Chainalysis связала взлом Bitget на $387 млн с хакерами КНДР: что это значит для держателей

Что выяснила Chainalysis

1 октября Chainalysis опубликовала разбор кражи у Bitget и отнесла её к хакерам, связанным с КНДР. Конкретную группировку компания не называет и технических подробностей взлома не раскрывает. К той же версии раньше пришли другие: гендиректор Bitget Грейси Чэнь говорила о совпадениях IP-адресов и VPN с северокорейскими хакерами, а аналитики Elliptic по почерку отмывания указывали на группировку TraderTraitor и называли связь с КНДР весьма вероятной. Официально ни одно государство атрибуцию пока не объявляло.

Сам взлом мы уже разбирали. Атакующие проникли во внутреннюю сеть Bitget ещё 31 августа через уязвимость в стороннем продукте безопасности, почти месяц оставались незамеченными, а 24 сентября отправили системе кошельков поддельные команды на вывод. Приватные ключи при этом никто не украл. После атаки вывод закрыли на несколько дней, и монеты нельзя было отправить ни в свой кошелёк, ни на другую биржу, ни в криптообменник. Как всё выглядело в первые часы, мы рассказывали в статье о том, как с горячих кошельков Bitget вывели $351 млн.

По подсчёту Chainalysis, вместе с Bitget хакеры, которых связывают с КНДР, украли в 2026 году больше $1 млрд в криптовалюте. Ту же планку называет и Elliptic, для которой Bitget — крупнейшая кража этого года из приписываемых Северной Корее.

Куда ушли $387 млн

Деньги уходили быстро. За первые три часа с биржи вышло $387 млн, 23 переводами, и разошлись они по четырём сетям:

Почти половина пришлась на Ethereum и ещё около 40% на сеть XRP. Zcash и Tron вместе дали меньше десятой части.

В сети Zcash есть адреса двух видов: прозрачные и защищённые. Переводы между прозрачными адресами видны всем, как в биткоине: отправитель, получатель и сумма. Аналитика читает их теми же инструментами, что Ethereum или Tron, поэтому 7,6% в Zcash Chainalysis проследила наравне с остальными сетями.

Почему сначала говорили о $351 млн

В первые сутки Bitget оценивала ущерб в $351,6 млн. 25 сентября биржа подняла оценку до $387,5 млн, когда добавила в подсчёт переводы в Zcash и Tron. Разница почти совпадает с долей этих двух сетей в разборе Chainalysis: 9,4% от $387,5 млн — около $36 млн. Так что новой кражи за ростом цифры нет, Chainalysis считает по полной картине переводов во все четыре сети.

Как ИИ помог распутать мосты

Самое трудоёмкое в таком расследовании — мосты между сетями. Монеты заходят в мост в одной сети и выходят в другой, а следователю нужно понять, какой выход соответствует какому входу. Обычно это ручная сверка времени, сумм и комиссий по тысячам строк.

По словам Chainalysis, собственный ИИ компании сжал эту работу с 20 с лишним часов до 10 минут. Логику сопоставления задавали следователи, они же проверяли результат и вели дело, а модель взяла на себя рутину: подбирала к депозиту в одной сети выплату в другой. От скорости здесь зависит многое. Чем раньше известны адреса, куда пришли деньги, тем больше шансов, что эмитент стейблкоина или биржа успеют их заморозить.

Как отмывают украденное

Инструменты атакующих Chainalysis перечисляет в общих словах: кросс-чейн протоколы ликвидности и обмена сообщениями, сервисы мгновенного обмена и сервисы отмывания. Централизованные биржи в этой схеме почти не участвуют.

Лучше всего прослежен путь XRP. Атакующие прогнали монеты через кросс-чейн протокол ликвидности и примерно за 36 часов получили на выходе биткоин, который осел на адресах под их контролем. Эти адреса Chainalysis отслеживает. Сам протокол компания не называет, в сообщениях СМИ фигурирует THORChain. Через него же, по данным Lookonchain, атакующий ещё 28 сентября менял украденный эфир на биткоин.

Остановить удаётся немногое. Circle и Tether заблокировали адрес атакующего в Ethereum и заморозили около $318 тыс. в USDC и стейблкоине USDT. NEAR Intents отклонил обмены, связанные с хакером, больше чем на $50 млн. THORChain просьбу Bitget отклонить такие обмены не выполнил и продолжил проводить переводы. Остальные крупные кражи прошлого месяца мы собрали в обзоре о том, сколько криптовалюты украли у бирж и протоколов в сентябре 2026 года.

Что это значит для обычного держателя

Украденные монеты помечены

Адреса, через которые прошли деньги Bitget, Chainalysis пометила в своей платформе и обещает дальше следить за средствами и делиться данными с другими расследователями. Такими базами пользуются биржи и эмитенты стейблкоинов: входящий перевод сверяют с метками, и связь с краденым становится поводом придержать депозит и задать вопросы.

Для обычного человека отсюда простой вывод. Монеты из взлома дробятся и расходятся по рукам и могут дойти до того, кто про Bitget даже не слышал, например в P2P-сделке с незнакомцем. Если потом отправить такие монеты на биржу, перевод могут заморозить до выяснения, а доказывать происхождение денег придётся владельцу. Поэтому крупные суммы разумнее принимать от тех, кого знаете, и сохранять историю своих переводов: хэши транзакций и выписки о выводах.

Деньги клиентов Bitget целы

Балансов клиентов эти метки не касаются. Деньги украли с горячих и тёплых кошельков самой биржи, холодное хранение не пострадало. В прямом эфире после взлома Bitget заявила, что весь убыток покрывает фонд защиты пользователей, около $464 млн, а собственные средства биржи вместе с фондом превышают $1,4 млрд. Подробности есть в нашем пересказе того, что Bitget рассказала о взломе на AMA. Вывод биржа возвращала по этапам, последний по её графику пришёлся на 2 октября: остальные токены, фиат и P2P.

Биржа хранит монеты за вас

Для клиентов Bitget история закончилась без потерь, но биткоин они не могли вывести четыре дня, а часть других монет — восемь. Баланс на бирже — обещание площадки вернуть деньги, и выполнить его она может, пока в порядке её серверы, подрядчики и резервы. Сумму для торговли держать там удобно, сбережения надёжнее хранить у себя. Если разница пока неочевидна, начните со статьи о том, чем некастодиальный кошелёк отличается от биржевого счёта. Когда кошелёк заведён, главная забота — фраза восстановления: в отдельном гайде мы разобрали, как хранить seed-фразу, чтобы не потерять доступ к монетам.

Если на бирже остались стейблкоины, а запас вы хотите держать в биткоине на своём адресе, можно обменять USDT TRC20 на BTC с зачислением в свой кошелёк. В VertEXchange нет аккаунтов и балансов: вы указываете адрес, отправляете монеты и получаете другие прямо на него.