Op 24 september 2026, omstreeks 18:31 UTC, heeft cryptocurrency exchange Bitget een ongeautoriseerde overschrijving in delen van haar wallet-infrastructuur gedetecteerd. De aanvallers wisten activa over te hevelen kort na het verkrijgen van toegang tot Bitget-systemen. De beveiligingsinbreuk bleef beperkt tot bepaalde onderdelen van de drie-niveau wallet architectuur; de offline cold wallets van Bitget bleven onaangetast.

De accountsaldi van klanten weerspiegelen hun bezittingen nog steeds correct en stortingen en handel zijn beschikbaar gebleven. On-chain waarnemers hebben de beweging van ETH, BNB, AVAX, USDT en USDC gevolgd. De aanvallers wisten vermoedelijk geen private keys te bemachtigen, maar hebben wel een cruciaal backend-component gecompromitteerd dat walletdiensten ondersteunt.

Vroege schattingen van de verdachte overschrijvingen liepen uiteen tussen 174 miljoen en 183 miljoen dollar, voordat Bitget de blootstelling officieel op 351,6 miljoen dollar vaststelde. Terwijl onderzoekers de walletsystemen beoordelen, heeft Bitget tijdelijk opnames geschorst.

Voorlopig bewijsmateriaal wijst in de richting van IP-adressen die geassocieerd worden met VPN-infrastructuur, die eerder in verband werd gebracht met een Noord-Koreaanse dreigingsgroep. De aanval vertoont patronen die gezien zijn in eerdere Noord-Koreaanse operaties, met verdenking gericht op de Lazarus Group. Onderzoekers onderzoeken momenteel of een tool van een derde partij of een supply-chain attack de vervalsing van overschrijvingsinstructies heeft mogelijk gemaakt. De precieze initiële toegangsvector, het persistentie mechanisme en de controlemaatregelen blijven onbekend in afwachting van een rapport.

De beveiligingsteams van Bitget reageerden binnen enkele minuten door noodprotocollen te activeren. De exchange heeft ontvangstadressen geïdentificeerd en gemarkeerd, rechtshandhaving geïnformeerd en blockchain-beveiligingsbedrijven ingeschakeld om de fondsen te traceren.

De CEO van Bitget, Gracy Chen, heeft aangegeven dat het financiële verlies wordt gedekt door het User Protection Fund van Bitget, een fonds dat momenteel een waarde van meer dan 464 miljoen dollar vertegenwoordigt. Bitget heeft toegezegd om via officiële kanalen elk uur updates te verstrekken en binnen 24 uur een volledig incidentrapport te publiceren.