Bitget首席執行官Gracy Chen確認，攻擊方入侵錢包基礎設施中的關鍵後臺系統

Bitget首席執行官Gracy Chen確認，攻擊方入侵錢包基礎設施中的關鍵後臺系統，僞造交易數據並觸發授權流程把資金轉出；私鑰泄露已被排除，損失已封口，不會再出現未經授權轉賬。入侵具體手法仍在查，完整技術報告待覈實後公佈。

平臺在18:31 UTC探測到熱錢包異常轉出，估算影響約3.516億美元。官方稱冷錢包完好，三層架構裏被打穿的是部分熱錢包和溫錢包。用戶保護基金餘額超4.64億美元，覆蓋全部損失。入金和交易繼續，出金全線暫停，恢復窗口不承諾具體小時數。

鏈上先於官方聲明暴露。新地址在約兩小時內從帶Bitget標籤的錢包抽走ETH、USDT、USDC、AVAX、BNB和代幣化黃金XAUT，早期統計約1.8億至1.92億美元，後與官方3.516億美元口徑對齊。攻擊地址把多數EVM鏈上贓款換成約67982枚ETH。Bubblemaps統計15筆轉賬、7類資產，ETH佔比約44.4%。部分資金經Uniswap和1inch高價換ETH，溢價最高約5%，以避開穩定幣發行方凍結。

Chen在直播中把路徑描述爲類似供應鏈攻擊：第三方常用工具被控後影響錢包後臺，僞造轉賬信息並調用簽名機。她排除僞造用戶信息和內部人員作案的高概率，並對照2025年2月Bybit約15億美元失竊——同樣繞開私鑰、從簽名授權和多籤頁面切入。出金恢復與系統加固並行，快則數小時、慢則數日。

市場機制上，賣出的是熱錢包流動性，買入的是可被僞造的授權工單。用戶保護基金用自有儲備填洞，等於把黑客抽走的資產從平臺資產負債表挪到保險池。受益方是能繼續交易、賬面餘額未被改寫的用戶，以及把贓款換成ETH的攻擊地址；承壓方是需要提幣的客戶和必須在出金關閉時維持做市的對手方。資金從熱錢包流向攻擊地址再進入去中心化流動性池，平臺用保護基金在賬本上補平，鏈上資產本身並不自動迴流。

來源：公開信息