🔐 🧩 Bitget потерял $387,5 млн — подписи были валидными, но транзакций не было
GoPlus Security разобрала атаку на Bitget: утечки приватных ключей нет. Хакеры сломали бэкенд-систему кошелька, подделали данные транзакций и заставили авторизованный процесс биржи подписывать переводы, которых никто не планировал.
Как это выглядело:
– вывод занял ~2 часа 25 минут;
– крупнейшая волна — около $185 млн примерно за минуту;
– ушли Ether, XRP, USDC и USDT из нескольких блокчейнов;
– по структуре GoPlus сравнивает это со взломом Bybit в 2025-м.
Выводы шли без 2FA, SMS и подтверждения по почте — ни один сигнал не сработал. Убытки клиентов обещают покрыть из фонда, но полного техотчёта Bitget пока нет. Главное: подпись больше не гарантия. Если скомпрометирована вся цепочка доверия, «валидная транзакция» ничего не значит — тревожный звоночек для всех кастодиальных кошельков.