הפריצה ל-Bitget: 387.5 מיליון דולר נגנבו, והמשיכות חוזרות בשלבים
התוקפים זייפו נתוני העברה בתוך מערכת הארנקים של Bitget ויצאו עם 387.5 מיליון דולר. קרן ההגנה מכסה את הנזק, והמשיכות נפתחות בין 28 בספטמבר ל-2 באוקטובר.
ביום חמישי, 24 בספטמבר, בשעה 18:31 לפי שעון UTC (21:31 בישראל), זיהו מערכות האבטחה של בורסת Bitget העברות לא מורשות מחלק מהארנקים החמים שלה. בתוך שעה ספרו חוקרים על השרשרת כ-183 מיליון דולר שיצאו מכתובות המתויגות כשייכות לבורסה. עד שהחברה אישרה את הפריצה הסכום עמד על 351.6 מיליון דולר, ולמחרת היא עדכנה אותו ל-387.5 מיליון. לפי Decrypt זו כנראה הפריצה הגדולה של 2026 עד כה.
הלקוחות לא אמורים להפסיד מזה כסף. Bitget מחזיקה קרן הגנה למשתמשים בהיקף של יותר מ-464 מיליון דולר, והמנכ"לית גרייסי צ'ן הודיעה שהקרן תכסה את מלוא הנזק ושיתרות החשבונות נשארות כפי שהיו. המסחר וההפקדות המשיכו לעבוד כל הזמן. המשיכות הוקפאו, והן חוזרות בהדרגה החל מיום שני, 28 בספטמבר.
הפורצים זייפו נתוני העברה, והמערכת חתמה עליהם
הפרט הטכני החשוב ביותר בפרשה הוא מה שהתוקפים לא עשו. לדברי צ'ן, הם לא השיגו את המפתחות הפרטיים של הארנק הקר, של הארנקים החמים או של הארנקים ה"פושרים" שביניהם, וגם לא זייפו בקשות משיכה של משתמשים. הם פרצו למערכת אחורית בתשתית הארנקים של הבורסה, ומשם הזינו נתוני העברה מזויפים לתהליך האישור והחתימה של Bitget עצמה. המערכת ראתה בקשות שנראו שגרתיות, וחתמה עליהן.
אפשר לחשוב על זה כמו על פקיד בנק שבודק שהטופס מולא כהלכה ולא בודק מי הגיש אותו. הכספת נשארה נעולה, ומי שהחזיק את המפתח פתח אותה בעצמו כי הניירת נראתה תקינה. דפוס דומה נראה בפריצה ל-Bybit בפברואר 2025, שבה התוקפים הטעו את מנגנון האישור של החותמים ולא גנבו את המפתחות עצמם.
מה נלקח ואיך זה זז
לפי העדכון של Bitget, ההעברות יצאו מכתובות ברשתות תואמות EVM, ב-XRP Ledger, ב-Zcash וב-TRON. בין הנכסים שנלקחו: XRP, את'ר, USDT, USDC, USDT0, זיקאש, XAUt (טוקן זהב של טת'ר), BNB, AVAX ו-TRX. החלק הגדול ביותר של השלל הוא כ-103 מיליון XRP בשווי של כ-157 מיליון דולר, כ-40% מהסכום כולו. התוספת של 35 מיליון דולר בעדכון השני הגיעה מנכסים ב-Zcash וב-TRON שלא נכללו בספירה הראשונה, ולא מגל העברות נוסף.
החוקר DCF GOD זיהה עוד לפני ההודעה הרשמית ארנק חדש שהוציא 19.67 מיליון דולר ב-USDT0 כדי לקנות 7,111 את'ר בתוך שש דקות, דרך UniswapX ו-1inch Fusion, ושילם כ-5% מעל מחיר השוק. פרמיה כזו מלמדת שהמטרה הייתה להיפטר מהר ככל האפשר מנכסים שהמנפיקה שלהם יכולה להקפיא.
ההקפאה של Circle וטת'ר תפסה 318 אלף דולר בלבד
הבהילה הזו השתלמה לו. Circle הכניסה ביום שישי ב-05:00 UTC לרשימה השחורה את הכתובת המתויגת באתר Etherscan בשם Bitget Exploiter 8, וטת'ר הצטרפה כשבע שעות אחר כך דרך ארנק החתימות המרובות שלה. בכתובת הזו נעלו כ-99,990 USDC וכ-218,023 USDT, יחד כ-318 אלף דולר. כ-170 את'ר שישבו באותה כתובת נשארו זמינים לתוקף, כי למנפיקה של סטייבלקוין יש שליטה על הטוקן שלה בלבד. לפי עוקבי השרשרת שציטט Decrypt, כתובות אחרות שקשורות לתוקף מחזיקות יותר מ-63 אלף את'ר, בשווי של כ-170 מיליון דולר לפי מחיר של כ-2,700 דולר.
ההקפאה הוכיחה ש-Circle וטת'ר מסוגלות לפעול מהר יותר מבעבר, אבל גם כמה מעט זה שווה כשהתוקף מקדים אותן בכמה שעות. Bitget הודיעה שחלק מהכספים הוקפאו בתיאום עם גורמים בתעשייה, בלי לציין סכום, והשיקה תוכנית פרס שמשלמת אחוז מכל נכס שיוקפא או יוחזר בזכות מידע מבחוץ.
הסימנים שמובילים לפיונגיאנג
צ'ן הייתה זהירה, אבל לא עמומה. "זיהינו כמה כתובות IP שתואמות את בחירות ה-VPN של קבוצה צפון קוריאנית מסוימת", אמרה בשידור חי ב-X, והוסיפה שהדפוס "נראה מאוד כמו מה שהצוות הצפון קוריאני עשה בעבר". בשלב הראשון היא שללה עבודה מבפנים (ראו עדכון בהמשך), וסיפרה שהיא עצמה הותקפה בעבר על ידי אותה קבוצה ואיבדה כ-80 אלף דולר מארנק פרטי מחוץ ל-Bitget.
חוקר על השרשרת בשם Specter פרסם חיבור עצמאי. לדבריו, חלק מה-XRP הגנוב הגיע לכתובת את'ריום שקיבלה 68,808 USDT מארנק שבעבר שלח את'ר לכתובת המתויגת "AFX EXPLOITER". בורסת AFX נפרצה ביולי בכ-24 מיליון דולר, ובדוח שפרסמה אחרי המקרה ייחסה אותו לקבוצה TraderTraitor, המזוהה עם צפון קוריאה. החקירה עצמה מתנהלת עם Mandiant ו-SlowMist, ורשויות אכיפה כבר מעורבות. ראיה טכנית לייחוס עוד לא פורסמה.
הרקע ידוע. לפי Chainalysis, האקרים צפון קוריאנים גנבו ב-2025 יותר משני מיליארד דולר בקריפטו, ורוב הסכום הגיע מפריצת Bybit. כתבנו השבוע גם על קמפיין ריאיונות העבודה המזויפים של WaterPlum, שמשתמש בשיטה שונה לגמרי לאותה מטרה.
ציר הזמן
| מועד (UTC) | מה קרה |
|---|---|
| 24 בספטמבר, 18:31 | מערכות Bitget מזהות העברות לא מורשות מארנקים חמים |
| 24 בספטמבר, בתוך כשעה | חוקרים על השרשרת סופרים כ-183 מיליון דולר שיצאו |
| 24 בספטמבר, בערב | Bitget מאשרת פריצה של 351.6 מיליון דולר ומקפיאה משיכות |
| 25 בספטמבר, 05:00 | Circle מקפיאה USDC בכתובת Bitget Exploiter 8, וטת'ר מצטרפת כשבע שעות אחר כך |
| 25 בספטמבר | Bitget מעדכנת את הנזק ל-387.5 מיליון דולר ומשיקה תוכנית פרס |
| 28 בספטמבר עד 2 באוקטובר | חידוש המשיכות בשלבים |
הקרן מכסה, אבל חצי שנה של צבירה נעלמה
קרן ההגנה של Bitget עמדה על 300 מיליון דולר ב-2023 וצמחה מאז ליותר מ-464 מיליון. חשבון פשוט מראה כמה ממנה יוצא עכשיו. 387.5 חלקי 464 הם כ-83.5%. אחרי כיסוי מלא, ובהנחה שהקרן לא מקבלת תוספת ושהערך שלה לא משתנה, נשארים בה כ-76.5 מיליון דולר. כלומר, הבורסה מסוגלת לספוג את הפריצה הזו, אבל פריצה שנייה בסדר גודל דומה לפני שהקרן תמולא מחדש כבר לא הייתה מכוסה באותה צורה.
קרן כזו היא התחייבות של החברה ולא ביטוח חיצוני, והיא שווה בדיוק כמו היכולת של החברה לעמוד בה. במקרה הזה נראה שהיא עובדת כמתוכנן. מי שמחזיק סכומים גדולים בבורסה מרכזית צריך לזכור שהכיסוי תלוי בגודל הפריצה הבאה.
לוח חידוש המשיכות
Bitget הודיעה שהפרצה אותרה ותוקנה, ופרסמה לוח חידוש מדורג:
| נכס | רשתות | מועד (UTC) | שעון ישראל |
|---|---|---|---|
| ביטקוין | רשת ביטקוין | 28 בספטמבר, 08:00 | 11:00 |
| את'ר | Ethereum, BSC, Arbitrum, Base, Optimism | 29 בספטמבר, 08:00 | 11:00 |
| USDT | Ethereum, BSC, Solana, Tron | 30 בספטמבר, 08:00 | 11:00 |
| שאר המטבעות, פיאט ו-P2P | כל הרשתות | 2 באוקטובר, 08:00 | 11:00 |
לקוחות Bitget בישראל: איך למשוך בלי להסתבך
Bitget פופולרית בקרב סוחרים ישראלים, בעיקר בזכות חוזי הנגזרים. אם יש לכם שם יתרה, כמה צעדים שווים את הזמן לפני שהמשיכות נפתחות.
צלמו עכשיו את מסך היתרות ואת היסטוריית העסקאות, ושמרו את דוח החשבון. אם משהו ישתבש בתהליך הכיסוי, זו ההוכחה שלכם. אותו תיעוד משמש גם מול הבנק: בנקים בישראל מבקשים בדרך כלל להבין את מקור הכספים כשמגיעה העברה מבורסה בחו"ל, ומסמך מסודר חוסך שבועות של התכתבות.
אחרי פריצה גדולה מגיע בדרך כלל גל של הודעות מתחזות בשם הבורסה, עם "טופס פיצוי" או "אימות חשבון". Bitget לא צריכה את ביטוי השחזור שלכם ולא את הסיסמה כדי לכסות את הנזק. כל פנייה שמבקשת אותם היא ניסיון גניבה, גם כשהיא נראית רשמית.
כשהמשיכות נפתחות, בדקו פעמיים את כתובת היעד ואת הרשת. משיכה של USDT ברשת הלא נכונה היא טעות שאין ממנה דרך חזרה. אם אתם מתכננים להעביר הכל לארנק עצמי, התחילו בהעברת ניסיון קטנה.
בצד המיסוי, העברה של ביטקוין מהבורסה לארנק שבבעלותכם איננה מכירה, ולא נוצר בה אירוע מס. המרה של את'ר ל-USDT כדי "לצאת לדולרים" היא כן מימוש לפי רשות המסים, גם אם הכסף לא יצא מהבורסה. מי שמחזיק נכסים בבורסה זרה חייב בדיווח שנתי גם בלי שמכר דבר. פירטנו את זה במדריך המס שלנו.
שאלות ותשובות
האם הכסף שלי ב-Bitget נעלם?
לפי הבורסה, לא. הנזק מכוסה מקרן ההגנה, והיתרות בחשבונות לא השתנו. מה שנעלם הוא הכסף של הבורסה עצמה.
האם גם הארנק הקר נפגע?
Bitget אומרת שלא, ושאף מפתח פרטי לא דלף. ההעברות יצאו מארנקים חמים ופושרים.
מתי אפשר למשוך?
ביטקוין ביום שני ב-11:00 שעון ישראל, את'ר ביום שלישי, USDT ביום רביעי ושאר הנכסים ביום שישי, 2 באוקטובר.
האם זה מוכח שצפון קוריאה עומדת מאחורי הפריצה?
לא. יש סימנים שהמנכ"לית וחוקרים עצמאיים הצביעו עליהם, אבל ייחוס רשמי עוד לא פורסם.
Bitget התחייבה לפרסם דוח אירוע מלא עם ניתוח הגורם השורשי כשצוותי הטכנולוגיה יסיימו את התיקון. זה המסמך שכדאי לחכות לו לפני שמחליטים כמה כסף להשאיר שם.
עדכון, 30 בספטמבר: הפריצה התחילה שלושה שבועות קודם, והמנכ"לית לא אופטימית
חברת האבטחה SlowMist, שחוקרת את האירוע יחד עם Bitget, פרסמה דוח ביניים. לפי Cointelegraph, הפעילות הזדונית הראשונה שתועדה התרחשה כבר ב-31 באוגוסט, כשהתוקף ניצל פרצת Zero-day במוצר אבטחה של צד שלישי. הוא הריץ סקריפט נסתר, שלף סיסמה ממשתני הסביבה ונכנס למסד הנתונים של המוצר. ב-25 בספטמבר הוא נכנס גם לממשק הניהול של מוצר אבטחה שני, בזהות של עובד, וניסה להזריק פקודות ולהעלות קבצים זדוניים.
SlowMist שחזרה כלי ייעודי שהתוקף מחק, שזייף את פרמטרי בקרת הסיכונים, בנה בקשות משיכה והפעיל את תהליך המשיכה. ההעברות עצמן נמשכו כשעתיים ו-52 דקות על פני כמה רשתות. התוקף ניסה גם לשנות רשומות משיכה ישירות במסד הנתונים ולהוציא עוד ביטקוין, אבל שתי הזמנות מזויפות של BTC החזירו שגיאה. זה מתיישב עם מה שתיארנו כאן, זיוף נתונים בתוך המערכת בלי גישה למפתחות. המנכ"לית גרייסי צ'ן חזרה ואמרה שהמפתחות הפרטיים והארנקים הקרים לא נפגעו.
על ההחזר היא פחות אופטימית. בריאיון ל-Cointelegraph השוותה צ'ן את המקרה לפריצה ל-Bybit, שבה אחרי יותר משנה הוקפאו רק כ-3.5% מהכסף הגנוב. הצוות של NEAR Intents הודיע שחסם יותר מ-50 מיליון דולר בנכסים שקשורים לתוקף והקפיא כחצי מיליון. Bitget מציעה פרס של 5% מכל סכום שיוקפא ועוד 5% מכל סכום שיוחזר. צ'ן גם אמרה שהבורסה עוד לא שללה לגמרי אפשרות של מעורבות פנימית, לצד הסימנים לקבוצה צפון קוריאנית.
המשיכות חוזרות לפי הלוח. ביטקוין נפתח ביום שני ואת'ר ביום שלישי, ושאר הנכסים מתוכננים עד 2 באוקטובר. דוח הגורם השורשי המלא עדיין לא פורסם.
עדכון, 4 באוקטובר: Chainalysis מייחסת לצפון קוריאה, והשלל נכנס לזיקאש
Chainalysis פרסמה ב-30 בספטמבר דוח שמייחס את הפריצה לגורמים הקשורים לצפון קוריאה, בהתאם להערכות של המנכ"לית ושל Elliptic. לפי הדוח, בשלוש השעות הראשונות יצאו 387 מיליון דולר ב-23 העברות: 49.7% לאת'ריום, 40.8% ל-XRP, 7.6% לזיקאש ו-1.8% ל-TRON. ה-XRP הגנוב עבר דרך פרוטוקול נזילות בין רשתות ויצא בצד השני כביטקוין, עשרות מיליוני דולרים במשך כיום וחצי. לפי Chainalysis, הפריצה העבירה את סך הגניבות של צפון קוריאה ב-2026 מעבר למיליארד דולר.
התוקף התחיל להסתיר כסף. לפי ZachXBT, ב-30 בספטמבר הוא העביר כ-2,700 ZEC, כ-3.8 מיליון דולר וכשביעית מהזיקאש שנגנב, לבריכה המוגנת Ironwood, שבה אי אפשר לראות מי שלח, מי קיבל וכמה. THORChain דחתה את בקשת המנכ"לית לחסום את כתובות התוקף, בטענה שעצירת הרשת היא כלי חירום להגנה על הפרוטוקול ולא כלי להקפאת כספים, וב-28 בספטמבר הומרו דרכה כ-2,390 את'ר לכ-75.2 ביטקוין. NEAR Intents, שדחתה יותר מ-50 מיליון דולר בהחלפות של התוקף, נפרצה בעצמה ב-1 באוקטובר בכ-3.8 מיליון דולר שהוחזרו למחרת, בלי קשר מוכח לפרשה. סיכמנו את כל אירועי השבוע בכתבה נפרדת.
ליתרות הלקוחות שום דבר לא השתנה. הכיסוי מקרן ההגנה עומד, והקפאות המטבעות היציבים עדיין עומדות על כ-318 אלף דולר בלבד.
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות, ייעוץ מס או ייעוץ אבטחה.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
