Bitget Exploit: как были похищены $387,5 млн и куда ушли средства

24 сентября 2026 года криптовалютная биржа Bitget подверглась масштабной атаке, в результате которой злоумышленники похитили криптоактивы на $387,5 млн. Атакующие получили доступ к внутренней инфраструктуре биржи и инициировали несанкционированные переводы с горячих и промежуточных кошельков.

Ключевые данные об атаке:

• Пострадавшая платформа: Bitget
• Дата взлома: 24 сентября 2026 года
• Сумма ущерба: $387,5 млн (около $388 млн)
• Затронутые сети: Ethereum, XRP Ledger, Zcash, TRON и другие
• Начало атаки: 18:31 UTC
• Обнаружение: 19:05 UTC, после чего вывод средств был заблокирован
• Причина: эксплуатация уязвимости в стороннем продукте безопасности с последующим получением привилегированного доступа к внутренним системам

Холодные кошельки Bitget не пострадали. Первоначальная оценка ущерба составляла $351,6 млн, однако 25 сентября ее увеличили после выявления дополнительных похищенных активов в сетях Zcash и TRON.

Атака началась со взлома стороннего инструмента безопасности, который использовала Bitget. Хакеры воспользовались ранее неизвестной уязвимостью (zero-day), получили доступ к внутренним системам биржи, а затем — к управлению криптовалютными кошельками.

Это позволило им отправлять команды на вывод средств, которые система принимала за обычные операции. В результате злоумышленники смогли переводить криптовалюту на свои адреса в обход защитных механизмов биржи.

При этом приватные ключи кошельков не были украдены. Хакеры получили контроль над системой, которая управляла переводами, а не над самими ключами. Холодные кошельки, где хранилась основная часть резервов Bitget, не пострадали.

30 сентября были опубликованы независимые отчёты SlowMist и Mandiant. Исследователи установили, что злоумышленники взломали два сторонних продукта безопасности и через них получили доступ к серверу, отвечавшему за операции с кошельками. Названия этих продуктов в опубликованных отчётах не раскрываются.

Первоначальные адреса злоумышленников

В ходе отслеживания похищенных средств Bitget публично идентифицировала четыре основных адреса, на которые поступали активы после атаки:


*Более подробно адреса злоумышленника в Tron и Ethereum можно проанализировать в нашем сервисе АМЛ проверок Btrace.

Эти адреса стали отправными точками для отслеживания украденных средств. Позже злоумышленники начали переводить криптовалюту на другие кошельки, обменивать её и перемещать между блокчейнами. Поэтому в таблице указаны только первые известные адреса, а не все кошельки, участвовавшие в схеме.

Именно дальнейшее движение похищенных активов, в особенности в сети Ethereum, представляет основной интерес для нашего расследования.

Отмывание украденных активов началось практически одновременно с атакой на Bitget. Злоумышленники не стали хранить средства на первоначальных адресах, а приступили к их конвертации, распределению между новыми кошельками и перемещению через различные блокчейн-сети.
Одним из главных пунктов перемещения украденных средств стал Ethereum. Сюда злоумышленники переводили криптовалюту из других блокчейнов, включая TRON. Затем они распределяли активы между множеством кошельков и использовали специальные сервисы для обмена на Bitcoin. Такая схема позволяла запутывать следы и усложняла отслеживание похищенных средств.

При этом не все похищенные средства проходили через Ethereum. Например, большая часть XRP была конвертирована непосредственно из XRP Ledger в BTC, а часть украденных ZEC поступила в приватный пул сети Zcash.

Ethereum: консолидация и распределение активов

После вывода средств из Bitget злоумышленники практически сразу приступили к конвертации похищенных активов. В первую очередь обменивались USDT, USDC и XAUt, которые потенциально могли быть заморожены эмитентами. Для этого использовались децентрализованные биржи, включая Uniswap. По данным BlockSec, основная часть таких обменов была завершена в течение первых 40 минут после вывода средств.

Одновременно активы из Arbitrum, Base, Optimism и других EVM-сетей перемещались в Ethereum через кроссчейн-мосты. В результате злоумышленникам удалось консолидировать около 68 295 ETH, которые к 25 сентября были распределены между восемью накопительными кошельками. Шесть из них первоначально получили по 10 000 ETH.

Следующий этап начался 27 сентября: средства с накопительных кошельков стали распределяться между множеством новых адресов. По данным Bitquery, уже к 29 сентября движение активов из семи накопительных кошельков удалось проследить через 409 новых адресов.

Главными направлениями дальнейшего перемещения средств стали кроссчейн-протоколы THORChain и Chainflip, позволяющие обменивать активы между различными блокчейнами, в том числе конвертировать ETH в нативный Bitcoin без использования централизованных бирж.
В рамках нашего собственного ончейн-расследования сети Ethereum мы также выявили значительные объемы переводов на адреса этих сервисов:

• THORChain: около $118,08 млн в 2 215 транзакциях.
• Chainflip: около $9,17 млн в 102 транзакциях.

Совокупный объем зафиксированных переводов составил $127,24 млн, причем более 92% пришлось на THORChain. Эти показатели рассчитаны на основании транзакционных связей, представленных в нашем графе, и отражают объем входящих переводов на сервисы, а не обязательно уникальную сумму окончательно отмытых активов.

Таким образом, Ethereum стал одним из ключевых центров консолидации и дальнейшего распределения похищенных средств. Через многочисленные промежуточные кошельки злоумышленники направляли активы в кроссчейн-протоколы, после чего значительная их часть конвертировалась в Bitcoin.

TRON: быстрый вывод средств через Ethereum

В сети TRON злоумышленники также приступили к перемещению средств практически сразу после атаки. Уже 25 сентября первоначальный адрес эксплойтера был практически полностью опустошен.

Всего с него было выведено около 20,59 млн TRX через 22 транзакции. Большая часть активов конвертировалась в USDT, после чего переводилась в Ethereum через кроссчейн-инфраструктуру USDT0.

Наш анализ движения средств в TRON подтверждает, что Ethereum использовался как одно из основных направлений дальнейшего вывода активов. В отличие от схемы с накопительными кошельками Ethereum, в TRON средства преимущественно не задерживались на первоначальном адресе, а быстро переводились в другие сети.

После поступления в Ethereum часть активов направлялась в THORChain и Chainflip для последующей конвертации в Bitcoin.

При этом злоумышленники использовали не только прямые маршруты. По данным Bitquery, часть средств проходила через Umbra — сервис, позволяющий отправлять активы на одноразовые адреса. Далее средства перемещались между Ethereum и Arbitrum, после чего поступали в Chainflip. Только этот маршрут завершился выплатами на 21,65 BTC, распределенными между пятью Bitcoin-кошельками.

Таким образом, TRON преимущественно выступал отправной точкой для дальнейшего перемещения похищенных активов, тогда как Ethereum использовался для их консолидации, распределения и последующего обмена через кроссчейн-протоколы.

XRP Ledger: обмен через THORChain

В отличие от Ethereum и TRON, похищенные XRP практически не нуждались в промежуточной консолидации в Ethereum.

После вывода из Bitget злоумышленники распределили около 102,98 млн XRP между несколькими адресами, а затем начали постепенно направлять активы в THORChain.
Этот протокол позволяет обменивать нативные активы различных блокчейнов без предварительного перевода в Ethereum.

К 27 сентября первоначальные кошельки с XRP были опустошены. Согласно анализу Bitquery, около 93,22 млн XRP, или 90,5% похищенного объема, были обменены на Bitcoin. Еще 7,86 млн XRP конвертировали в ETH, а небольшие объемы — в BNB и другие активы.

Следовательно, для крупнейшей отдельной части похищенных средств основным маршрутом стал прямой обмен XRP на BTC без использования Ethereum в качестве промежуточного звена.

BNB Chain и другие сети

Похищенные в BNB Chain активы также активно конвертировались и перемещались через различные протоколы. В частности, около 12 719 BNB были распределены между дополнительными адресами, после чего значительная часть направилась на обмен в Bitcoin через THORChain.

В сетях Arbitrum, Base, Optimism и Avalanche злоумышленники преимущественно использовали кроссчейн-мосты для перемещения активов в Ethereum.

В этих операциях были задействованы различные инфраструктурные решения, включая Across, Stargate и Circle CCTP.

При этом участие перечисленных протоколов в маршрутах движения средств не означает, что они были скомпрометированы. Злоумышленники использовали существующую инфраструктуру обмена и межсетевых переводов.

Bitcoin: завершающий этап отмывания средств

Несмотря на различия в первоначальных маршрутах, значительная часть похищенных у Bitget активов в конечном итоге конвертировалась в Bitcoin.

Основными инструментами для этого стали кроссчейн-протоколы THORChain и Chainflip, позволявшие злоумышленникам обменивать ETH, XRP и другие активы на BTC без использования централизованных бирж.

По данным BlockSec, к 29 сентября через THORChain прошло около $269 млн связанных с атакой средств, а через Chainflip — около $37,27 млн. Эти показатели отражают обороты протоколов и могут включать повторные перемещения одних и тех же активов.
Дальнейшее расследование CipherOwl позволило установить конкретные Bitcoin-адреса, на которые поступали средства после обменов через THORChain. Аналитики выявили 36 BTC-адресов,
получивших в совокупности около 1 238,49 BTC в рамках отслеженного маршрута ETH → THORChain → BTC.

Ниже представлены пять крупнейших адресов-получателей из этого исследования:


Особое внимание привлек первый адрес — bc1qh2ml...64g7pf. Исследователи установили, что на него поступали BTC, полученные в результате обменов как похищенных ETH, так и XRP. Это позволило связать между собой два ранее независимых маршрута перемещения средств.

Впоследствии Bitcoin с этого адреса распределялись между 14 дополнительными адресами консолидации, после чего переводились на новые кошельки. Среди выявленных получателей:


Отдельные маршруты проходили через Chainflip. По данным Bitquery, один из обменов объемом 2 450 ETH завершился выплатой 74,46 BTC на один Bitcoin-адрес. Кроме того, ранее рассмотренный маршрут из TRON через Umbra, Arbitrum и Chainflip привел к выплатам на 21,65 BTC, распределенным между пятью кошельками.

На следующем этапе злоумышленники начали использовать инструменты, затрудняющие установление связей между транзакциями. В частности, часть Bitcoin поступала в CoinJoin-транзакции, объединяющие входы и выходы нескольких участников.

К 29 сентября BlockSec оценила объем средств, связанных с атакой и прошедших через CoinJoin, приблизительно в $3,94 млн.

Таким образом, завершающий этап отмывания включал конвертацию похищенных активов в BTC, распределение между многочисленными адресами, повторную консолидацию и использование инструментов повышения приватности. При этом следы отдельных маршрутов сохранялись: анализ Bitcoin-транзакций позволил связать средства, первоначально похищенные в разных блокчейн-сетях.

Bitget Exploit стал одним из крупнейших криптовалютных взломов 2026 года, в результате которого злоумышленникам удалось похитить около $387,5 млн. Инцидент продемонстрировал, что даже без компрометации приватных ключей уязвимости во внутренней инфраструктуре могут привести к масштабной потере средств.

Дальнейшее движение активов показало, насколько сложными могут быть современные схемы отмывания криптовалюты. Злоумышленники использовали сразу несколько блокчейн-сетей, многочисленные промежуточные кошельки и кроссчейн-протоколы для конвертации и распределения похищенных средств.

Bitget Exploit наглядно показывает, что перемещение активов между блокчейнами не гарантирует сокрытия их происхождения. Несмотря на использование кроссчейн-протоколов, промежуточных кошельков и инструментов повышения приватности, значительная часть маршрутов остается доступной для ончейн-анализа.

При этом опубликованные результаты отражают лишь установленные на момент исследования связи. Дальнейшее движение средств и конечные получатели части похищенных активов по-прежнему остаются предметом расследования.