Giełda Bitget poinformowała o nieautoryzowanych transferach z portfeli typu hot i warm. Incydent wykryto 24 września 2026 r. o 18:31 UTC. Pierwsze wyliczenia mówiły o 351,6 mln USD. Dzień później Bitget skorygował kwotę do ok. 387,5 mln USD, doliczając m.in. tokeny ZEC i TRX.
Według komunikatu giełdy portfele typu cold nie zostały naruszone. Straty ma pokryć User Protection Fund, fundusz ochrony użytkowników, którego wartość Bitget podaje na ponad 464 mln USD. Depozyty i handel działały dalej, wypłaty zostały wstrzymane do czasu zakończenia audytu bezpieczeństwa.
Spis treści
Co wiadomo o ataku
Bitget w pierwszym komunikacie nie przedstawił szczegółów technicznych. Serwis Decrypt, powołując się na dotychczasowe ustalenia, opisuje włamanie do systemu obsługującego infrastrukturę portfeli i sfałszowanie danych transakcji. Największą pozycją miało być ok. 103 mln XRP.
Giełda ogłosiła nagrodę w wysokości 5% dla osób, które pomogą zamrozić lub odzyskać środki. Według doniesień medialnych Tether zamroził część skradzionych USDT. Analizę incydentu prowadzą firmy Mandiant i SlowMist.
Kto może stać za atakiem
Oficjalnej atrybucji nie ma. Prezes Bitget Gracy Chen stwierdziła, że adresy IP pasują do usług VPN wykorzystywanych przez jedną z grup powiązanych z Koreą Północną, zaznaczając, że nie jest to potwierdzone. Firma analityczna Elliptic oceniła, że udział KRLD jest „wysoce prawdopodobny”, wskazując na powiązania w łańcuchu bloków z wcześniejszymi kradzieżami. Dowodów technicznych nie opublikowano.
Status Bitget w UE
Spółka Bitget EU złożyła 17 czerwca 2026 r. wniosek o zezwolenie MiCA do austriackiego nadzorcy FMA. Na 24 września spółki nie było w rejestrze ESMA wśród dostawców z zezwoleniem. Od 1 lipca 2026 r. w UE usługi w zakresie kryptoaktywów mogą świadczyć tylko podmioty z takim zezwoleniem, o czym piszemy w tekście jak sprawdzić zezwolenie MiCA w rejestrze ESMA.
Co dalej z wypłatami
26 września Bitget ogłosił, że luka została usunięta, a wypłaty będą przywracane etapami, każdorazowo o 8:00 UTC. 28 września mają ruszyć wypłaty BTC, 29 września ETH (sieć Ethereum i wybrane sieci warstwy drugiej), 30 września USDT (m.in. sieci Ethereum, BNB Smart Chain, Solana i Tron), a 2 października pozostałe tokeny, wypłaty fiat i transakcje P2P. Giełda zapewnia, że salda kont użytkowników nie zostały naruszone, a straty pokrywa fundusz ochrony użytkowników. Według Bitget wzrost szacunku do 387,5 mln USD wynikał z doliczenia transferów ZEC i TRX pominiętych w pierwszym wyliczeniu, a nie z nowych nieautoryzowanych operacji.
Harmonogram może się jeszcze zmienić. Użytkownicy powinni śledzić wyłącznie oficjalne kanały giełdy. Po głośnych incydentach pojawiają się fałszywe strony i wiadomości podszywające się pod giełdę, m.in. z ofertą „przyspieszonej wypłaty” lub „rekompensaty”. Takie schematy opisujemy w artykule o phishingu i drainerach.
Według serwisu CryptoSlate wrzesień jest już miesiącem z najwyższymi stratami z włamań w 2026 r. Wcześniej w tym miesiącu odnotowano incydent w Liquid Network na ok. 320 mln USD.
Źródła
- Bitget: komunikat o incydencie bezpieczeństwa, 24.09.2026 (bitget.com)
- Bitget: komunikat w sprawie wstrzymania wypłat, 24.09.2026 (bitget.com)
- Decrypt: opis przebiegu ataku, 09.2026 (decrypt.co)
- Gizmodo: wypowiedzi Gracy Chen i ocena Elliptic, 09.2026 (gizmodo.com)
- Bitget: komunikat o etapowym przywracaniu wypłat, 26.09.2026 (bitget.com, x.com/bitget)
- Bitget: wniosek Bitget EU do FMA, 17.06.2026 (bitget.com)
- CryptoSlate: podsumowanie strat z włamań we wrześniu 2026 (cryptoslate.com)
Stan na 26 września 2026 r.
Kamil prowadzi serwis Krypto Inwestycje od 2014 roku. Pisze o technologii blockchain, bezpieczeństwie portfeli, regulacjach rynku kryptoaktywów (MiCA) oraz o oszustwach, w których wykorzystywane są kryptowaluty. W tekstach opiera się na komunikatach organów nadzoru, rejestrach i oficjalnej dokumentacji projektów. Nie udziela porad inwestycyjnych.