Bitget熱錢包遭盜約3.516億美元
bitget首席執行官gracy chen發佈安全通報：9月24日18:31 utc安全系統發現部分熱錢包出現未授權轉出，估算受影響資金約3.516億美元。她稱冷錢包仍全部安全，三層架構中失竊限於熱錢包與溫錢包的一部分；用戶保障基金餘額超4.64億美元，可覆蓋全部損失。提現暫停待安審，充值和交易繼續，賬戶餘額口徑不變，承諾每小時更新，24小時內出根因報告，調查完成前不推測攻擊路徑。
鏈上監測先於官方出現。獨立分析最初看到約1.7億至1.83億美元從帶bitget標籤的地址轉入新建地址，資產包括eth、usdt、usdc、avax、bnb及代幣化黃金xaut；etherscan將接收地址標爲bitget exploiter 1。arkham分析稱涉及三條鏈上的三個熱錢包和一個被標籤爲冷錢包的地址，資金匯入單一地址，穩定幣被兌換成發行方無法凍結的eth並跨鏈橋出。官方總額高於早期鏈上可見部分，差額未在通報中拆開。
同日稍早加密賭場duelbits熱錢包被掏約420萬至700萬美元，payy橋接合約被轉走約180萬usdc，9月鏈上失竊規模被統計機構稱爲2026年以來單月新高。bitget稱已標記異常地址、通報執法與鏈上安全公司。保障基金若按面值動用，將一次性削去大部分墊層；提現閘門決定擠兌是否從鏈上敘事變成賬戶隊列。
機制上，賣出的是熱錢包與溫錢包裏爲出款準備的運營庫存，買入的是能同時調度多鏈標籤地址的權限。事件驅動是未授權簽名或密鑰被用於出金，不是市場價格波動。資金從交易所熱端經兌換和跨鏈進入攻擊地址；受益的是控制該地址的一方，承壓的是必須用保障基金填坑、並用暫停提現換取審查時間的bitget。用戶賬本仍顯示餘額，流動性被閘門暫時替換成平臺信用。冷錢包被宣佈未動，等於把償付故事綁在基金規模而不是即時鏈上儲備。
來源：公開信息
ABAB AI 解讀
中心化交易所的熱錢包是出款速度的代價。bitget把架構寫成熱、溫、冷三層，通報強調失竊“只是一部分”，是爲了把3.516億美元從“平臺被掏空”改寫成“運營層被切開”。保障基金4.64億對3.516億留出約1.12億餘量，數字上夠用，前提是基金資產本身可即時變現、且沒有重疊索賠。鏈上先報1.8億、官方報3.5億，說明標籤體系和內部記賬並不重合，冷錢包標籤在分析師和官方之間出現矛盾，根因報告必須解釋這一層。
資本路徑是“用戶存款—熱錢包浮存—保障基金承諾”。提現暫停把贖回權變成排隊權，交易繼續則讓用戶把風險留在盤內對沖。攻擊者把usdt、usdc換成eth，是爲了躲開發行方凍結，與同日duelbits、payy的兌換路徑一致。交易所競爭靠的是出款體驗，熱錢包必須夠大；熱錢包夠大，單次失竊就進入數億美元檔。週年日前失竊，公關窗口被壓縮成24小時報告。
類比2023年stake熱錢包、2024年duelbits、以及多次“基金覆蓋、提現暫停”的交易所劇本：都是用表外或專戶承諾替換被盜的熱端。區別是本輪官方數字直接頂到基金總額的四分之三，墊層一次用薄。行業階段仍停在多鏈熱密鑰可被同一套權限清空。誰能把溫層做成無法單次簽名搬空，誰就還能承諾秒級出款；誰把保障基金當保險單，誰就在下一次熱錢包事件裏先被定價。
結構判斷屬於技術替代尚未完成時的運營風險集中。定價權在出款速度與密鑰分割之間。機制是交易所需熱資產才能兌付，熱資產必須在線簽名；多層架構若共享控制面，冷錢包敘事擋不住溫層一起走。基金覆蓋的是會計損失，蓋不住提現閘門打開前的信任折扣。
ABAB News · 認知定律
熱錢包夠快，失竊金額就會按交易所體量計價
保障基金覆蓋賬面，蓋不住暫停提現的隊列
穩定幣先被換成eth，發行方的凍結鍵就失效了