Проникновение на сумму $387,5 млн в Bitget через уязвимость нулевого дня в сторонних продуктах безопасности показывает, что поверхность атак в криптоиндустрии сместилась с блокчейнов на уровень доверия.
Атаки на криптографическую цепочку поставок уже здесь
В конце сентября Bitget потерял $387,5 млн, и злоумышленники даже не касались закрытых ключей. Они проникли через уязвимость нулевого дня в сторонних средствах защиты, которые Bitget приобрел для защиты этих ключей, а затем потратили почти три часа на оформление мошеннических выводов средств через одиннадцать блокчейнов. Охрана стала точкой входа. Эта единственная деталь — это вся история о том, куда движутся кражи в криптоиндустрии.
Ключевые выводы
- Проникновение в Bitget в сентябре 2026 года было атакой на цепочку поставок: уязвимость нулевого дня в двух неназванных устройствах безопасности, а не сломанный ключ или ошибка в смарт-контракте.
- Злоумышленники переместились выше по стеку. Базовые блокчейны устояли. Не устояло связующее звено — инструменты безопасности, обёртки для мультиподписи, мосты, решатели намерений и голоса в управлении теперь являются предпочтительной поверхностью для атак.
- Это фундаментальная ирония криптоиндустрии, которая наконец дала плоды: отрасль стремилась устранить доверенную третью сторону, но затем тихо вернула её на каждом уровне, переименовав в вендора безопасности или мультиподписного кастодиана.
- Победителями стали слои обнаружения и атрибуции — SlowMist, Mandiant, Elliptic, TRM Labs. Проигравшими стали платформы среднего размера, которые передали безопасность на аутсорсинг и посчитали, что на этом можно остановиться.
Что на самом деле произошло на Bitget?
Взлом кошелька не произошел. Согласно результатам форензики после инцидента, проведенной SlowMist и принадлежащей Google компанией Mandiant, злоумышленники использовали уязвимость нулевого дня как минимум в двух сторонних средствах защиты — в отчете они называются Продукт A и Продукт B, — которые Bitget развернул для защиты своей инфраструктуры. Оттуда они запустили скрытые скрипты, извлекли учетные данные базы данных из переменных окружения, разместили веб-оболочку для управления и контроля и переместились латерально на сервер рабочих задач производственных кошельков Bitget.
Затем они развернули инструмент вывода средств, созданный на заказ и адаптированный под точную логику вывода Bitget. Он сработал в 01:49 утра 25 сентября и вывел активы по одиннадцати блокчейнам — Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand и Celestia, — при этом крупнейшие потери по одному блокчейну составили около $83 млн в XRP. SlowMist проследила самую раннюю вредоносную активность до 31 августа, что означает, что злоумышленники находились внутри сети почти месяц, прежде чем совершить атаку. Собственный генеральный директор Bitget, Грейси Чэнь, заявила, что холодные кошельки и приватные ключи никогда не были скомпрометированы — и тот факт, что сотни миллионов токенов все еще оставались нетронутыми на затронутых адресах, подтверждает это.
Атрибуция указывает на знакомое имя: группа Lazarus из Северной Кореи, выявленная Elliptic и TRM Labs по поведению IP-адресов и пересечениям кошельков. Это тот же сценарий, что и при краже $1,5 млрд с Bybit в феврале 2025 года. Прочитав один постмортем, вы чувствуете, что читали их все, — но этот случай хуже, потому что то, что дало сбой, — это именно то, за что Bitget платила, чтобы обеспечить безопасность всего остального.
Кто побеждает, когда охранники становятся точкой входа?
Взлом Bitget не произошел изолированно. Он попал в двухнедельный кластер, который точно показывает, где индустрия уязвима. 1 октября NEAR Intents — слой кросс-чейн свопов, маршрутизирующий объем торгов через более чем 35 блокчейнов, — приостановил работу после того, как ошибка в модуле депозита-вывода Omni позволила злоумышленнику вывести около $3,8 млн USDT из хранилища на BNB Chain. Базовые слои не были затронуты; отказала связующая прослойка между ними. 2 октября сторонний адаптер FlashLoopAdapter, построенный поверх Aave v3, использовался для вывода примерно $305 000 из мультисиг-кошельков Safe путем подделки проверки модуля. 4 октября хранилище на Base потеряло около $6 млн в виде зашифрованного стейкингового эфира из-за манипуляции с белым списком мультисиг-кошелька Safe. 6 октября казначейство Onyx DAO потеряло 620 млн XCN — около $2,9 млн, — когда злоумышленник пропустил вредоносное предложение через кворум, порог и двухдневный таймлок.
Ни один из этих инцидентов не был сбоем "блокчейна". Слои консенсуса, наборы валидаторов, криптография — все выдержали. Что отказывало каждый раз, так это слой доверия, находящийся поверх: система безопасности, обертка мультисиг, модуль моста, голосование в управлении. CertiK подсчитал, что сентябрь 2026 года стал худшим месяцем года для криптопотерь на сумму около $766 млн. Направление движения однозначно.
Победителей легко назвать. Стек обнаружения и атрибуции — SlowMist, Mandiant, Elliptic, TRM Labs, Chainalysis — только что стал самой ценной недвижимостью в криптоиндустрии, потому что когда предотвратить взлом невозможно, способность заморозить, отследить и опозорить вора — это единственная оставшаяся защитная рва. Биржи, достаточно крупные для самостоятельного страхования и возврата средств пользователям из фонда защиты, консолидируют доверие. Все остальные теряют.
Разве это не происходило раньше?
Да — и в этом суть. Криптоиндустрия потратила десятилетие, притворяясь, что каждый новый взлом уникален, хотя на самом деле это тот же урок в другом костюме. Взлом Mt. Gox в 2014 году был сбоем custody. Взломы мостов Ronin и Harmony в 2022 году были сбоем middleware. Кража Bybit в 2025 году была сбоем интерфейса подписи мультисиг. Взлом Bitget в 2026 году — это сбой цепочки поставок: сам вендор безопасности стал вектором.
Этот паттерн — не череда невезений. Это железный закон. Деньги концентрируются там, где самый новый и сложный код соприкасается с наибольшей ценностью, — а злоумышленники следуют за деньгами вверх по стеку быстрее, чем кто-либо проверяет слои, которые они добавляют. Сами блокчейны теперь входят в число наиболее проверяемого программного обеспечения на Земле, и именно поэтому атаки переместились в другое место. Вор проникает в дом через окно, а не сносит стену.
Куда это приведет в ближайшие один-три года?
Нас ждут три вещи, и все они уже видны. Во-первых, атаки на цепочку поставок в стеке безопасности криптоиндустрии станут доминирующим вектором краж, как это уже происходит в традиционном программном обеспечении — ожидайте момента SolarWinds для крупного кастодиана, биржи или производителя аппаратных кошельков в течение двух лет. Во-вторых, лозунг «не твои ключи — не твои монеты» тихо умирает. Самохранение защищает вас от ключей биржи; оно ничего не дает вам, когда ломается мультисиг SaaS, мост или устройство безопасности. Честная модель риска больше не бинарна — это вопрос того, к какому уровню доверия вы подвержены, и вы не можете отказаться от всех них.
В-третьих, и это та часть, которую мало кто хочет говорить вслух: изначальное обещание индустрии заключалось в устранении доверенной третьей стороны. Оно провалилось. Масштабирование потребовало повторного внедрения доверия на каждом уровне — поставщики услуг безопасности, мультисиги кастодианов, провайдеры RPC, решатели намерений (intent solvers), секвенсоры — и каждый из них вновь создал именно ту точку сосредоточенного отказа, от которой криптография должна была избавить нас. Мы не убрали посредника. Мы просто надели на него худи поставщика услуг безопасности и перестали его проверять.
Что это значит для всех, кто держит криптовалюту?
Отбросьте ложное утешение «блокчейн безопасен». Блокчейн никогда не был риском; это наименее вероятная часть системы, которая может выйти из строя. Проведите аудит воздействия, который действительно имеет значение: назовите каждый слой промежуточного ПО, который участвует в транзакции с вашими средствами — мост, решатель, хранилище, мультисиг. Если вы не можете его назвать, вы слепо доверяете ему. Следите за разрешениями токенов и отменяйте устаревшие; неограниченное разрешение скомпрометированному контракту превращает одну ошибку в ваши личные потери. И когда что-то ломается, спрашивайте, какой слой дал сбой, прежде чем паниковать — токен, цепочка и протокол часто в порядке, в то время как «трубы» между ними могут быть неисправны.
Стратегический взгляд становится ещё более отчётливым. Платформы, которые рассматривают безопасность как набор компонентов, который они собирают и затем забывают, структурно обречены; те же, кто рассматривает реагирование на инциденты, он-чейн атрибуцию и управление рисками поставщиков как основу продукта, — это те, через которые стоит держать экспозицию. Bitget восстановил убытки пользователей из фонда защиты и сотрудничает с расследующими органами — именно такая позиция, а не любой сертификат аудита, является сигналом, на который следует обращать внимание.
Вот вопрос, который стоит задать: если компании, которым мы платим за обеспечение безопасности криптовалют, теперь являются самым слабым звеном в криптоиндустрии, за что именно мы платим — за безопасность или за ощущение безопасности? Пока индустрия не начнёт проверять свой доверительный слой с той же паранойей, с которой она проверяет смарт-контракты, ответ будет продолжать оставаться вторым. И хакеры это знают.
FAQ
Был ли скомпрометирован приватный ключ Bitget? Нет. Bitget подтвердил, что холодные кошельки и приватные ключи никогда не были доступны. Атакующие использовали уязвимость нулевого дня в сторонних продуктах безопасности для кражи внутренних учётных данных и выдачи мошеннических команд на вывод средств напрямую против бэкенда кошелька — ключи остались в безопасности, но процесс, их окружающий, нет.
Кто стоит за взломом Bitget? Расследующие органы оценивают это как деятельность группы Lazarus из Северной Кореи, основываясь на поведении IP-адресов, он-чейн паттернах и совпадении кошельков с предыдущими кражами, связанными с государством. Техника повторяет взлом Bybit на сумму $1,5 миллиарда в феврале 2025 года.
Что такое атака через цепочку поставок в криптоиндустрии? Это атака, которая компрометирует поставщика или инструмент, на который полагается цель, — в данном случае, средства безопасности, развёрнутые Bitget, — а не саму цель. Атакующий проникает через доверенное стороннее программное обеспечение, а затем переходит к основным системам жертвы.
Становятся ли сами блокчейны менее безопасными? Нет. Слои консенсуса и криптография выдержали в каждом недавнем инциденте. Сбои происходят в промежуточном слое и доверительном слое над цепочкой — мостах, обёртках для мультиподписи, решателях намерений, инструментах безопасности и управлении — именно здесь теперь концентрируются атакующие.