Pencerobohan Bitget Bernilai $387.5 Juta Menjadikan Jumlah Kecurian Kripto Korea Utara Melepasi $1 Bilion

Jumlah mencecah berbilion dolar dan sistem kelulusan terjejas

Kecurian $387.5 juta daripada Bitget pada 24 September 2026 menjadikan kerugian mata wang kripto yang dikaitkan dengan penggodam Korea Utara melebihi $1 bilion bagi tahun ini, menurut Chainalysis. Digabungkan dengan $643 juta yang dikaitkan dengan pihak tersebut dalam enam bulan pertama tahun ini, pencerobohan itu menjadikan jumlah keseluruhan sekurang-kurangnya $1.0305 bilion.

Serangan itu menyasarkan sesuatu yang lebih rumit daripada kata laluan yang dicuri atau kunci dompet yang terdedah. Siasatan awal menggambarkan penceroboh memperoleh akses melalui produk keselamatan pihak luar, mengambil alih pelayan pemprosesan dompet dan memalsukan maklumat kelulusan. Infrastruktur Bitget sendiri kemudian membenarkan pemindahan yang kelihatan sah.

Chainalysis berkata siasatannya pada 1 Oktober menjejaki XRP yang dicuri ke Bitcoin dan menemui corak pengubahan wang yang dikaitkan dengan pihak Korea Utara. Penyiasatnya menggunakan kecerdasan buatan untuk mengautomatikkan satu tugas pengesanan dalam masa kurang 10 minit, berbanding lebih 20 jam jika dilakukan secara manual. Kepantasan itu tidak bermakna keseluruhan kecurian sudah diselesaikan atau wang telah diperoleh semula.

Insiden itu turut mendedahkan rangkaian kewangan di luar pihak penyerang sendiri. Penyelidikan terhadap transaksi susulan mengenal pasti fi yang diperoleh perkhidmatan pertukaran, tindak balas berbeza terhadap dana mencurigakan dan kemungkinan hubungan dengan orang tengah khusus dalam pengubahan wang. Perincian ini membantu menjelaskan mengapa mengenal pasti mata wang kripto yang dicuri pada rantaian blok awam hanyalah langkah awal untuk mendapatkannya semula.

Beberapa dapatan masih bersifat awal. Chainalysis mengaitkan pencerobohan itu dengan pihak Korea Utara, manakala Elliptic menilai kaitan tersebut sebagai sangat berkemungkinan. Laporan awam belum membuktikan secara muktamad bahawa Kumpulan Lazarus khususnya bertanggungjawab, dan vendor keselamatan yang produknya didakwa menyediakan akses itu belum dinamakan.

Bagaimana kerugian meningkat sebanyak $35.9 juta

Bitget pada mulanya menganggarkan kecurian itu berjumlah $351.6 juta. Pada 25 September, angka itu dinaikkan kepada $387.5 juta selepas aset tambahan yang terjejas dikenal pasti, termasuk pemindahan melibatkan Zcash dan Tron. Menurut bursa itu, kenaikan $35.9 juta tersebut berpunca daripada pengiraan tambahan, bukannya serangan kedua.

Jumlah berbeza sedikit antara siasatan. Bitquery menjejaki $386.80 juta melalui 23 pemindahan merentasi sembilan rantaian. Satu laporan teknikal meletakkan jumlah keseluruhan Bitget pada kira-kira $388 juta merentasi 11 rantaian. Chainalysis menghuraikan agihan awal melalui empat rangkaian utama: Ethereum menerima 49.7%, XRP 40.8%, Zcash 7.6% dan Tron 1.8%. Peratusan yang dibundarkan itu berjumlah 99.9%.

Angka-angka itu menggambarkan skop penjejakan yang berbeza dan tidak sepatutnya dianggap sebagai inventori yang sama. Laporan teknikal meletakkan komponen XRP pada $157.8 juta dan menganggarkan kira-kira $214 juta berasal daripada dompet yang diklasifikasikan Bitquery sebagai dompet panas-suam. Dompet panas dan panas-suam ialah kumpulan mata wang kripto operasi yang digunakan untuk menyokong transaksi dan pengeluaran, bukan rizab yang disimpan sepenuhnya di luar talian.

Laporan juga berbeza tentang masa Bitget mengesan masalah tersebut. Beberapa laporan meletakkan masa pengesanan pada 18:31 UTC, 24 September. Satu pembinaan semula terperinci mengenal pasti waktu itu sebagai masa pemindahan kecil pertama dan meletakkan amaran penyelarasan pada 19:05. Perbezaan itu penting kerana laporan yang terkemudian menganggarkan kira-kira $238 juta, atau sekitar 61% daripada kerugian, dipindahkan selepas amaran tersebut.

Garis masa daripada pencerobohan hingga perkhidmatan dibuka semula

Dapatan awal yang dikaitkan dengan Mandiant dan SlowMist meletakkan aktiviti berniat jahat terawal yang direkodkan pada 31 Ogos, lebih tiga minggu sebelum kecurian itu. Garis masa awam membezakan akses awal, pemindahan dana dan tindak balas bursa.

• 31 Ogos: Aktiviti berniat jahat terawal yang direkodkan didakwa mengeksploitasi kelemahan yang tidak diketahui dalam produk keselamatan.
• 24 September, 17:49 UTC: Alat pengeluaran tersuai mula dijalankan pada hos dompet.
• 24 September, 18:31 UTC: Pemindahan pertama yang dijejaki melibatkan 93 TRX dan kemudian 0.84 ETH.
• 24 September, 19:05 UTC: Pembinaan semula terperinci meletakkan amaran penyelarasan Bitget dan sekatan terhadap permintaan pengeluaran pelanggan pada waktu ini.
• 24 September, 21:23 UTC: Pemindahan terakhir yang dijejaki melibatkan 223.20 ETH. Perkhidmatan pengeluaran dompet, termasuk penandatanganan, dihentikan pada 21:44.
• 25 September: Bitget mengenal pasti punca utama yang disyaki, melaporkan insiden itu kepada pihak penguat kuasa dan menyemak semula anggaran kerugiannya.
• 28 hingga 30 September: Pengeluaran Bitcoin, Ethereum dan USDT dibuka semula secara berperingkat. Laporan forensik awal diterbitkan pada 30 September.
• 1 Oktober: Chainalysis menerbitkan dapatan atribusi dan penjejakannya. Perkhidmatan yang masih belum beroperasi dijadualkan kembali menjelang 2 Oktober.

Laporan terperinci menyatakan perkhidmatan penandatanganan kekal aktif selama dua jam 39 minit selepas amaran pada 19:05. Oleh itu, menyekat permintaan pelanggan biasa tidak serta-merta menghentikan laluan berasingan penyerang ke dalam proses pengeluaran.

Penyerang menggunakan sistem penandatangan tanpa mencuri kunci

Bitget berkata pencerobohan itu tidak menjejaskan kunci dompet sejuknya dan tidak bergantung pada permintaan pengeluaran pelanggan yang direka-reka. Sebaliknya, penyerang didakwa memberikan data kebenaran transaksi palsu dari dalam infrastruktur dompet. Kunci peribadi ialah kelayakan rahsia yang membenarkan pemindahan mata wang kripto. Dalam kes ini, kebimbangannya ialah perkhidmatan penandatanganan yang sah boleh diarahkan untuk meluluskan transaksi yang tidak sah.

Pembinaan semula teknikal awal menghuraikan dua produk keselamatan yang tidak dinamakan. Aktiviti pada produk pertama didakwa membolehkan skrip tersembunyi membaca kata laluan pangkalan data yang disimpan dalam pemboleh ubah persekitaran. Penyerang kemudian mengendalikan platform pengurusan produk kedua menggunakan identiti pekerja dalaman, sebelum mencapai pelayan dompet produksi dan memasang perisian berniat jahat.

SlowMist dilaporkan memperoleh semula alat yang dipadam dan direka khusus untuk sistem pengeluaran Bitget. Alat itu memalsukan medan kawalan risiko dan memanggil proses pengeluaran. Hubungan tepat antara akses pangkalan data awal dengan identiti yang digunakan dalam produk kedua masih belum disahkan.

Bitget menyifatkan titik kemasukan itu sebagai kelemahan sifar hari, iaitu kecacatan perisian yang sebelum ini tidak diketahui. Setakat laporan teknikal 2 Oktober, kedua-dua vendor belum dinamakan dan tiada pengecam kelemahan atau nasihat keselamatan awam dikeluarkan. Bitget berkata ia telah membaiki kelemahan itu, tetapi rekod awam tidak memberikan perincian mencukupi untuk pelanggan lain mengenal pasti produk yang terjejas.

Produk berasingan Bitget Wallet milik bursa itu tidak terjejas. Perkhidmatan tersebut menggunakan infrastruktur berbeza dan membolehkan pengguna mengawal aset sendiri. Perbezaan ini mengehadkan skop pencerobohan yang diketahui, tetapi tidak mengurangkan kerugian daripada dompet operasi bursa itu.

Asas atribusi kepada Korea Utara

Ketua pegawai eksekutif Bitget, Gracy Chen, merujuk kepada corak alamat internet dan tandatangan transaksi rantaian blok ketika menjelaskan kaitan Korea Utara yang disyaki. Beliau menghuraikan teknik itu seperti berikut:

selaras dengan teknik yang digunakan oleh kumpulan penggodam yang dikaitkan dengan DPRK

Chen kemudian menyifatkan kaitan itu sebagai berdasarkan petunjuk awal. Chainalysis secara berasingan mengaitkan kecurian tersebut dengan pihak Korea Utara, manakala Elliptic merujuk kepada kaitan dengan alamat pengubahan wang yang dikaitkan dengan kecurian terdahulu, termasuk Bybit. TRM Labs turut menilai kaitan Korea Utara sebagai berkemungkinan dalam laporan teknikal itu.

Penilaian ini tidak sama dengan dapatan jenayah yang diumumkan kepada umum. Kerja awal Mandiant tidak menamakan penyerang, dan siasatan belum membuktikan secara terbuka bahawa subkumpulan Lazarus tertentu melaksanakan pencerobohan Bitget.

Angka tahunan juga perlu ditafsir dengan cermat. Kerugian Drift Protocol sebanyak $285 juta pada 1 April dan kerugian KelpDAO sebanyak $292 juta pada 18 April berjumlah $577 juta, kira-kira 90% daripada $643 juta yang dikaitkan dengan pihak Korea Utara pada separuh pertama tahun ini. Penyelidik mengaitkan eksploit KelpDAO dengan TraderTraitor, kumpulan yang dikaitkan dengan serangan terhadap infrastruktur penghubung antara rantaian blok. Elliptic secara berasingan mengira lebih 51 insiden yang disyaki melibatkan Korea Utara pada 2026, iaitu kategori yang lebih luas daripada kerugian yang disahkan.

AI mempercepat bahagian tertentu dalam penjejakan wang

Chainalysis berkata ia bekerjasama dengan Bitget dan pihak penguat kuasa untuk menjejaki aset yang dicuri. Dalam kira-kira tiga jam, dana itu telah dipindahkan sebanyak 23 kali, sebelum melalui protokol kecairan, perkhidmatan pemesejan, pertukaran segera dan perkhidmatan pengubahan wang.

Satu tugas utama melibatkan pemadanan XRP yang dicuri dan dimasukkan ke dalam protokol dengan Bitcoin yang dibayar di tempat lain. Perkhidmatan seperti ini membolehkan pengguna menukar aset merentasi rantaian blok yang berbeza. Penyiasat perlu menghubungkan transaksi masuk dan keluar walaupun aset, alamat dan rekod transaksinya berbeza.

Chainalysis menjejaki puluhan juta dolar melalui laluan itu selama kira-kira sehari setengah, sehingga ke alamat Bitcoin yang dikawal penyerang. Menurutnya, automasi yang dibangunkan menggunakan AI dalaman mengurangkan tugas penyelarasan daripada lebih 20 jam kepada kurang 10 minit, dengan penyiasat manusia mengarahkan kerja dan menyemak hasilnya. Berdasarkan anggaran tersebut, tugas itu mengambil masa kurang daripada satu per seratus dua puluh daripada tempoh sebelumnya.

Pergerakan lain lebih sukar dijejaki. Penyerang mula memasukkan dana ke dalam kumpulan terlindung Zcash, yang ciri privasinya menyembunyikan butiran transaksi yang sebaliknya boleh membantu menghubungkan pengirim, penerima dan jumlah. Chainalysis berkata ia akan terus memantau alamat destinasi dan berkongsi maklumat dengan bursa serta pihak penguat kuasa.

Penjejakan sahaja tidak membolehkan aset dirampas. Bitcoin dan ether tidak mempunyai penerbit pusat yang boleh membekukan baki. Pemulihan biasanya memerlukan kerjasama platform, penerbit yang mempunyai kuasa membekukan aset atau pihak berkuasa yang memperoleh kawalan ke atas aset tersebut.

Perkhidmatan pertukaran berbeza pendirian tentang campur tangan

NEAR Intents berkata sistem SHIELD-nya menyekat cubaan pemindahan berkaitan pencerobohan itu yang berjumlah lebih $50 juta dan membekukan kira-kira $503,000 semasa pelaksanaan. Pengurus besarnya, Alex Shevchenko, berkata kira-kira $166,000 sempat melalui sebelum aliran yang disyaki itu dihentikan.

THORChain terus memproses pertukaran dan menolak permintaan Bitget untuk campur tangan terpilih. Protokol itu membezakan antara penghentian rangkaian kecemasan, yang bertujuan melindungi operasinya sendiri, dengan menyekat alamat atau transaksi individu. Ia merujuk kepada eksploit bernilai $10.7 juta yang dialaminya pada Mei lalu dan berkata penyerang ketika itu juga tidak disenaraihitamkan daripada melakukan pertukaran selepas kejadian.

Satu gambaran pada 29 September oleh BlockSec menganggarkan kira-kira $269 juta aliran berkaitan Bitget merentasi 7,804 transaksi THORChain. Angka itu ialah jumlah urus niaga, bukan semestinya nilai dana curi yang berbeza: dana yang sama mungkin dikira lebih daripada sekali ketika melalui perkhidmatan tersebut.

Anggaran pembekuan juga berbeza. Satu laporan meletakkan jumlah pembekuan stablecoin oleh Circle dan Tether pada kira-kira $318,000. Anggaran teknikal lebih luas pada 1 Oktober meletakkan pembekuan yang melibatkan penerbit tersebut dan NEAR Intents pada kira-kira $1.1 juta. Angka ini meliputi tarikh dan skop yang berbeza, maka tidak sepatutnya dijumlahkan sebagai pemulihan berasingan.

Transaksi pengubahan wang menjana fi dan lonjakan dagangan

Penyelidik bebas Andrey Sergeenkov mengira fi perkhidmatan dan protokol berjumlah $761,725 daripada transaksi yang ditelitinya sehingga 2 Oktober, 10:22 UTC. Pecahannya memperuntukkan $573,226 kepada penyedia kecairan THORChain, $149,417 kepada MetaMask, $26,751 kepada Chainflip dan $12,332 kepada CoW EthFlow.

Beliau secara berasingan mengenal pasti $259,718 dalam fi gabungan THORChain yang dibayar kepada tujuh alamat yang mempunyai hubungan kewangan tambahan dengan dompet yang terlibat dalam pertukaran tersebut. Sebanyak $206,196 lagi dibayar kepada penerima yang baginya beliau belum mengesahkan hubungan tambahan itu. Kategori gabungan ini ialah angka analisis berasingan, bukan jumlah yang telah diperoleh semula.

Nama sebagai penerima fi tidak membuktikan pemilikan oleh penyerang. Sergeenkov menjejaki sebahagian hasil daripada penerima berkaitan terbesar, yang menerima $177,499, kepada USDT dan akhirnya ke alamat berlabel OKX Hot Wallet 5. Jejak itu tidak membuktikan identiti pelanggan bursa tersebut atau penglibatannya dalam kecurian.

THORChain mencatatkan pendapatan sistem sebanyak $3.01 juta pada September dan jumlah dagangan pertukaran $2.40 bilion. Antara 25 hingga 29 September, ia memproses kira-kira $1.37 bilion, atau 57% daripada jumlah bulanan, dan menjana kira-kira $1.9 juta, atau 63% daripada pendapatan bulanan. Jumlah bagi tempoh ini merangkumi aktiviti selain dana curi yang dikenal pasti.

Kenyataan protokol itu menghuraikan masa lonjakan tersebut:

Antara 25 hingga 29 September, jumlah dagangan harian berada sekitar $190 juta hingga $460 juta ketika dana yang dikaitkan dengan eksploit Bitget melalui rangkaian itu.

Dompet aktif meningkat daripada 23,500 pada Ogos kepada 25,000 pada September, kira-kira 6.4%. Pertumbuhan sederhana itu berbeza dengan jumlah dagangan pertukaran yang melonjak daripada $613 juta kepada $2.40 bilion. Angka tersebut menunjukkan transaksi besar yang tertumpu, bukannya peningkatan pengguna pada kadar yang setanding.

Orang tengah mungkin membayar penyerang sebelum dana hilang

Siasatan terhadap kecurian Bybit pada 21 Februari 2025 menunjukkan mengapa dana curi yang kelihatan mungkin bukan lagi wang yang masih dikawal penggodam asal. FBI mengaitkan serangan bernilai kira-kira $1.5 bilion itu dengan pihak TraderTraitor dari Korea Utara. Penyelidik mengesyaki orang tengah khusus menerima aset curi, membayar penyerang dalam nilai setara selepas ditolak fi dan menanggung risiko pengubahan wang seterusnya.

Syarikat keselamatan zeroShadow menganggarkan lebih $1 bilion daripada Bybit telah diubah wang antara Februari hingga Jun 2025. Ini tidak membuktikan bahawa keseluruhan jumlah itu ditukar kepada mata wang konvensional atau bersamaan dengan hasil bersih penyerang. Chainalysis turut menghuraikan puluhan juta dolar daripada Bybit dan WazirX yang melalui rangkaian vendor Xinbi, tempat orang tengah didakwa menukar aset yang boleh dijejaki kepada stablecoin daripada kegiatan jenayah lain.

Dalam pendedahan pada 5 Oktober, penyiasat tanpa nama ZachXBT berkata beliau menyediakan $349,700 dalam stablecoin dan menerima kerugian 5% bagi setiap pesanan sambil menyamar sebagai pelanggan. Beliau berkata seorang pengendali bernama Jimmy Green membantu mendedahkan kelompok yang memegang lebih $12 juta dana berkaitan Bybit, lalu Tether membekukan 442,000 USDT.

ZachXBT mendakwa rangkaian itu beroperasi di Hong Kong dan tanah besar China serta mengubah wang lebih $1 bilion untuk Lazarus. Saiz rangkaian itu dan identiti pengendalinya belum disahkan secara bebas melalui pertuduhan awam. Beliau turut mendakwa pihak China yang mengendalikan dana Bitget meminta bantuan dalam kumpulan awam Discord dan Telegram, dan seorang pengendali pernah mengendalikan hasil KelpDAO.

Sokongan kewangan Bitget dan had pemulihan

Bitget berkata Dana Perlindungan Penggunanya melebihi $464 juta sebelum serangan itu dan akan menampung kerugian pelanggan. Kecurian $387.5 juta bersamaan kira-kira 83.5% daripada rizab $464 juta. Perbandingan itu mengukur potensi beban, bukan bukti tentang cara pampasan dibayar atau aset yang membiayainya.

Pada 28 September, bursa itu berikrar untuk mengembalikan dana tersebut kepada sekurang-kurangnya $300 juta dalam masa seminggu. Ia mengumumkan bahawa sasaran itu dicapai pada 30 September. Bitget turut menawarkan ganjaran sehingga 5% bagi dana yang berjaya dibekukan atau diperoleh semula, bekerjasama dengan Mandiant dan SlowMist serta mengeluarkan papan pemuka penjejakan dompet.

Menurut Bitget, dagangan dan deposit kekal dibuka sepanjang penggantungan pengeluaran. Pengeluaran Bitcoin disambung semula pada 28 September, diikuti Ethereum pada 29 September dan USDT pada 30 September. Bursa itu berkata tiada kerugian tambahan berlaku sepanjang penggantungan. Token BGB miliknya jatuh hampir 7% kepada $1.93 sebelum pulih kepada $1.97 dalam gambaran dagangan yang dilaporkan.

Skop keseluruhan kerugian pada September juga dipertikaikan. PeckShield mengira 55 penggodaman berjumlah $766.5 juta, manakala CertiK mengira 97 insiden berjumlah $768.4 juta. Bitget mewakili kira-kira separuh daripada kedua-dua jumlah itu. Laporan meletakkan kerugian berasingan Liquid Network pada $319 juta hingga $320 juta, dengan lebih $270 juta dilaporkan telah dipulangkan. Satu lagi insiden Coldcard yang dilaporkan melibatkan kira-kira $116 juta pada Julai.

Usaha penguatkuasaan turut melangkaui kecurian bursa. Jabatan Perbendaharaan AS mengenakan sekatan terhadap lapan individu dan dua entiti yang dituduh mengubah wang hasil jenayah siber dan pendapatan pekerja IT di luar negara. Tuduhan itu termasuk jurubank yang mengurus sekurang-kurangnya $5.3 juta melalui First Credit Bank dan penyembunyian melalui orang tengah di China dan Rusia. Tindakan berasingan Jabatan Kehakiman melibatkan $7.7 juta yang dikaitkan dengan dakwaan penipuan pekerja IT dan lebih $15 juta yang dikaitkan dengan empat kecurian yang diatributkan kepada APT38.

Tindakan ini menunjukkan mengapa pembekuan, penyitaan dan pembayaran balik ialah peringkat yang berbeza. Jumlah baki pemulihan Bitget, identiti vendor yang terdedah dan laporan teknikal muktamad masih belum diketahui. Tiada tarikh pasti bagi penyelesaian siasatan atau pemulangan aset yang dicuri diumumkan.

Perkara Utama

• Kerugian Bitget yang disemak semula kepada $387.5 juta menjadikan jumlah kecurian berkaitan Korea Utara yang dinyatakan bagi 2026 sekurang-kurangnya $1.0305 bilion.
• Dapatan awal menyatakan data kelulusan palsu, bukannya kunci peribadi yang dicuri, sebagai kaedah yang membolehkan pengeluaran.
• Chainalysis mengaitkan serangan itu dengan pihak Korea Utara; atribusi khusus kepada Lazarus belum disahkan secara terbuka.
• AI mengurangkan satu tugas penjejakan dana kepada kurang 10 minit, tetapi penjejakan itu tidak memperoleh semula aset.
• Perkhidmatan pertukaran berbeza pendirian tentang campur tangan, manakala transaksi pengubahan wang yang diteliti menjana fi yang besar.
• Bitget mengumumkan dana perlindungan sekurang-kurangnya $300 juta yang telah dipulihkan dan membuka semula pengeluaran secara berperingkat.
• Jumlah akhir pemulihan dan identiti vendor keselamatan yang terjejas masih belum diketahui.