Bitget पर एक शून्य-दिन दोष के माध्यम से तीसरे पक्ष के सुरक्षा उत्पादों में $387.5M का भेदभाव दर्शाता है कि क्रिप्टो का हमला सतह ब्लॉकचेन से विश्वास परत में बदल गया है।
क्रिप्टो आपूर्ति श्रृंखला हमला आ गया है
सितंबर के अंत में Bitget को $387.5 मिलियन का नुकसान हुआ, और चोरों ने कभी निजी कुंजी को छुआ नहीं। वे उन कुंजियों की रक्षा के लिए Bitget द्वारा खरीदे गए तीसरे पक्ष के सुरक्षा उत्पादों में एक शून्य-दिन कमजोरी के माध्यम से अंदर गए, फिर लगभग तीन घंटे तक ग्यारह ब्लॉकचेन पर धोखाधड़ी वाली निकासी जारी रखी। रक्षक प्रवेश बिंदु थे। वह एकमात्र विवरण ही पूरी कहानी है कि क्रिप्टो चोरी कहाँ जा रही है।
मुख्य बिंदु
- सितंबर 2026 का Bitget भेदभाव एक आपूर्ति श्रृंखला हमला था: दो अनाम सुरक्षा उपकरणों में एक शून्य-दिन दोष, न कि टूटी हुई कुंजी या स्मार्ट-अनुबंध बग।
- हमलावरों ने स्टैक में ऊपर की ओर बढ़ा दिया है। आधार ब्लॉकचेन सुरक्षित रहे। गोंद नहीं — सुरक्षा उपकरण, मल्टीसाइन वापर्स, ब्रिज, इंटेंट सॉल्वर और शासन वोट अब पसंदीदा हमला सतह हैं।
- यह क्रिप्टो का संस्थापक विरोधाभास है जो अब सच हो रहा है: उद्योग ने विश्वसनीय तृतीय पक्ष को समाप्त करने का लक्ष्य रखा, फिर हर परत पर चुपचाप एक को फिर से आयात कर लिया, जिसे सुरक्षा विक्रेता या कस्टोडियल मल्टीसाइन के रूप में पुनः ब्रांडेड किया गया।
- विजेता हैं पहचान और जिम्मेदारी की परत — SlowMist, Mandiant, Elliptic, TRM Labs। हारने वाले हैं मध्यम आकार के प्लेटफ़ॉर्म जो सुरक्षा को आउटसोर्स करते हैं और इसे पूरा मान लेते हैं।
Bitget पर वास्तव में क्या हुआ?
यह लीक वॉलेट हैक नहीं था। स्लोमिस्ट और गूगल-स्वामित्व वाली मैंडियंट द्वारा की गई घटना के बाद की फोरेंसिक्स के अनुसार, हमलाकारों ने कम से कम दो थर्ड-पार्टी सुरक्षा उपकरणों में ज़ीरो-डे एक्सप्लॉइट का फायदा उठाया — रिपोर्ट में इन्हें प्रोडक्ट ए और प्रोडक्ट बी कहा गया है — जिन्हें बिटगेट ने अपनी इंफ्रास्ट्रक्चर की रक्षा के लिए तैनात किया था। वहां से उन्होंने छिपे हुए स्क्रिप्ट चलाए, एनवायरनमेंट वेरिएबल्स से डेटाबेस क्रेडेंशियल्स निकाले, कमांड-एंड-कंट्रोल के लिए एक वेब शेल डाला, और बिटगेट के प्रोडक्शन वॉलेट जॉब सर्वर पर लेटरली मूव किया।
फिर उन्होंने Bitget की सटीक निकासी तर्क के अनुरूप एक कस्टम-बनाई निकासी टूल तैनात किया। यह 25 सितंबर की सुबह 01:49 बजे सक्रिय हुआ और ग्यारह ब्लॉकचेन — Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand, और Celestia — में संपत्ति को खाली कर दिया — जिसमें सबसे बड़ी एकल-चेन की हानि अनुमानतः $83 million XRP की थी। SlowMist ने आद्यतम दुर्भावनापूर्ण गतिविधियों को 31 अगस्त तक पहुंचाया, जिसका अर्थ है कि हमलावरों ने हमले करने से लगभग एक महीने पहले ही नेटवर्क के भीतर रहना शुरू कर दिया था। Bitget के अपने CEO, Gracy Chen ने कहा कि कोल्ड वॉलेट्स और प्राइवेट कीज कभी compromise नहीं हुए — और यह तथ्य कि प्रभावित पतों में हज़ारों करोड़ों में टोकन अभी भी बेछूते पड़े हैं, इस बात को पुष्ट करता है।
यह पहचान एक परिचित नाम है: North Korea's Lazarus Group, जिसे Elliptic और TRM Labs ने IP व्यवहार और वॉलेट ओवरलैप के माध्यम से चिह्नित किया। यह 2025 के फरवरी में $1.5 billion के Bybit चोरी के समान ही प्लेबुक है। एक पोस्ट-मॉर्टम पढ़ें और आपको लगता है कि आपने सभी पढ़ लिए हैं — सिवाय इसके कि यह एक और भी बदतर है, क्योंकि जिस चीज ने विफलता दिखाई, वही वह चीज थी जिसके लिए Bitget ने बाकी सब कुछ सुरक्षित रखने के लिए भुगतान किया था।
जब गार्ड ही एंट्री पॉइंट बन जाएं, तो किसकी जीत होती है?
Bitget का भेद अकेला नहीं हुआ। यह एक दो-सप्ताह के समूह के अंदर आया, जो आपको बताता है कि उद्योग कहाँ संवेदनशील है। 1 अक्टूबर को, NEAR Intents — जो 35 से अधिक ब्लॉकचेन के बीच वॉल्यूम को रूट करने वाली क्रॉस-चेन स्वैप परत है — अपने Omni जमा-निकासी मॉड्यूल में एक बग के कारण रुक गई, जिसने हमलावर को BNB चेन के एक वॉल्ट से लगभग $3.8 मिलियन USDT निकालने दिया। बेस परतों को कभी छुआ नहीं गया; उनके बीच की गोंद टूट गई। 2 अक्टूबर को, Aave v3 के ऊपर बनाए गए FlashLoopAdapter नामक एक थर्ड-पार्टी एडाप्टर का उपयोग करके Safe मल्टीसिग वॉलेट से लगभग $305,000 निकाल लिए गए, जिसमें एक मॉड्यूल चेक को स्पूफ किया गया। 4 अक्टूबर को, Base पर एक वॉल्ट ने Safe मल्टीसिग व्हाइटलिस्ट मैन्युपुलेशन के माध्यम से लगभग $6 मिलियन वrapped स्टेक्ड इथर खो दिया। 6 अक्टूबर को, Onyx DAO का खजाना 620 मिलियन XCN — लगभग $2.9 मिलियन — खो गया, जब एक हमलावर ने क्वोरम, थ्रेशोल्ड और दो-दिवसीय टाइमलॉक को साफ़ पार करते हुए एक दुर्भावनापूर्ण प्रस्ताव पास करवा दिया।
इनमें से कोई भी "ब्लॉकचेन" विफलता नहीं थी। कंसेंसस परतें, वैलिडेटर सेट, क्रिप्टोग्राफी — सब सुरक्षित रहे। जो हर बार विफल हुआ, वह ऊपर बैठे भरोसे की परत थी: सुरक्षा उपकरण, मल्टीसिग रैपर, ब्रिज मॉड्यूल, गवर्नेंस वोट। CertiK ने सितंबर 2026 को क्रिप्टो हानियों के लिए वर्ष का सबसे खराब महीना माना, जो लगभग $766 मिलियन था। यात्रा की दिशा अस्पष्ट नहीं है।
विजेताओं को नाम देना आसान है। डिटेक्शन और एट्रिब्यूशन स्टैक — SlowMist, Mandiant, Elliptic, TRM Labs, Chainalysis — अब क्रिप्टो की सबसे मूल्यवान जमीन बन गए हैं, क्योंकि जब टूटने को रोक नहीं सकते, तो चोर को जमा करने, ट्रैस करने और शर्मिंदा करने की क्षमता ही बची हुई खाई है। वे एक्सचेंज जो खुद को बीमा करने और सुरक्षा कोष से उपयोगकर्ताओं को वापस भुगतान करने के लिए पर्याप्त बड़े हैं, भरोसा केंद्रित करते हैं। बाकी सब रक्तस्राव करते हैं।
क्या यह पहले भी नहीं हुआ है?
हाँ — और यही बात है। क्रिप्टो ने एक दशक तक यह नाटक किया है कि हर नई हैक नई है, जबकि वास्तव में यह एक ही पाठ्यक्रम है जो अलग-अलग वेश में आता है। 2014 में Mt. Gox कस्टडी विफलता थी। 2022 की Ronin और Harmony ब्रिग हैक मीडलवेयर विफलता थी। Bybit 2025 की चोरी एक मल्टी-सिग साइनिंग-इंटरफेस विफलता थी। Bitget 2026 सप्लाई-चेन विफलता है: सुरक्षा विक्रेता स्वयं वेक्टर था।
यह पैटर्न बुरी किस्मत की एक श्रृंखला नहीं है। यह एक लोहे का नियम है। पैसा वहीं केंद्रित होता है जहां सबसे नया, सबसे जटिल कोड सबसे अधिक मूल्य को छूता है — और हमलावर उन परतों की जांच करने से कहीं तेजी से पैसों का पीछा करते हैं जो वे जोड़ रहे हैं। ब्लॉकचेन अब पृथ्वी पर सबसे अधिक ऑडिट किए जाने वाले सॉफ्टवेयर में से एक हैं, जो ही हमला कहीं और चला गया है। चोर दीवार को गिराकर नहीं, खिड़की के जरिए घर लूटता है।
अगले एक से तीन साल में यह किस दिशा में जाएगा?
तीन चीजें आ रही हैं, और वे सभी पहले से ही दिखाई दे रही हैं। पहली, क्रिप्टो सुरक्षा स्टैक पर सप्लाई-चेन हमले प्रमुख चोरी का माध्यम बन जाएंगे, ठीक वैसे ही जैसे वे पारंपरिक सॉफ्टवेयर में पहले से हैं — दो साल के भीतर किसी प्रमुख कस्टोडियन, एक्सचेंज, या हार्डवेयर-वॉलेट विक्रेता के लिए सॉलरविंड्स जैसी घटना की उम्मीद करें। दूसरी, "नॉट योर कीज़, नॉट योर कॉइन्स" का नारा चुपचाप मर जाएगा। सेल्फ-कस्टोडी आपको एक्सचेंज की कुंजियों से बचाती है; जब मल्टीसिग SaaS, ब्रिज, या सुरक्षा उपकरण टूटता है तो यह आपके लिए कुछ नहीं करती। ईमानदार जोखिम मॉडल अब द्विआधारी नहीं है — यह इस बात का प्रश्न है कि आप किस भरोसे की परत के संपर्क में हैं, और आप उन सभी से बाहर नहीं निकल सकते।
तीसरी, और यह वह हिस्सा है जिसे कम लोग ज़ोर से कहना चाहते हैं: उद्योग का संस्थापक वादा विश्वसनीय तीसरे पक्ष को समाप्त करने का था। यह असफल रहा। स्केलिंग के लिए हर स्तर पर भरोसे को फिर से आयात करना पड़ा — सुरक्षा विक्रेता, कस्टोडियन मल्टीसिग, RPC प्रदाता, इंटेंट सॉल्वर, सीक्वेंसर — और प्रत्येक ने ठीक वही केंद्रित विफलता बिंदु वापस लाया जिससे क्रिप्टो को पुराना माना जाना था। हमने मध्यस्थ को हटाया नहीं। हमने बस उसे एक सुरक्षा-विक्रेता के हुडी में पहनाया और उसकी जांच करना बंद कर दिया।
क्रिप्टो रखने वाले किसी व्यक्ति के लिए इसका क्या अर्थ है?
"ब्लॉकचेन सुरक्षित है" के झूठे आराम को छोड़ दें। ब्लॉकचेन कभी जोखिम नहीं रहा; यह विफल होने की सबसे कम संभावना वाली चीज है। उस एक्सपोज़र ऑडिट को चलाएं जो वास्तव में मायने रखता है: किसी दिए गए लेनदेन में आपके फंड्स को छूने वाले हर मीडिलवेयर परत को नाम दें — ब्रिज, सॉल्वर, वॉल्ट, मल्टीसिग। अगर आप उसे नाम नहीं दे सकते, तो आप अंधेरे में भरोसा कर रहे हैं। टोकन अनुमोदनों पर नज़र रखें, और पुराने रद्द करें; एक संक्रमित कॉन्ट्रैक्ट को अनलिमिटेड अनुमोदन एक बग को आपके व्यक्तिगत नुकसान में बदल देता है। और जब कुछ टूट जाए, तो घबराने से पहले पूछें कि किस परत ने विफलता दिखाई — टोकन, चेन, और प्रोटोकॉल अक्सर ठीक होते हैं जबकि बीच का प्लंबिंग नहीं होता।
रणनीतिक विश्लेषण अधिक स्पष्ट है। वे प्लेटफ़ॉर्म जो सुरक्षा को एक स्टैक के रूप में देखते हैं जिसे वे जोड़ते हैं और फिर भूल जाते हैं, वे संरचनात्मक रूप से विफल होने के लिए बाध्य हैं;而那些 जो इंसिडेंट रिस्पॉन्स, ऑन-चेन अट्रिब्यूशन और वेंडर रिस्क को कोर प्रोडक्ट के रूप में देखते हैं, वे ही उन हैं जिनमें एक्सपोज़र बनाए रखना मूल्यवान है। Bitget ने एक प्रोटेक्शन फंड से उपयोगकर्ताओं को पूर्ण क्षतिपूर्ति दी और जांचकर्ताओं के साथ सहयोग कर रहा है — यह रवैया, कोई ऑडिट बैज नहीं, वह संकेत है जिस पर नज़र रखनी चाहिए।
यहाँ पूछने लायक सवाल है: अगर वे कंपनियाँ जो हमें क्रिप्टो को सुरक्षित रखने के लिए भुगतान करते हैं, अब क्रिप्टो में सबसे कमजोर कड़ी बन गई हैं, तो हम वास्तव में किसके लिए भुगतान कर रहे हैं — सुरक्षा के लिए, या सुरक्षा का अहसास दिलाने के लिए? जब तक उद्योग अपने ट्रस्ट लेयर का ऑडिट उसी परेनोइया (अति-सतर्कता) के साथ शुरू नहीं करता जैसा वह अपने स्मार्ट कॉन्ट्रैक्ट्स का करता है, जवाब हमेशा दूसरा ही होता रहेगा। और हैकर्स इसे जानते हैं।
FAQ
क्या Bitget का प्राइवेट की compromise हुआ? नहीं। Bitget ने पुष्टि की कि कोल्ड वॉलेट्स और प्राइवेट कीज़ कभी एक्सेस नहीं हुए। हमलावरों ने थर्ड-पार्टी सुरक्षा उत्पादों में ज़ीरो-डे का फायदा उठाकर आंतरिक क्रेडेंशियल्स चुराए और वॉलेट बैकएंड के खिलाफ सीधे फ्रॉडुलेन्ट विथड्रॉल कमांड जारी किए — कीज़ सुरक्षित रहे, लेकिन उनके आसपास की प्रक्रिया नहीं।
भिटगेट हैक के पीछे कौन था? जांचकर्ता इसे नेटवर्क व्यवहार के आधार पर उत्तर कोरिया के लाज़ारस ग्रुप का मानते हैं, जिसमें आइपी, on-chain पैटर्न, और पिछली राज्य-संबंधित हत्यारियों के साथ बटवर् ओवरलैप शामिल हैं। तकनीक 1.5 अरब डॉलर के बिटविट घुसपैठ, जो 2025 की फ़रवरी हुई थी, की नकल करती है।
क्रिप्टो में सप्लाई-चेन अटैक क्या है? यह एक ऐसा अटैक है जिसमें टारगेट पर निर्भर किसी वेंडर या टूल — यहाँ, बिटगेट द्वारा तैनात किए गए सिक्योरिटी एप्लायंसेज — को कमजोर बना दिया जाता है, न कि टारगेट को सीधे। हमलावर विश्वसनीय थर्ड-पार्टी सॉफ्टवेयर के माध्यम से अंदर घुसता है, फिर पीड़ित के कोर सिस्टम में प्रवेश करता है।
क्या ब्लॉकचेन कम सुरक्षित होते जा रहे हैं? नहीं। प्रत्येक हाल के इंसिडेंट में कंसेंसस लेयर्स और क्रिप्टोग्राफी सुरक्षित रही हैं। विफलताएं चेन के ऊपर मीडलवेयर और ट्रस्ट लेयर में हैं — ब्रिज, मल्टीसिग व्रैपर, इंटेंट सॉल्वर, सिक्योरिटी टूल्स और गवर्नेंस — जहां अब हमलावर ध्यान केंद्रित कर रहे हैं।