Bitget ने 2026 की सबसे बड़ी क्रिप्टो चोरी में $387.5 million गंवाए, और कोई निजी कुंजी चोरी नहीं हुई। हमलावरों ने एक्सचेंज के अपने प्राधिकरण लेयर को स्पूफ किया — वही विफलता पैटर्न जैसा Bybit में 2025 में था — और लूट का 0.1% से कम फ्रीज करने योग्य है। यहां बताया गया है कि इसका ट्रेडर्स के लिए क्या मतलब है।
क्रिप्टो एक्सचेंज की सुरक्षा फिर से विफल — और यह कुंजियों के कारण नहीं था
24 सितंबर, 2026 को, क्रिप्टो एक्सचेंज Bitget से $387.5 मिलियन एक घंटे से भी कम समय में निकाल लिए गए। कोई निजी कुंजी चोरी नहीं हुई। कोई पासवर्ड तोड़ा नहीं गया। किसी कर्मचारी को रिश्वत नहीं दी गई। हमलावरों ने एक्सचेंज के अपने बैकएंड में घुसकर उसे झूठी लेनदेन डेटा दिया, और देखा कि प्लेटफॉर्म की मंजूरी प्रणाली पैसे को बाहर धकेल रही थी — क्योंकि प्रणाली को सचमुच विश्वास था कि ये हस्तांतरण वैध हैं। यह 2026 का अब तक का सबसे बड़ा क्रिप्टो चोरी है, और यह इस बात की कठोर बदलाव को चिह्नित करता है कि क्रिप्टो एक्सचेंज की सुरक्षा वास्तव में कैसे विफल होती है।
मुख्य बिंदु
- Bitget's $387.5 मिलियन उल्लंघन 24 सितंबर, 2026 को अब तक का सबसे बड़ा क्रिप्टो चोरी था, और हमलावरों ने एक भी निजी कुंजी नहीं छुई।
- हमले का रास्ता, एक्सचेंज की प्राधिकरण परत पर नकली बनावट, फरवरी 2025 की $1.5 billion की Bybit लूट की नकल है।
- उत्तर कोरियाई राज्य से जुड़े समूहों ने 2026 की क्रिप्टो चोरी को $1 बिलियन से आगे बढ़ा दिया है, जिस पर लगभग $2 बिलियन की चोरी 2025 में हुई है।
- स्टेबलकॉइन जारीकर्ताओं ने लूटे गए धन का केवल लगभग $318,000 ही फ्रीज किया; शेष अधिकांश XRP और ETH में है, जिन्हें कोई भी जारीकर्ता फ्रीज नहीं कर सकता।
- कुंजी भंडारण को मजबूत बनाने में बिताए गए एक दशक ने इसे रोक नहीं पाया, क्योंकि हमला ऊपर की ओर बढ़ गया है।
क्रिप्टो एक्सचेंज सुरक्षा लगातार क्यों विफल हो रही है?
एक दशक तक, क्रिप्टो सुरक्षा एक ही नारे पर चलती रही: न आपकी कुंजियां, न आपकी सिक्के। उद्योग ने अरबों डॉलर खर्च किए कुंजी भंडारण को मजबूत करने में — कोल्ड स्टोरेज, हार्डवेयर सुरक्षा मॉड्यूल, मल्टी-पार्टी कंप्यूटेशन, एयर-गैप्ड वॉल्ट्स, 11-ऑफ-15 मल्टिसिग स्कीम्स। और कुछ समय के लिए, यह काम किया। वास्तविक कुंजियों पर हमले कठिन और दुर्लभ होते गए।
तो हमलावरों ने लक्ष्य बदल दिए।
Bitget का भेद्यता वह सबसे स्पष्ट प्रमाण है कि उद्योग का संपूर्ण खतरे का मॉडल अब पुराना पड़ चुका है। हमला ताले पर नहीं था। यह दरबान पर था — अधिकारण परत, वह सॉफ़्टवेयर और लोग जो यह तय करते हैं कि क्या कोई लेनदेन वास्तविक है, इससे पहले कि एक कुंजी को कार्य करने की अनुमति दी जाए। उस परत को भ्रष्ट करें, और कुंजी आनंद से उस सब पर हस्ताक्षर कर देगी जो उसके सामने रखा जाए।
Bitget हैक वास्तव में कैसे काम किया?
Bitget के मुख्य कार्यकारी ने इसे स्पष्ट रूप से वर्णित किया: हमलावर ने कंपनी के वॉलेट बुनियादी ढांचे के भीतर एक महत्वपूर्ण बैकएंड सिस्टम को संक्रमित किया, लेनदेन डेटा को स्पोफ़ करने के लिए इसका उपयोग किया, और निधियों को बाहर ले जाने के लिए एक्सचेंज के अपने अधिकारण प्रक्रिया को सक्रिय किया। हस्ताक्षर कुंजी को कभी छुआ नहीं गया। जिस डेटा पर उसका भरोसा था, उसे संक्रमित कर दिया गया।
यह कुंजी चोरी नहीं है। यह विश्वास का संक्रमण है। और यह फरवरी 2025 में Bybit की लूट के समान आकार का है, जब $1.5 बिलियन गायब नहीं हुआ क्योंकि कुंजियाँ चुराई गई थीं, बल्कि क्योंकि हमलावरों ने मानव हस्ताक्षरकर्ताओं को अपने स्क्रीन पर दिखाए गए डेटा को स्पोफ़ किया, उन्हें यह विश्वास दिलाकर कि वे सामान्य रूटीन थे, और उन्हें कोल्ड-वॉलेट ट्रांसफरों को मंजूरी देने के लिए मजबूर किया।
क्रिप्टो इतिहास के दो सबसे बड़े हैक्स अब समान संरचना साझा करते हैं: हमलावर कभी भी क्रिप्टोग्राफी को हरा नहीं पाता। वह उसके ऊपर बैठे निर्णय प्रक्रिया को हरा देता है। Bitget ने जांच के लिए Mandiant और SlowMist को बुलाया, और फोरेंसिक टीमों ने TRM Labs और Elliptic जैसे ऑन-चेन इंटेलिजेंस फर्मों के साथ मिलकर पैसे का पता लगाया है। निष्कर्ष तेजी से बन रहा है: क्रिप्टो एक्सचेंजों द्वारा दशक भर कठोर बनाई गई परिधि अब उस श्रेणी के हमलावरों का लक्ष्य नहीं है।
इस बदलाव से कौन जीतता है, और कौन हारता है?
जीतने वाले आसानी से पहचाने जा सकते हैं। फोरेंसिक और ऑन-चेन इंटेलिजेंस फर्म — Mandiant, SlowMist, TRM Labs, Elliptic — पैसे का पीछा करने के लिए भुगतान प्राप्त करती हैं, और व्यापार तेजी से बढ़ रहा है। उभरते हुए अथोराइजेशन-लेयर सुरक्षा निशे में, वेनडर्स जो केवल की कस्टडी के बजाय आंतरिक लेन-देन वर्कफ़्लो की निगरानी करते हैं, एक केस स्टडी है जो श्रेणी को परिभाषित करेगी। बीमा अंडराइटर्स, जिन्होंने वर्षों तक यह तर्क दिया है कि एक्सचेंज जोखिम एक संचालनात्मक समस्या है, क्रिप्टोग्राफिक नहीं, अचानक प्रज्ञावान लग रहे हैं।
हारने वाले कम स्पष्ट हैं। विस्तृत बैकएंड इंफ्रास्ट्रक्चर वाले एक्सचेंज अब पसंदीदा लक्ष्य बन गए हैं — हर आंतरिक सेवा एक संभावित दरवाजा है, और जटिलता हमलावर की दोस्त है। रिटेल उपयोगकर्ता जो अभी भी यह मानते हैं कि उनके फंड सुरक्षित हैं क्योंकि वे कोल्ड स्टोरेज में हैं, एक दशक पुरानी धारणा पर टिके हुए हैं। कोल्ड स्टोरेज कीज को सुरक्षित रखती है। यह अनुमोदन प्रक्रिया की सुरक्षा नहीं करती।
फिर वहां फ्रीज रिफ्लेक्स है। Circle और Tether, स्टेबलकॉन जारीकर्ता जो पता ब्लैकलिस्ट कर सकते हैं, लूट का लगभग $318,000 जमा कर दिया। यह कुल का 0.1% से भी कम है। लूट में XRP, लगभग 102.93 मिलियन टोकन, और ETH, लगभग 31,890 टोकन, ने प्रभुत्व स्थापित किया, जो ऐसे नेटिव एसेट्स हैं जिनके कोई केंद्रीय जारीकर्ता नहीं हैं जो उन्हें फ्रीज कर सकें। उद्योग का पसंदीदा आपातकालीन ब्रेक उन एसेट्स के खिलाफ संरचनात्मक रूप से बेकार है जो हमलावर चुराना पसंद करते हैं। यह कोई बग नहीं है। यह डिज़ाइन है।
क्या ऐसा पहले भी हुआ है, और अब क्या अलग है?
Bitget कोई अपवाद नहीं है। यह एक दशक लंबे एस्केलेशन लैडर का नवीनतम चरण है:
- 2014, Mt. Gox: हॉट-वॉलेट प्राइवेट की चोरी, लगभग 850,000 BTC।
- 2016, Bitfinex: मल्टिसिग कुंजी की चोरी, लगभग 120,000 BTC।
- 2022, Ronin: वैलिडेटर कुंजी का संकट और सामाजिक इंजीनियरिंग, लगभग $600 मिलियन।
- 2025, Bybit: एक नकली इंटरफ़ेस के माध्यम से साइनर का धोखा, लगभग $1.5 बिलियन।
- 2026, Bitget: अधिकार-स्तरीय स्पोफिंग, लगभग $387.5 मिलियन।
हर सीढ़ी हमलावर को क्रिप्टोग्राफी से और दूर ले जाती है, और उसके चारों ओर घिरे मानवीय और सॉफ़्टवेयर निर्णयों के करीब लाती है। गणित कभी कमजोर लिंक नहीं था। कार्यप्रणाली थी।
अब जो चीज़ अलग है, वह है हमलावर। उत्तर कोरिया का राज्य-प्रायोजित हैकिंग तंत्र, जिसे विभिन्न रूप से Lazarus, TraderTraitor और WaterPlum के नाम से ट्रैक किया जाता है, ने इसे औद्योगिक स्तर पर व्यवस्थित कर दिया है। Chainalysis का अनुमान है कि DPRK से जुड़ी चोरियां 2025 में ही $2 billion से अधिक हो गईं, और Bitget की चोरी ने 2026 के आंकड़े को कई महीने शेष रहते हुए ही $1 billion से ऊपर पहुंचा दिया है। यह कोई अवसरवादी स्क्रिप्ट हमलावर नहीं है। यह एक सुसज्जित अभियान है जो एक राजस्व कार्यक्रम चला रहा है, जिसमें लक्षित कंपनियों के अंदर महीनों तक नकली IT ठेकेदारों को तैनात करने का धैर्य है, और यह एक्सचेंजों के साथ उसी तरह व्यवहार करता है जैसे कोई फंड बाज़ार के साथ करता है: व्यवस्थित रूप से, और मुनाफे के लिए।
एक से तीन साल में यह किस दिशा में जा रहा है?
असहज सच्चाई यह है कि बेहतर होने से पहले स्थिति और खराब हो जाती है। तीन शक्तियां एकत्रित हो रही हैं।
पहली है AI। वही मॉडल श्रेणी जो अरबों डॉलर के धोखाधड़ी को ब्लॉक करने के लिए क्रेडिट का आदान-प्रदान कर सकती है, उसे दूसरी दिशा में मोड़ा जा सकता है, जो convincing लेन-देन डेटा उत्पन्न कर सकती है, अनुमति दोषों की खोज को स्वचालित कर सकती है, और उन हमलों को स्केल कर सकती है जो एक बार गहरी मानवीय विशेषज्ञता की मांग करते थे। स्वचालित एजेंट्स ने पहले ही दिखा दिया है कि वे सॉफ्टवेयर कमजोरियों को खोजने और चेन करने में सक्षम हैं ताकि टेस्ट सिस्टम पर उन्नत एक्सेस प्राप्त किया जा सके। अनुमति परत अब ऐसे विरोधियों का सामना करने वाली है जो कभी नहीं सोते और कभी टाइपो नहीं करते।
दूसरी है स्वतंत्रता। जैसे-जैसे वॉलेट एजेंटिक बन रहे हैं, बॉट्स और AI सहायक उपयोगकर्ता की ओर से लेन-देन पर हस्ताक्षर कर रहे हैं, लूप में मानव गायब हो जाता है। जब एक मशीन ट्रांसफर को अनुमति देती है, तो स्पोफ़्ड डेटा को पकड़ने के लिए कोई संदेहपूर्ण मानव नहीं बचता। सवाल यह नहीं रह जाता कि कुंजी किसके पास है, बल्कि यह बन जाता है कि कौन, या क्या, मशीन को अनुमति देता है।
तीसरी है स्वयं संपत्तियां। जैसे-जैसे अधिक मूल्य नेटिव संपत्तियों में और फ्रीज करने योग्य स्टेबलकॉइन्स से दूर जाता है, फ्रीज, ब्लैकलिस्ट और क्लॉब बैक के रिकवरी प्लेबुक की ताकत खत्म हो जाती है। नेटिव संपत्तियों पर बिटगेट-शैली के हमले के लिए वास्तविक रिकवरी दर प्रभावी रूप से शून्य है।
एक से तीन साल के भीतर, एक नई सुरक्षा श्रेणी का प्रभुत्व देखने को मिलेगा: अनुमति परत का निरंतर, व्यवहार-आधारित निगरानी। यह नहीं कि कुंजी सुरक्षित है या नहीं, बल्कि यह कि सिस्टम को जो कुछ भी पता है, उसके आधार पर क्या लेन-देन तार्किक है।
इसका ट्रेडर्स के लिए क्या अर्थ है?
इनमें से कोई भी चीज़ कीमत का अनुमान नहीं है। यह एक जोखिम मानचित्र है, और इसके कुछ रणनीतिक निहितार्थ हैं जिन पर विचार करने के योग्य हैं।
एक्सचेंजों में काउंटरपार्टी जोखिम अब केवल दिवालिया होने की चिंता नहीं रहा है। यह एक दोहरावदार, उन्नत, राज्य-संचालित खतरा है। एक्सचेंज से पूछने वाला सवाल यह नहीं होना चाहिए कि क्या इसके पास कोल्ड स्टोरेज है, क्योंकि सभी के पास है, बल्कि यह होना चाहिए कि यह हस्ताक्षर किए जाने से पहले निकासी की सत्यापन कैसे करता है।
यूज़र प्रोटेक्शन फंड एक बैकस्टॉप है, रक्षा नहीं। Bitget का $464 मिलियन का फंड नुकसान को कवर करता है, और वह कवरेज वास्तविक है। लेकिन कवरेज रोकथाम नहीं है। एक ऐसा फंड जो लंघन के बाद भुगतान करता है, वह एक ऐसे सिस्टम जैसा नहीं है जो उसे रोक दे।
जोखिम कहाँ स्थित है, यह जानें। XRP और ETH जैसे नेटिव एसेट्स प्राथमिक लूट हैं क्योंकि उन्हें फ्रीज़ नहीं किया जा सकता, जिसका अर्थ है चोरी हुए नेटिव एसेट्स की एक्सचेंज द्वारा पुनर्प्राप्ति शून्य के बराबर है। एक्सचेंज के स्थान से स्वतंत्र रूप से, रखे गए एसेट का प्रकार वह जोखिम निर्धारित करता है।
सेल्फ-कस्टडी समीकरण से एक्सचेंज की अधिकरण परत को हटा देती है, लेकिन केवल तभी जब कोई व्यक्ति एक कठोर संस्था की तुलना में अपनी स्वयं की ऑपरेशनल सुरक्षा पर अधिक भरोसा करता है। अधिकांश लोगों के लिए, यह ट्रेड-ऑफ वास्तव में नहीं बदला है। जो बदला है वह ईमानदारी है: कोई भी कस्टडी मॉडल सुरक्षित नहीं है, केवल अलग-अलग रूप से कमजोर है।
क्रिप्टो को खुद से जो सवाल पूछना चाहिए
एक दशक तक उद्योग ने खुद को एक आरामदायक कहानी सुनाई: कुंजियों की रक्षा करें, और आप सुरक्षित हैं। बिटगेट की चोरी, बायबिट से पहले की तरह, इसका खंडन है। हमलावरों को अब कुंजियों से कोई लेना-देना नहीं है। उन्होंने महसूस किया है कि वास्तविक संपत्ति उन्हें खर्च करने की अनुमति है।
अगर चोरी की अगली पीढ़ी एक भी निजी कुंजी को नहीं छूती, तो पूरे उद्योग के लिए खुला सवाल यह है कि वास्तव में क्या की रक्षा की जा रही है, और इसे रोकने के लिए कौन बचा है।
FAQ
क्या बिटगेट की चोरी चोरी गई निजी कुंजी के माध्यम से हुई थी?
नहीं। बिटगेट की घटना के बाद की जानकारी में क्रिप्टोग्राफिक कुंजी चोरी को खारिज कर दिया गया था। हमलावरों ने एक बैकएंड सिस्टम को संक्रमित कर दिया जिसमें वॉलेट लेनदेन प्रक्रिया होती है और उसमें झूठे लेनदेन डेटा डाल दिया, जिससे एक्सचेंज की अपनी अधिकार प्रक्रिया ने भुगतानों को अनुमति दे दी, जैसे कि वे सामान्य होते। कुंजियों को कभी नहीं छुआ गया; डेटा जिसे कुंजियों पर भरोसा था, उसे छुआ गया।
क्या यह बायबिट हैक जैसा ही है?
संरचनात्मक रूप से, हाँ। फरवरी 2025 की $1.5 billion की Bybit ब्रीच और सितंबर 2026 की $387.5 million की Bitget ब्रीच, दोनों ने कुंजियों को बाईपास किया और इसके बजाय अप्रूवल लेयर पर हमला किया। Bybit को साइनर की स्क्रीन पर स्पूफ किया गया; Bitget को उसके अपने बैकएंड के अंदर स्पूफ किया गया। दोनों मामलों में क्रिप्टोग्राफी सुरक्षित रही; निर्णय प्रक्रिया असफल रही।
Circle और Tether ने केवल लगभग $318,000 ही क्यों ब्लॉक किए?
क्योंकि स्थिर मुद्राओं ने लूटे गए धन का एक छोटा सा हिस्सा बनाया। चोरी हुए धन का अधिकांश भाग प्राकृतिक संपत्तियों, XRP और ETH में था, जिनका कोई केंद्रीय जारीकर्ता नहीं है जो पताओं को ब्लैकलिस्ट करने की शक्ति रखता हो। यह उद्योग के ब्लॉक और पुनर्प्राप्ति के खेल के एक संरचनात्मक सीमा को उजागर करता है: यह केवल उन संपत्तियों पर काम करता है जिन्हें कोई नियंत्रित करता है।
Bitget हैक के पीछे कौन था?
दोषी निर्धारण अभी भी एक कार्यशील परिकल्पना है। Bitget ने उत्तर कोरियाई राज्य-समर्थित समूहों की ओर इशारा किया है, और तकनीकें और धोखाधड़ी के पैटर्न Bybit और Ronin हैक के पीछे लैथरस और ट्रेडरट्रेटर की गतिविधि से मेल खाते हैं। मैंडियंट और स्लोमिस्ट न्यायिक जांच कर रहे हैं।
क्या ग्राहक के धन को खतरा है?
Bitget कहता है कि इसका यूज़र प्रोटेक्शन फंड, जिसमें 464 मिलियन डॉलर से अधिक हैं, पूर्ण हानि को कवर करने के लिए पर्याप्त है, और एक्सचेंज चरणों में निकासी को पुनर्स्थापित कर रहा है। व्यापक पाठ यह नहीं है कि एक एक्सचेंज की सॉल्वेंसी के बारे में है, बल्कि पूरे उद्योग के खतरे के मॉडल के बारे में है: कोई भी custody सेटअप प्रतिरোধी नहीं है, केवल अलग-अलग उजागर है।