Bitget遭3.88亿美元黑客攻击：2026年最大交易所安全事件全记录

9月25日凌晨，全球排名前列的加密货币交易所Bitget遭遇黑客攻击，热钱包和温钱包中被转走约3.875亿美元资产。这是2026年迄今金额最大的单一交易所失窃事件。

攻击发生约36小时后，Bitget CEO Gracy Chen与大中华区负责人谢家印通过公开直播首次完整披露事件细节。官方调查结论指向第三方安全产品零日漏洞——攻击者借此窃取内部高权限凭证，伪造提现指令绕过风控，完成多链资产转移。Bitget称私钥未泄露，冷钱包未受影响，用户余额不受损失，全部损失由用户保护基金承担。

从试探到多链扫荡：攻击全链条复盘

据Bitget披露，UTC+8时区9月25日凌晨2:31，攻击者先从以太坊热钱包转出0.84 ETH，从TRON热钱包转出93 TRX。金额极低，低于风控阈值，未触发告警。

2:58至4:09是关键窗口。攻击者在Ethereum、XRP、ZEC、BSC、Base、Arbitrum、Optimism和Avalanche等多条链上发起17笔大额转账，总价值约3.6亿美元。第一笔大额转账7分钟后，平台对账系统监测到大额差异，风险系统自动阻断全平台提现请求；3:14启动P0最高级应急响应。

4:40，由于尚不能排除私钥被盗风险，钱包团队开始将剩余资金归集至冷钱包。4:55至5:23，攻击者发起第二轮7笔转账，价值约2800万美元，涉及Avalanche、XRP、ZEC、ALGO、TIA和ATOM。5:44，技术团队停止签名机服务并完成安全隔离。当天下午4:43，安全团队定位根因；晚9:42，法务团队向相关主体所在地报案。

攻击手法分为三步：利用第三方安全产品零日漏洞获取真实有效的内部网络凭证，以正常登录身份进入关键管理系统；利用高权限凭证进入钱包后端服务，直接写入伪造的提现命令，绕过风险校验流程；每次转账完成后删除伪造指令记录，试图掩盖痕迹。整个过程未使用常见病毒或恶意软件。

链上数据呈现了资金转移路径。Arkham Intelligence监测显示，被盗资产涉及多个热钱包标签地址，部分稳定币在Arbitrum上通过UniswapX和1inch Fusion快速兑换为ETH。Circle和Tether在事件发生后冻结了约32万美元相关稳定币。但XRP由于内置于XRP Ledger、Ripple无冻结机制，约1.03亿枚XRP（价值约1.6亿美元）中已有约8300万美元被转移。安全机构Specter将此次攻击归因于朝鲜黑客组织Lazarus Group。

Bitget表示不会将追回资产作为保障用户资金的主要方式，已启动资产追回悬赏计划（冻结和追回均可获5%赏金），并联合Mandiant和慢雾开展链上追踪。谢家印坦言，"以过去其他交易平台的安全事件为例，即使一年以后，被冻结和实际追回的资产比例也可能非常有限。"

提现恢复计划按BTC（9月28日）、ETH（9月29日）、USDT（9月30日）、其他代币（10月2日）的顺序分阶段推进。保护基金在动用后将于一周内补充至至少3亿美元。

一个快速崛起的交易所

Bitget成立于2018年，原名BitKeep，注册于塞舌尔，服务覆盖150多个国家和地区，自称用户超过1.2亿。平台以跟单交易（Copy Trading）起家，逐步发展为涵盖现货、衍生品、钱包的综合性交易所。

从市场份额看，Bitget已稳居全球衍生品交易所前列。2025年中期，其全球衍生品市场份额从年初4.6%升至7.2%，位列Binance和OKX之后排名第三。2026年7月，Bitget衍生品成交额1711亿美元，环比增长23.5%，在头部交易所中增速最快。在新兴的股票衍生品赛道，Bitget以2708.5亿美元、19.5%的份额仅次于Binance（61.3%），远超OKX（16.8%）和Bybit（2.4%）。

用户资产方面，2026年第一季度数据显示，Bitget平均用户资产约67亿美元，与Gate（68亿美元）、Bybit（56亿美元）同处50-70亿美元区间，与Binance（1529亿美元）和OKX（159亿美元）存在量级差距。

Bitget Wallet（原BitKeep）是其生态的另一支柱，作为非托管钱包支持130余条区块链和超过2万种DApp。平台还通过赞助西甲联赛、MotoGP等体育赛事扩大品牌影响力。

2024至2025年间，Bitget按交易量从全球前十跃升至前四。2025年11月，其法务团队获得LexisNexis和汤森路透ALB多项行业大奖，合规团队已扩充至约70人。平台自2022年起设立用户保护基金，持有5500枚BTC，事件前价值约4.64亿美元，钱包地址全部公开可查。

值得注意的是，2025年2月Bybit遭遇约14-15亿美元冷钱包被盗后，Bitget是最先伸出援手的交易所。Bitget用自有资金向Bybit转去4万枚ETH（当时约合1.05-1.06亿美元），无抵押、无利息、无固定还款期限，用于缓解提现挤兑。Gracy Chen当时发帖称"连合同都没签"。约三天后Bybit归还了这笔ETH。

这段插曲在当时被视为行业互助的正面样本。如今Bitget自身遭遇安全事件，其保护基金的兑现能力和平台恢复速度，正成为市场检验的对象。

交易所安全信任的新一轮考验

3.88亿美元的损失规模，在中心化交易所失窃史上排名靠前，但仍低于2025年2月Bybit被盗的约14-15亿美元（有记录以来最大单笔）。同年，Liquid Network约3.2亿美元、KeloDAO约2.92亿美元的安全事件也相继发生。

安全机构CertiK指出，2026年加密行业攻击方式出现明显变化——攻击者更倾向于针对基础设施、热钱包和私钥管理环节，而非依赖智能合约漏洞。这类攻击一旦得手，短时间内造成的资金流失规模更大。Bitget此次攻击手法——通过供应链第三方产品零日漏洞入侵内部系统、伪造交易指令——正是这一趋势的典型案例。

对Bitget而言，3.88亿美元损失全部由保护基金承担，短期内对其资金实力是一次压力测试。保护基金从4.64亿美元降至补充至3亿美元，意味着需要动用约1.6亿美元自有资金。平台能否在承诺的一周内完成补充、提现恢复是否顺利、用户信心能否稳住，将是接下来数周的关键观察指标。

更大的背景是，交易所安全事件正在从个别案例演变为行业系统性风险。当攻击者开始利用供应链安全产品的零日漏洞、借助真实凭证伪装入侵行为，传统的"冷热钱包隔离"防线面临新的挑战。对Bitget这家成立八年首次遭遇安全事故、正处于快速扩张期的交易所而言，这次事件的处置结果，将直接影响其在第二梯队中的竞争身位。（本文为fintecdaily独家深度稿件，不构成任何投资建议。首发于 fintecdaily 官网。获取更多即时金融科技深度资讯，请访问 fintecdaily.com。）