全部事件 · 2026年9月24日
Bitget 热钱包和温钱包遭未授权转出
Bitget交易所已控制Ethereum、XRP Ledger、Zcash、Tron、Arbitrum、Optimism、Base、BSC、Avalanche、Algorand、Celestia
2026 年 9 月 24 日，Bitget 部分热钱包和温钱包被未授权转出。官方最终核对约 3.88 亿美元。冷钱包和私钥没有受影响。用户余额没有被改，提现从 9 月 28 日起分批恢复，10 月 2 日全部恢复。Chainalysis 称与朝鲜有关。
其他说法
- 损失3.516亿美元Bitget：当天初步估计 · 截至 2026年9月24日
- 损失3.875亿美元Bitget：次日链上核对 · 截至 2026年9月25日
经过
从新到旧 · UTC
10月13日2026 · 周二
官方页面把最终核对写成约 3.88 亿美元
改口 · Bitget
事件页这次更新把最终核对金额写成约 3.88 亿美元，12 个地址，全部是热钱包和温钱包。资产是 XRP、ETH、USDT、ZEC、USDC、USDT0、XAUt、BNB、AVAX、TRX、ALGO、TIA，分布在 11 条链上。用户余额仍写着没有被改，财务影响由保护基金承担。页头写基金已按承诺补到 3 亿美元以上，显示为 3.14 亿美元以上、持有 3,705 枚 BTC。同一页的问答仍写 5,500 枚 BTC、超过 4.64 亿美元。冻结和追回还在继续，页面说金额一直在变，没有给出固定数字。
Following final verification, approximately $388M in assets was transferred out, involving 12 wallet addresses, all of which were hot wallets and warm wallets.
10月2日2026 · 周五
Chainalysis 称是朝鲜拿走的
表态 · Chainalysis · @chainalysis
Chainalysis 在帖子里把 9 月 24 日 Bitget 被盗写成朝鲜拿走 3.87 亿美元，并说洗钱开始得很快。页面按安全公司的说法记录。
What happens when North Korea steals $387M in crypto and starts laundering it at machine speed? We put that question to the test after the September 24 Bitget theft.
其余币种提现恢复，分批计划结束
确认 · Bitget
官方页面写，10 月 2 日 08:00 UTC 起，BTC、ETH、USDT 以外的币种以及法币和 P2P 提现恢复。9 月 28 日开始的分批计划到此结束，不按账户等级。前几步是 9 月 28 日 08:00 UTC 恢复比特币网络上的 BTC，9 月 29 日 08:00 恢复以太坊、BSC、Arbitrum、Base、Optimism 上的 ETH。
Supported coins other than BTC, ETH, and USDT, as well as fiat and P2P services, have resumed as scheduled, marking the full completion of the phased withdrawal resumption plan.
9月30日2026 · 周三
USDT 提现恢复，两家公司的调查报告发布
确认 · Bitget
支持公告写，USDT 在以太坊、BSC、Solana、Tron 上的提现已经打开。事件页把 9 月 30 日同时还记了两件事。Mandiant（Google Cloud）和 SlowMist 发布调查报告，结论和此前公开的路径大体一致：第三方安全产品失守后，对方进入了交易所的钱包环境，控制完成之后没有新的未授权转出。同一行写保护基金已补回到 3 亿美元以上。支持公告本身只确认了 USDT 提现。
Bitget has now opened the withdrawal service for USDT on the Ethereum, BSC, Solana, and Tron networks.
9月28日2026 · 周一
官方说明原因，比特币提现已处理一部分
技术 · Gracy Chen · @GracyBitget
Gracy Chen 转述当天的直播。对方利用第三方产品的漏洞拿走内部凭证，再发出绕过风控的提现指令。私钥没有泄露，冷钱包没有受影响。截至北京时间 17:00（09:00 UTC），比特币网络和 BSC 已处理 9,585 笔、合计 4,098.036 枚 BTC。她写损失由保护基金全额覆盖，用户不受影响，基金将在一周内用公司资金补回到 3 亿美元以上。这是覆盖说法，页面没有给出已经退回的金额。
The attacker exploited vulnerabilities from third-party products to steal internal credentials, then used those credentials to send fraudulent withdrawal commands that bypassed our risk controls. Private keys were not compromised, and cold wallets were not affected.
9月25日2026 · 周五
损失改为约 3.875 亿美元
改口 · Gracy Chen · @GracyBitget
Gracy Chen 说，链上追踪确认转到对方地址的是 3.875 亿美元，高于前一天的 3.516 亿。多出来的是把 Zcash 和 TRON 上的转出算进去。她写这是更完整的记账，之后没有新的未授权转出。Mandiant 和 SlowMist 仍在查。赏金按主动协助冻结或追回金额的 5% 计算。提现计划说会在 9 月 26 日 04:00 UTC 前公布。
Onchain tracing has confirmed $387.5M transferred to attacker addresses — revised up from $351.6M. The higher figure reflects a more complete accounting of transfers during the incident, adding Zcash and TRON assets. To be clear: this is not additional theft.
9月24日2026 · 周四
首席执行官给出初步估计约 3.516 亿美元
确认 · Gracy Chen · @GracyBitget
Gracy Chen 发了安全公告，把发现时间写成 18:31 UTC。初步估计约 3.516 亿美元，范围是一部分热钱包和温钱包，冷钱包没有受影响。提现暂停，充值和交易继续。她写用户余额没有被改，用户保护基金当时超过 4.64 亿美元，这次损失在基金覆盖范围内。公告说调查完成前不推测手法，并已通知执法部门和链上安全公司。后来的官方页面把转出开始写成 18:31、发现异常写成 19:05，两条都留着。
Estimated funds affected: approximately $351.6 million
对账拦下全站提现
暂停 · Bitget
同一份页面把发现异常写成 19:05 UTC。对账对不上之后，风控自动拦截了全站提现。
At 19:05 UTC, Bitget's reconciliation system detected a discrepancy in fund verification, and the risk control system immediately and automatically intercepted withdrawal requests across the platform.
部分热钱包和温钱包被未授权转出
技术 · Bitget
10 月 13 日更新的官方页面把第一笔未授权转出记在 18:31 UTC，对象是部分热钱包和温钱包。
On September 24, 2026, at 18:31 UTC, the attacker initiated the first unauthorized transfers from certain hot wallets and warm wallets.