysis 表示，其 10 月 1 日公布的調查追蹤遭竊 XRP 轉為比特幣的流向，並發現與北韓行動者相關的洗錢模式。調查人員使用人工智慧，在不到 10 分鐘內自動完成一項追蹤工作；人工處理則需超過 20 小時。速度提升並不代表整起竊案已經偵破，也不表示款項已追回。

這起事件也揭露攻擊者之外的金融網絡。對後續交易的研究發現，兌換服務收取了費用、不同業者對可疑資金採取不同應對方式，並可能牽涉專門的洗錢中介。這些細節有助於說明，為什麼在公開區塊鏈上辨識遭竊加密貨幣，只是追回資產的第一步。

部分調查結果仍屬初步判斷。Chainalysis 將這起事件歸因於北韓行動者，Elliptic 則評估此一關聯極有可能成立。公開報導尚未確定可將事件明確歸因於 Lazarus Group，據稱提供入侵途徑的安全產品供應商也尚未具名。

損失金額如何增加 3,590 萬美元

Bitget 起初估計遭竊金額為 3 億 5,160 萬美元。9 月 25 日，該交易所發現另有資產受影響，包括涉及 Zcash 和 Tron 的轉帳，因此將金額上修至 3 億 8,750 萬美元。交易所表示，增加的 3,590 萬美元是因為納入更多帳目，並非第二起攻擊。

各項調查的總額略有差異。Bitquery 追蹤到 23 筆跨越九條區塊鏈的轉帳，總額為 3 億 8,680 萬美元。一份技術報告則將 Bitget 較廣泛的統計範圍估為約 3 億 8,800 萬美元，涵蓋 11 條區塊鏈。Chainalysis 指出，初期資金主要分布於四個網絡：Ethereum 占 49.7%、XRP 占 40.8%、Zcash 占 7.6%，Tron 占 1.8%。四捨五入後的百分比合計為 99.9%。

這些數字採用不同的追蹤範圍，不應視為完全相同的資產清單。技術報告估計，XRP 部分價值 1 億 5,780 萬美元；另估計約 2 億 1,400 萬美元來自 Bitquery 列為熱錢包與溫錢包的地址。熱錢包與溫錢包是用來支援交易和提款的加密貨幣操作資金池，不同於完全離線保存的儲備資產。

報導對 Bitget 何時發現問題也有不同說法。多份報導稱，該交易所在 9 月 24 日 18:31 UTC 發現異常。一份詳細重建報告將該時間列為首筆小額轉帳發生的時間，並指出對帳警報是在 19:05 發出。這項區別很重要，因為後者估計，警報發出後仍有約 2 億 3,800 萬美元、約占損失的 61% 被轉出。

從入侵到恢復服務的時間線

根據歸因於 Mandiant 和 SlowMist 的初步調查結果，最早記錄到的惡意活動發生於 8 月 31 日，也就是竊案發生前三週以上。公開時間線分別列出初始入侵、資金轉移及交易所的應對措施。

• 8 月 31 日：據稱，最早記錄到的惡意活動利用安全產品中一項未知漏洞。
• 9 月 24 日 17:49 UTC：一個自訂提款工具開始在錢包主機上執行。
• 9 月 24 日 18:31 UTC：追蹤到的首批轉帳先轉出 93 TRX，接著轉出 0.84 ETH。
• 9 月 24 日 19:05 UTC：詳細重建報告指出，Bitget 在此時收到對帳警報，並限制客戶提款申請。
• 9 月 24 日 21:23 UTC：追蹤到的最後一筆轉帳轉出 223.20 ETH。錢包提款服務，包括簽署功能，於 21:44 關閉。
• 9 月 25 日：Bitget 找出疑似根本原因，向執法機關通報事件，並修正損失估計。
• 9 月 28 日至 30 日：比特幣、Ethereum 和 USDT 提款分階段恢復。初步鑑識報告於 9 月 30 日發布。
• 10 月 1 日：Chainalysis 發布歸因與追蹤調查結果。其餘服務原定於 10 月 2 日前恢復。

詳細報告指出，簽署服務在 19:05 警報發出後仍運作了 2 小時 39 分鐘。因此，封鎖一般客戶的提款申請，並未立即切斷攻擊者透過另一條途徑進入提款流程的能力。

攻擊者利用簽署服務，未竊取金鑰

Bitget 表示，這起事件並未危及冷錢包金鑰，也不是透過偽造客戶提款申請發動。相反地，據稱攻擊者從錢包基礎設施內部提供了虛假的交易核准資料。私鑰是核准加密貨幣轉帳的秘密憑證。此案令人憂心之處在於，攻擊者可能指示合法的簽署服務核准非法交易。

初步技術重建報告描述了兩項未具名的安全產品。據稱，攻擊者利用第一項產品的相關活動，讓隱藏指令碼讀取儲存在環境變數中的資料庫密碼。之後，攻擊者冒用一名內部員工的身分操作第二項產品的管理平台，進而取得生產環境錢包伺服器的存取權限，並安裝惡意軟體。

據報導，SlowMist 復原了一個已刪除、專為 Bitget 提款系統設計的工具。該工具會偽造風險控管欄位並呼叫提款流程。初始資料庫存取與第二項產品所使用的身分之間，確切關聯仍未獲確認。

Bitget 將入侵途徑描述為零時差漏洞，也就是先前未知的軟體弱點。截至 10 月 2 日的技術報告，兩家供應商都尚未具名，也沒有公開的漏洞識別碼或安全公告。Bitget 表示已修補弱點，但公開資訊不足以讓其他客戶辨認受影響的產品。

交易所旗下另一項產品 Bitget Wallet 未受影響。該服務使用不同的基礎設施，並由使用者自行掌控資產。這項區別限定了目前已知的受影響範圍，但不會減少交易所操作錢包的損失。

北韓歸因的依據

Bitget 執行長 Gracy Chen 在說明懷疑北韓涉案的關聯時，提到網際網路位址活動及區塊鏈交易特徵。她如此描述該項技術特徵：

與北韓民主主義人民共和國相關駭客組織使用的技術一致

Chen 之後表示，這項關聯是根據初步跡象判斷。Chainalysis 獨立將竊案歸因於北韓行動者；Elliptic 則指出，資金與過往竊案（包括 Bybit 竊案）相關的洗錢地址有所關聯。技術報告指出，TRM Labs 也評估北韓涉案的可能性很高。

這些評估不能等同於公開的刑事調查結論。Mandiant 的初步調查未指名攻擊者，各項調查也尚未公開確認是 Lazarus 的特定分支實施了對 Bitget 的入侵。

年度數字也需要謹慎解讀。Drift Protocol 於 4 月 1 日損失 2 億 8,500 萬美元，KelpDAO 於 4 月 18 日損失 2 億 9,200 萬美元，兩起事件合計 5 億 7,700 萬美元，約占上半年歸因於北韓行動者的 6 億 4,300 萬美元之 90%。研究人員將 KelpDAO 漏洞攻擊與 TraderTraitor 關聯，該組織被指曾攻擊連接不同區塊鏈的基礎設施。Elliptic 另計算出 2026 年超過 51 起疑似北韓事件；這是比已確認損失更廣泛的分類。

AI 加快了追蹤資金流向的特定工作

Chainalysis 表示，該公司與 Bitget 及執法機關合作追蹤遭竊資產。約三小時內，資金經過 23 筆轉帳，之後流經流動性協議、跨鏈訊息服務、即時兌換服務和洗錢服務。

其中一項核心工作，是將存入某協議的遭竊 XRP，與另一處支付的比特幣相互比對。這類服務讓使用者能在不同區塊鏈之間兌換資產。即使使用的資產、地址和交易紀錄各不相同，調查人員仍須找出入帳與出帳交易之間的關聯。

Chainalysis 花了約一天半，追蹤數千萬美元沿著這條路徑流動，最後抵達由攻擊者控制的比特幣地址。該公司表示，使用內部 AI 建立的自動化工具，將對帳工作從 20 多個小時縮短至不到 10 分鐘；調查人員負責指揮工作並審查結果。依照這些估算，所需時間不到先前的八分之一百二十。

其他資金流向更難追蹤。攻擊者開始將資金轉入 Zcash 的屏蔽池；其隱私功能會隱藏交易細節，而這些細節原本可協助連結發送者、接收者和金額。Chainalysis 表示，將繼續監控目的地址，並與交易所及執法機關分享資訊。

追蹤本身並不能扣押資產。比特幣和以太幣沒有可凍結餘額的中央發行機構。要追回資產，通常需要合作平台、有凍結權限的發行機構，或由主管機關取得資產控制權。

兌換服務對是否介入看法分歧

NEAR Intents 表示，其 SHIELD 系統阻擋了與這起事件相關、金額超過 5,000 萬美元的企圖轉帳，並在執行期間凍結約 50 萬 3,000 美元。總經理 Alex Shevchenko 表示，在疑似資金流被攔截前，約有 16 萬 6,000 美元已經流出。

THORChain 持續處理兌換，並拒絕 Bitget 要求選擇性介入的請求。該協議區分了用於保護自身運作的緊急網絡暫停，與封鎖個別地址或交易。該協議也提及自身 5 月遭遇、損失 1,070 萬美元的漏洞攻擊，並表示當時的攻擊者事後也未被列入黑名單、禁止使用兌換服務。

BlockSec 於 9 月 29 日發布的快照估計，與 Bitget 相關的資金流約有 2 億 6,900 萬美元，分布於 THORChain 的 7,804 筆交易。這是交易處理量，不一定代表不同遭竊資金的總值：同一筆資金在服務中流轉時，可能被重複計算。

凍結金額的估算也有差異。一份報告估計 Circle 與 Tether 合計凍結約 31 萬 8,000 美元。10 月 1 日一份範圍較廣的技術估算則指出，相關發行機構及 NEAR Intents 涉及的凍結金額約為 110 萬美元。這些數字的日期與涵蓋範圍不同，不應相加視為不同的追回款項。

洗錢交易帶來手續費，也推升交易量

獨立研究員 Andrey Sergeenkov 統計了經審查交易，截至 10 月 2 日 10:22 UTC，服務及協議收取的費用共計 76 萬 1,725 美元。他的細項統計為：THORChain 流動性提供者收取 57 萬 3,226 美元、MetaMask 收取 14 萬 9,417 美元、Chainflip 收取 2 萬 6,751 美元，CoW EthFlow 收取 1 萬 2,332 美元。

他另確認，THORChain 支付給七個地址的聯盟費用共計 25 萬 9,718 美元；這些地址與參與兌換的錢包另有財務關聯。另有 20 萬 6,196 美元支付給尚未確認有其他關聯的收款人。這些聯盟費用分類是不同的分析數字，不是追回的金額。

被列為手續費收款人，並不能證明其為攻擊者所有。Sergeenkov 追蹤了其中關聯性最強、收取 17 萬 7,499 美元的最大收款地址之部分款項，發現資金兌換成 USDT，最後流向一個標記為 OKX Hot Wallet 5 的地址。這條資金流向無法確認交易所客戶的身分，也不能證明其參與竊案。

THORChain 9 月的系統收入為 301 萬美元，兌換量為 24 億美元。9 月 25 日至 29 日，該協議處理了約 13 億 7,000 萬美元，約占當月交易量的 57%，並創造約 190 萬美元收入，約占當月收入的 63%。這些期間總額也包含已確認遭竊資金以外的交易。

該協議在聲明中描述了交易量激增的時間：

9 月 25 日至 29 日，與 Bitget 漏洞攻擊相關的資金流經網絡時，每日交易量約介於 1 億 9,000 萬至 4 億 6,000 萬美元之間。

活躍錢包數量從 8 月的 2 萬 3,500 個增至 9 月的 2 萬 5,000 個，增幅約 6.4%。相較之下，兌換量從 6 億 1,300 萬美元升至 24 億美元，增幅遠高於錢包數量。這些數字顯示，交易量增加主要來自大額交易集中發生，而非使用者數量同步擴大。

中介可能先向攻擊者付款，再設法轉移資金

對 2025 年 2 月 21 日 Bybit 竊案的調查顯示，為什麼區塊鏈上看得到的遭竊資金，可能已不再由原始駭客控制。美國聯邦調查局將這起約 15 億美元的攻擊歸因於北韓的 TraderTraitor 行動者。研究人員懷疑，專業中介收下遭竊資產，扣除費用後支付等值款項給攻擊者，並承擔後續洗錢風險。

資安公司 zeroShadow 估計，2025 年 2 月至 6 月期間，Bybit 遭竊的超過 10 億美元已被洗錢。這並不能證明全部金額都已轉為一般貨幣，也不等於攻擊者實際取得的淨收益。Chainalysis 也指出，Bybit 和 WazirX 遭竊的數千萬美元流經 Xinbi 的供應商網絡，中介據稱在此將可追蹤的資產兌換成來自其他犯罪活動的穩定幣。

在 10 月 5 日發布的揭露中，化名調查員 ZachXBT 表示，他投入 34 萬 9,700 美元的穩定幣，並假扮客戶、接受每筆訂單 5% 的損失。他說，一名名為 Jimmy Green 的營運者協助揭露一個持有超過 1,200 萬美元 Bybit 相關資金的地址群，之後 Tether 凍結了 44 萬 2,000 USDT。

ZachXBT 指控該網絡在香港和中國大陸活動，並替 Lazarus 洗錢超過 10 億美元。其規模及營運者身分尚未透過公開起訴文件獲得獨立證實。他也指控處理 Bitget 資金的中國籍人士曾在公開的 Discord 和 Telegram 群組尋求協助，且其中一名營運者曾處理 KelpDAO 竊案所得。

Bitget 的財務後盾與追回資產的限制

Bitget 表示，攻擊發生前，其用戶保護基金規模超過 4 億 6,400 萬美元，足以補償客戶損失。3 億 8,750 萬美元的竊案金額約占 4 億 6,400 萬美元儲備的 83.5%。這項比較反映潛在負擔，並不能證明實際如何支付賠償，或賠償資金來自哪些資產。

9 月 28 日，該交易所承諾一週內將基金補回至少 3 億美元，並於 9 月 30 日宣布完成。Bitget 也提出最高可達成功凍結或追回資金 5% 的獎勵，與 Mandiant 和 SlowMist 合作，並推出錢包追蹤儀表板。

Bitget 表示，提款暫停期間，交易和存款仍維持開放。比特幣提款於 9 月 28 日恢復，Ethereum 於 9 月 29 日恢復，USDT 則於 9 月 30 日恢復。該交易所表示，暫停期間沒有進一步損失。在報導所述的交易數據中，其 BGB 代幣曾下跌近 7%，至 1.93 美元，之後回升至 1.97 美元。

9 月整體損失規模的統計範圍也有爭議。PeckShield 統計 55 起駭客攻擊，總額為 7 億 6,650 萬美元；CertiK 則統計 97 起事件，總額為 7 億 6,840 萬美元。Bitget 約占兩者總額的一半。報導指出，Liquid Network 另有一起損失 3 億 1,900 萬至 3 億 2,000 萬美元的事件，據稱已返還超過 2 億 7,000 萬美元。另有報導指出，Coldcard 於 7 月發生一起涉及約 1 億 1,600 萬美元的事件。

執法行動也針對交易所竊案以外的案件。美國財政部制裁八名個人和兩個實體，指控其洗錢及處理海外 IT 工作人員收入。相關指控包括銀行業者透過 First Credit Bank 管理至少 530 萬美元，以及透過中國和俄羅斯的中介掩飾資金。美國司法部另採取行動，涉及與疑似 IT 工作人員詐欺相關的 770 萬美元，以及與歸因於 APT38 的四起竊案有關、超過 1,500 萬美元的資金。

這些行動顯示，凍結、扣押和返還是不同階段。Bitget 最終追回金額、存在漏洞的供應商身分，以及最終技術調查報告都尚未確定。目前也沒有公布最終調查或返還遭竊資產的確切日期。

重點整理

• Bitget 將損失金額修正為 3 億 8,750 萬美元，使 2026 年歸因於北韓的竊案總額至少達 10 億 3,050 萬美元。
• 初步調查指出，提款得以執行的關鍵是偽造核准資料，而非私鑰遭竊。
• Chainalysis 將攻擊歸因於北韓行動者；公開資訊尚未確認可將事件歸因於特定 Lazarus 組織。
• AI 將一項資金追蹤工作縮短至不到 10 分鐘，但追蹤並未追回資產。
• 兌換服務對是否介入看法分歧，經審查的洗錢交易則產生可觀手續費。
• Bitget 宣布已將用戶保護基金補回至少 3 億美元，並分階段恢復提款。
• 最終追回金額及受影響安全產品供應商的身分仍不明。