Bitget afferma che un attacco ai suoi wallet ha sottratto 387,5 milioni di dollari il 24 settembre, dopo la compromissione di un sistema backend critico per le operazioni sui portafogli. Secondo l’exchange, i dati di transazione sarebbero stati falsificati fino a far approvare al suo stesso sistema trasferimenti fraudolenti.
La prima stima era di 351,6 milioni di dollari, poi rivista al rialzo con l’inclusione di asset Zcash e TRON. I prelievi restano sospesi e Bitget sostiene che il proprio fondo di protezione sia sufficiente a coprire la perdita.
La cronologia dell’attacco
Bitget colloca alle 18:31 UTC il rilevamento dei trasferimenti non autorizzati e dice di avere attivato le procedure d’emergenza nel giro di pochi minuti. L’incidente avrebbe riguardato una parte dei wallet hot e warm, mentre i wallet cold offline non sarebbero stati coinvolti.
L’orario del rilevamento non chiarisce però quando gli aggressori abbiano ottenuto l’accesso ai sistemi. Alle 19:57 UTC, l’analista DCF GOD ha segnalato un wallet appena creato che avrebbe speso 19,67 milioni in USDT0 per acquistare 7.111 ETH in sei minuti, pagando in alcuni casi fino al 5% sopra il prezzo di mercato.
Alle 21:06 UTC Bubblemaps ha poi riportato movimenti per circa 180 milioni di dollari dai wallet di Bitget verso un indirizzo comune, seguiti dalla divisione dei fondi tra più wallet. Poco dopo, alle 21:30 UTC, la CEO Gracy Chen ha comunicato una prima perdita stimata in 351,6 milioni e la sospensione dei prelievi.
Come sarebbero state aggirate le autorizzazioni
La ricostruzione fornita da Chen alle 00:43 UTC del 25 settembre indica la compromissione di un backend che gestisce le operazioni dei wallet. Gli aggressori avrebbero inserito dati falsi nelle transazioni e innescato il processo di autorizzazione dell’exchange, ottenendo così l’approvazione interna per i trasferimenti.
Bitget avrebbe escluso il furto delle chiavi private. Restano però senza risposta due elementi centrali: il punto d’ingresso nel backend e i controlli di sicurezza che non hanno intercettato le richieste manipolate prima dell’autorizzazione.
Alle 14:03 UTC l’exchange ha portato la stima a 387,5 milioni di dollari, includendo gli asset Zcash e TRON. Bitget dichiara di aver corretto la vulnerabilità e aveva promesso di comunicare un piano sui prelievi entro le 04:00 UTC del 26 settembre, senza garantire la riapertura in quell’orario.
Indagini in corso e ipotesi sul responsabile
Mandiant e SlowMist stanno indagando sull’accaduto. Chen sospetta un coinvolgimento nordcoreano, citando comportamenti degli indirizzi IP e attività on-chain che ritiene compatibili con gruppi legati alla Corea del Nord. L’attribuzione, tuttavia, non è stata verificata in modo indipendente.
Il caso presenta alcune somiglianze con il furto ai danni di Bybit del febbraio 2025: autorizzazioni manipolate, rapida conversione degli asset, frammentazione dei fondi su più wallet e ricorso a THORChain. Sono elementi utili agli investigatori, ma non bastano da soli a identificare gli autori.
Domande frequenti
Quanto è stato sottratto secondo Bitget?
La stima più recente comunicata dall’exchange è di 387,5 milioni di dollari. Il calcolo iniziale era di 351,6 milioni e in seguito è stato aggiornato con l’inclusione di asset Zcash e TRON.
Le chiavi private sarebbero state rubate?
No, secondo quanto riferito da Bitget il furto delle chiavi private è stato escluso. La spiegazione indicata punta invece a dati di transazione falsificati e a un processo di autorizzazione ingannato.
I prelievi sono già tornati disponibili?
Il resoconto segnala che i prelievi sono rimasti sospesi. Bitget aveva annunciato un piano entro il 26 settembre, precisando però che quell’aggiornamento non equivaleva a una promessa di riapertura immediata.
Considerazioni finali
La parte più preoccupante del caso non è soltanto l’ammontare della perdita, ma il fatto che il sistema di autorizzazione avrebbe convalidato operazioni costruite con dati falsi. Se questa ricostruzione sarà confermata, il nodo riguarda il confine tra la protezione delle chiavi e l’affidabilità dell’intera catena che approva un trasferimento.
Bitget ha indicato un rimborso attraverso il fondo di protezione e dice di aver risolto la vulnerabilità, ma sono dettagli essenziali da chiarire: come è stato raggiunto il backend e perché i controlli non hanno bloccato le transazioni. È su quei passaggi che si misura davvero la portata dell’incidente da 387,5 milioni di dollari.