钥匙没被偷，1 小时却流走 3.5 亿美元 —— Bitget 热钱包被盗事件（9/24）与审批流程的“信任边界”
2026 年 9 月 24 日 18:31 UTC，Bitget 的安全系统检出部分热钱包的未授权转账，并在数分钟内启动紧急响应流程。25 日，CEO Gracy Chen 公开发声，公布受影响资产约 3.516 亿美元。Bitget 的钱包结构分为三层（hot / warm / cold）；据交易所说明，侵害局限于 hot 与 warm 层的一部分，未波及离线冷钱包，客户账户余额与持仓一致。安全审查期间提现暂停，充值与交易继续。交易所称已识别并标记收款地址、向执法机构通报、并委托区块链安全公司追踪资金，同时表示将在初始通报后 24 小时内提供包含根本原因与整改措施在内的完整事件报告（据 Gracy Chen 在 X 上的声明、Bitget 官方安全公告、Cryptopotato、InvestingLive、CyberSecurityNews）。
关于攻击路径，Bitget 的说明是：攻击者进入钱包基础设施内的某个后端系统，伪造交易数据，从而欺骗审批流程、诱导其放出资金。换言之，按照交易所的说法，这并非控制钱包本身的私钥泄露。链上研究者（Arkham Intelligence 等的分析师）的早期估计为 1.74 亿至 1.83 亿美元，约为确认金额的一半；链上观察者追踪了涉及 ETH、BNB、AVAX、USDT、USDC 等的转移。据 Decrypt 报道，一笔值得注意的交易是：新建钱包用约 6 分钟将约 1,970 万美元的 USDT0（Tether 的跨链版本）兑换为 7,111 枚 ETH，为尽快成交付出了最高较市场价溢价 5% 的对价。交易所的用户保护基金持有 4.64 亿美元，超过损失金额，Bitget 已承诺从中全额赔付。TFTC 则注明该基金的资产构成未经独立验证。
关于归属：链上调查者 Specter 主张与朝鲜有关的 Lazarus Group 是幕后黑手，HackRead 报道称 Bitget 怀疑该集团参与；而据媒体报道，Bitget 本人“拒绝推测”、未做正式归属。将当前状态概括为“怀疑”而非“归属”是妥当的。作为背景，据报道 Lazarus 相关集团近年来参与了多起大型交易所入侵事件——2025 年 2 月 Bybit 的 15 亿美元（FBI 将其归因于 Lazarus）、2024 年 DMM Bitcoin 约 3.08 亿美元、WazirX 约 2.349 亿美元等。据 Chainalysis 统计，2025 年全年加密资产盗窃达 34 亿美元，其中 20.2 亿美元（超过 60%）估计与朝鲜有关。仅 2026 年上半年就有 212 起事件、11 亿美元被夺走，过半数归因于 Lazarus Group。本案快速的多链分散、即刻兑换为 ETH、以及不经密钥泄露而经由内部系统进入的路径，与国家关联集团的行动签名有吻合之处——但手法相似并不是同一性的证据。
分析（与事实分开）：值得注意的一点是，“钥匙没被偷”未必是好的结果。按照 Bitget 的说明，攻击者没有拿走签名密钥，而是到达了向审批流程供给数据的后端系统，并伪造了交易数据。被攻破的不是密码学边界（密钥），而是信任边界（审批判断的信息来源）。这与本观测最近两周处理的“管理·身份面”主题——F5 BIG-IP APM 的 OAuth 零日（身份签发侧被无认证 RCE）、Cisco ISE 的管理 API 认证绕过（CVSS 10.0）、Secure Email Gateway 经解析代码抵达 root——同构，共同结构都是：当做出判断的面本身被夺取时，判断本身便不再可信。钱包基础设施的审批流程正是这样一种判断面；交给它的余额与交易数据的完整性、以及能够创建或变更提现请求的内部系统的权限，决定了信任边界。24 小时报告若能说明是哪个后端系统被入侵、伪造数据在哪些审批者眼中呈现、多级审批能否区分“伪造的数据路径”与“真实请求”，失败点就会更具体。在此之前，将失败建模为“通往审批流程的数据路径被侵害”是妥当的。
防御侧启示：(1) 持有链上资产的交易所与财务部门运营中，应将审批流水线本身作为第一级（first-class）信任边界来对待。不仅是密钥保管，还要把交易数据的来源可信（API 层的认证与证明、每个审批者独立的视图、持有独立视图的多重签名）作为设计要求。(2) 将提现速度与按链限额配套设置，并把链上异常（异常的兑换速度、相对市场价的异常价差）作为实时分诊信号监控——本案 USDT0 → ETH 约 6 分钟、最高 5% 溢价的交易正是这种信号。(3) 多链分散会削弱冻结效果，应事先与桥及 DEX 交易对手约定冻结与追踪渠道。(4) 暂停提现、迅速公告与赔付承诺能限定二次损害——但赔付的效力只在基金规模与资产构成可被独立验证的范围内成立，因此要在平时就维护这种可验证性。本文事实依据 Gracy Chen 在 X 上的声明（https://x.com/GracyBitget/status/2103235655879074084）、Bitget 官方安全公告（https://www.bitget.com/support/articles/12560603896024）、Cryptopotato 报道（https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/）、InvestingLive 报道（https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/）、CyberSecurityNews 报道（https://cybersecuritynews.com/bitget-hot-wallet-hacked/）、shattered.io 分析（https://shattered.io/bitget-hack-351-million-2026/）与 HackRead 报道（https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/）。分析部分与事实分开记述。