Bitget遭攻击损失3.52亿美元：保护基金全额赔付，第三方团队已介入独立取证

北京时间9月25日凌晨02:31，Bitget的安全系统捕捉到一笔不对劲的转账。

几个小时后，官方确认了损失规模：约3.52亿美元。这是2026年加密行业最大的一笔交易所安全事件，也是继TraderTraitor系列攻击之后，又一次指向朝鲜背景黑客组织的行动。

但这件事最让人后背发凉的，并不是那个数字。

而是攻击者从头到尾，都没有拿到任何一枚私钥。

一、攻击链还原：钱是“合法”转出去的

伪造的是请求，不是签名

通常的交易所被盗剧本是这样的：黑客拿到热钱包私钥，签一笔转账，链上留下痕迹，所有人追着这笔钱跑。

这次不一样。

根据Bitget披露的信息，攻击者侵入的是交易所后端系统。他们把欺诈交易伪装成合法请求，直接伪造了交易数据，进而触发授权流程。也就是说，整个链条上的每一个环节都以为自己正在处理一笔正常业务。签名是对的，流程是通的，权限是有的。

钱就这样“正常”地转出去了。

这种手法绕过了绝大多数传统安全设备的检测逻辑——因为你没法报警说一个完全合规的请求有问题。它暴露的是一个更深层的问题：当验证机制只认格式不认意图时，格式对了，门就开了。

洗钱路径：UniswapX、1inch Fusion、跨链桥

链上追踪勾勒出的资金走向非常熟练：

先把USDT0通过UniswapX和1inch Fusion换成ETH，溢价约5%——这是典型的“花钱买速度”，不在乎滑点，只求快；
接着拆分到多个新地址，打散追踪链路；
再经Avalanche等跨链桥转移，跨链、换链、再拆分。

整套动作的节奏、工具选择和换链顺序，与朝鲜黑客组织TraderTraitor的手法高度吻合。后者在2025年4月拿下KelpDAO跨链桥（2.92亿美元），7月又攻击了AFX Trade（2415万美元）。

Bitget CEO Gracy Chen在直播中直接点名朝鲜。她的依据是IP地址与朝鲜黑客常用的VPN服务相匹配，且行为模式高度一致。这个指控目前还没有执法机构的最终背书，但方向性判断已经相当明确。

二、Bitget赔得起吗？看它的保护基金账本

这是用户最关心的问题，答案也相对清晰：赔得起，而且不是第一次赔。

Bitget的用户保护基金设立于2022年，初始规模为3亿美元。到了2025年9月，该基金一度达到7.35亿美元的峰值；2026年4月回落至约4.64亿美元——这个数字依然高于本次3.52亿美元的损失额。

更关键的是它有真实赔付记录。2025年4月VOXEL/USDT合约出现异常时，Bitget确实用这只基金赔付了1亿美元。这不是一张空头支票，而是一套已经跑通过一次的流程。

官方的应对动作也很快：委托Mandiant和SlowMist两家机构进行独立取证，暂停提币，宣布保护基金覆盖全部用户损失，并承诺24小时内出具完整报告。

这里有个细节值得注意：同时请两家第三方机构，且强调“独立”取证。 在信任崩塌的窗口期，自己说的话没人信，能借用的只有外部机构的声誉。这是一次标准的危机公关操作，但也是目前唯一有效的做法。

三、“超级月份”：9月这一波，抵得上上半年均值

Bitget并不是孤例。同月发生的还有：

Liquid侧链：约3.2亿美元
Chainflip：约73.6万USDT
Symbiosis：约33.6万美元
Nomic nBTC桥：约22.65 BTC

作为对照，2026年上半年全行业的攻击事件统计口径并不统一——TRM Labs与Immunefi记录为207起，Blockaid记为212起，Onchain Lens则记为224起。对应的损失金额区间大约在9.56亿至13.2亿美元之间。

仅9月这几笔，就已经逼近甚至超过了上半年的月均值。

这不是偶然波动，这是攻击频率和单次金额的双重抬升。

四、攻击面已经扩散到整条栈

如果说前几年的黑客还在死磕智能合约漏洞，那现在的战场早就转移了。

从上半年的数据来看，约76%的损失来自基础设施与运营安全事件，只有不到四分之一是纯粹的合约逻辑问题。受影响的环节包括：跨链桥、侧链、硬件钱包（Coldcard固件漏洞牵连约1.1亿美元）、交易所后端，无一幸免。

对手打的不再是代码，而是架构和人。

战术层面也在同步升级：

供应链投毒：不攻你，攻你用的库、你装的插件、你CI里拉的依赖；
社会工程学：钓鱼、冒充、长期潜伏，耐心比技术更值钱；
物理胁迫：欧洲地区的“扳手攻击”案件激增11.8倍——当线上攻不进去，就线下找人；
伪造事件日志绕过验证：这正是Bitget这次遭遇的手法，让系统自己替攻击者签字。

还有一条更扎心的线索：上半年约66%的损失关联朝鲜背景黑客。这意味着行业面对的不再是一群散兵游勇，而是一个有编制、有预算、有KPI、且可以无限期潜伏的组织化对手。

五、新常态下的三条实操建议

1. 选交易所，别只看基金规模

保护基金是事后救济，不是事前防御。一个7亿美元的基金听起来很厚，但它只在出事之后才有意义。

更应该翻的是这几样：技术架构是否做过第三方审计、历史安全记录有没有隐瞒、事故报告的透明度如何、合规牌照覆盖哪些司法辖区。 一家愿意把事故细节摊开讲的交易所，比一家永远宣称“系统一切正常”的交易所可靠得多。

2. 大额资产，能上硬件钱包就别留交易所

这条老生常谈的建议，在Coldcard固件漏洞爆出之后需要加个注脚：硬件钱包也不是保险箱，固件来源、供应链渠道、更新验证，每一步都得自己把关。 但从概率上讲，资产掌握在自己手里，依然比放在任何中心化平台上安全一个数量级。

分散存放同样重要。不要把所有的筹码押在一个地址、一条链、一家机构上。

3. 接受一个事实：零风险不存在

过去大家习惯用“这家没出过事”来判断安全性。这个判断标准已经失效了。Bitget在出事之前，也是一家长期没有大事故的交易所。

更现实的姿态是：假设它迟早会出事，然后问自己三个问题——我的资产有多少比例暴露在单一平台上？如果提币暂停48小时，我会不会崩？我知不知道理赔流程怎么走？

结语：这一次，行业至少做对了两件事

回头看这次事件，坏消息很多，但也有两点进步值得记下来。

第一，赔付速度。 从发现异常到宣布全额覆盖，中间只隔了几小时。相比早年Mt. Gox那种拖了七八年的烂尾，行业的应急能力确实上了一个台阶。

第二，独立取证的常态化。 Mandiant和SlowMist同时进场，报告要在24小时内出。透明度不再是可选项，而是保住用户的最低门槛。

可这些进步改变不了一个基本事实：攻击面在扩张，对手在升级，而防御方永远慢半拍。

保护基金能赔钱，但赔不回信任。而信任这东西，一旦漏过一次，补起来比补漏洞贵得多。