Bitget 如何追索被盗的 3.88 亿美元

9 月 24 日，Bitget 发生大额资产被盗事件。节目主持人 Laura Shin 将损失概述为 3.88 亿美元，并认为攻击带有朝鲜黑客行动常见的特征；Bitget 首席执行官 Gracie Chen 没有在访谈中确认具体攻击者，也没有确认本次入侵是否涉及社交工程。她所描述的重点，是一次从异常转账、止损操作到链上追踪同时展开的处置：用户提现很快被系统拦下，但攻击者并不是以普通用户的路径发起提现。

陈说，团队仍在调查根因，不能披露遭利用的第三方产品名称和漏洞细节。她确认该产品属于用于提升安全性的通用安全服务，漏洞此前未被公开发现。公司已通知供应商，但她表示 Bitget 会为事件承担责任。陈说，公开信息需要在让用户和合作方了解进展、以及不暴露系统结构和供应商信息之间取得平衡。

七分钟后的自动止损，为何没有终止转出

这里的差别决定了暂停用户提现为何不足以止损。陈的说法是，攻击者通过第三方零日漏洞进入关键内部管理系统，冒用身份向与钱包相关的后端服务直接写入伪造的提现指令；钱包服务照此执行转账。常规风控拦的是用户侧请求，后端伪造指令走的是另一条路径。攻击者还删除了伪造指令可能留下的痕迹，团队因此需要检查更大范围的系统，才能判断入侵入口和影响边界。

在第一轮之后，团队一度无法排除私钥泄露的可能。为了把热钱包和温钱包里的资产转回冷钱包，他们需要重新允许部分钱包传输。陈把这称为一次艰难的取舍：这给攻击者留下了再次下手的窗口，但待转移、需要保全的余额远大于风险窗口内损失的金额。第二轮发生在 8:55 至 9:23 UTC，损失约 3,000 万美元。她的说明也解释了为何整段攻击可持续近三小时，而系统在第一笔大额转出后不久已经限制了用户提现。

受影响的网络包括 Ethereum、XRP、Arbitrum、Avalanche、Optimism、BNB Smart Chain、Base 和 Zcash 等。Zcash 相关资产在初轮清查后才被列出；陈称原因是它在平台上属于较小的资产和网络，并非其隐私币属性。她没有把这起事件简化为某一类钱包或某一个链的问题：热钱包、温钱包、内部管理系统和多条公链都进入了排查范围。

冻结之后，追回仍要经过法律程序

入侵发生后，Bitget 把部分被盗地址和资金流向放入持续更新的追踪面板，并向不同网络和协议请求协助。陈点名感谢了 Tether、Circle 和 NEAR Intents：前两者协助冻结了一些稳定币，NEAR Intents 也帮助冻结了经过其交换路径的部分资产。她同时提醒，冻结与追回是两件事。前者有时可以先阻断一笔资金继续流动；后者还要面对资产归属、司法辖区和程序要求，未必会因为地址被冻结就自动完成。

为了提高协作意愿，Bitget 为自愿冻结攻击者资金和自愿协助追回资金分别设置了 5% 的赏金。陈说，这一做法借鉴了 Bybit 的案例；公司也与 Bybit 的技术和安全团队交流过，希望了解哪些处置步骤已经被证明有帮助。链上研究者、白帽研究者和受聘安全机构也在参与追踪。对于 ZachXBT 后来披露的疑似洗钱线索，陈说自己没有得到团队关于实际冻结效果的更新，也没有称其为 Bitget 付费聘请的调查员。

不同系统在冻结上的可操作性并不相同。稳定币发行方对其发行的资产可以采取冻结动作；一个公链或去中心化协议是否能、是否愿意拒绝某些地址，则可能受技术设计和治理程序共同限制。主持人提到 Arbitrum 曾由安全委员会参与冻结资金，也提到社区对 THORChain 控制能力有争论。陈没有声称自己了解 THORChain 的治理细节，只说她已就相关地址提出拒绝服务的请求，之后又经由第三方寻求与其核心开发者沟通，但在访谈时尚未获得确定的联络渠道。

开放网络中的筛查层

陈把 NEAR Intents 当作另一种可能的做法来讨论。按她在节目中的理解，该系统会汇集 KYT 数据、交易情报服务和独立研究者的信号，识别资金流的异常，再决定是否允许一笔交易继续执行。KYT 是对交易流向和风险信号的核查；它与 KYC 的用户身份核验不同，关注的是链上活动本身。

她认为无需许可的协议也可以拒绝已知被盗资金的洗钱流动。陈没有主张 THORChain 改变其无需许可的模式；她把 NEAR Intents 的筛查做法视为可供讨论的机制。能否采取这样的行动，取决于各协议的技术能力和治理安排；陈承认自己并不熟悉每个协议的具体机制。她还说，Circle 这次快速协助冻结的原因她无法确定：可能是案例不同，也可能与规则变化有关，Bitget 较快公开资金流向只是她提出的一种可能解释。

保护基金和安全改造承担不同职责

追踪团队继续追索被盗地址的同时，保护基金承担了用户资产和提现需求的缓冲角色。陈说，Bitget 的保护基金设在公开钱包中，2022 年年中、市场低迷且一些小型交易所接连关闭的时期设立。此前它只用于较小的事故或系统不稳定造成的小额用户损失；这次是首次面对如此大的缺口。她将其描述为公司自行建立的保障安排。

访谈当时，该基金估值约为 5.56 亿美元，核心资产主要是比特币，分散在三个公开钱包。陈说基金最初对外承诺的最低规模为 2 亿美元，后来提高到 3 亿美元；公司将补充自有资金，维持不低于这一门槛。被盗资金则仍由追踪团队沿链上地址另行追索。

Bitget 恢复提现后，陈观察到的实际流出低于她的预期。比特币提现在前一天开放；以太坊提现于当日 UTC 8 点开放后的首小时，平台流入 9,674 ETH，流出约 9,023 ETH。开放首小时的进出量，是她用来说明用户并未出现超预期集中提款的现场数据。她表示平台还计划向重点客户解释安全措施和事件报告，以恢复日常业务与用户信任。

危机期间的冒名接触

陈主张保持保护基金的结构，并把改造重点放在安全基础设施。团队在事件后隔离了相关服务器和系统，既防止进一步失陷，也保留取证材料；随后撤销并重新签发内部凭据，对敏感操作增加多重审批。她也直言，对第三方服务的检查做得不够，今后需要更严密地审查每一个可能被利用的环节。

袭击后的几天里，陈在向外部合作方寻求协助、频繁沟通时遇到了一次冒名接触：有人假扮一家大型投资机构接近团队，甚至安排多人分别扮演机构成员。她经由自己已知的另一条渠道核实对方身份后，发现那又是一次诈骗尝试。她无法判断对方是否与朝鲜黑客有关。事故后的密集沟通和紧迫感，会给冒名者创造接触机会。

她给个人的建议是做好基本的账户和沟通核验，遇到陌生会议平台、软件或合作方时通过独立渠道复核。对托管用户资金的机构，她提出的起点则是更严格的 KYC、KYT 和 KYB：分别核验客户、交易和企业主体。她还设想让大型交易所、安全机构与情报机构形成协作网络，以便更早识别和阻断被盗资金的流动。至于 Bitget 未来可能的上市计划，陈说它仍在路线图上，但监管机构会如何看待这次事故，仍由公司的法律团队处理。