اختراق Bitget ينقل 387.5 مليون دولار والصندوق يعود إلى أكثر من 300 مليون
الحقائق الرئيسية
قالت Bitget إن نحو 387.5 مليون دولار نُقلت إلى عناوين يسيطر عليها المهاجم في اختراق وقع يوم 24 سبتمبر 2026، وإن صندوق حماية المستخدمين خُصص لتغطية الأثر المالي للحادث. وبدأت التحويلات غير المصرح بها قرابة الساعة 18:31 بالتوقيت العالمي، وشملت أصولاً على شبكات متعددة ضمن جزء من بنية المحافظ الساخنة والدافئة للمنصة. وفي تحديثها الأول، قدّرت الشركة الأموال المتأثرة بنحو 351.6 مليون دولار، وقالت إن أرصدة المستخدمين بقيت دقيقة وإن الخسارة تقع ضمن تغطية صندوق كانت قيمته المعلنة آنذاك تتجاوز 464 مليون دولار. ثم رفعت تقديرها في 25 سبتمبر إلى 387.5 مليون دولار. وقالت إن التقدير الجديد يتجاوز الأولي، لكنه لا يعكس تحويلات غير مصرح بها إضافية وقعت بعد الحادث.
عزت Bitget طريقة الاختراق إلى ثغرة في منتج أمني تابع لطرف ثالث، مكّنت المهاجم من الحصول على بيانات اعتماد داخلية عالية الصلاحية. وقالت الشركة إن تلك البيانات أتاحت إرسال أوامر سحب مزورة إلى نظام المحافظ. وفي بيانها عن التحقيق، قالت Bitget إن مراجعة مستقلة أجرتها Mandiant وأخرى أجرتها SlowMist توصلتا إلى اختراق منتجات أمنية خارجية أتاح وصولاً غير مصرح به إلى بيئة محافظ المنصة. ووقعت التحويلات عبر عدة شبكات، بينما انحصرت المنطقة المتأثرة في جزء من بنية المحافظ الساخنة والدافئة. وقالت الشركة إن المحافظ الباردة لم تتأثر بالحادث.
وأوضحت Bitget أن التعديل من 351.6 مليون دولار إلى 387.5 مليوناً جاء بعد إضافة أصول على شبكتي Zcash وTRON لم تدخل في الحساب الأول. وشددت الشركة على أن إدراج تلك الأصول لا يعني وقوع تحويلات غير مصرح بها أخرى؛ بل عدّل نطاق ما شملته مراجعة الأموال المنقولة في الحادث نفسه. وهذا التفصيل يضع التقدير المعدل في سياق مراجعة أوسع للأصول المتأثرة، لا إعلاناً عن موجة جديدة من السرقات. وفي 25 سبتمبر، أعلنت المنصة برنامج مكافآت لاسترداد الأموال. وقالت إن الجهة المؤهلة التي تسهم مباشرة في تجميد أموال بنجاح أو استردادها بنجاح يمكن أن تحصل على مكافأة تعادل 5% من الأموال المجمدة و5% من الأموال المستردة، بحسب الحالة.
وظل المبلغ الذي قالت Bitget إنه جُمّد محدوداً مقارنة بإجمالي الأموال المنقولة. ففي تحديث نقلته CNBC عبر Yahoo Finance حتى 2 أكتوبر، قالت المنصة إنها جمّدت نحو 1.1 مليون دولار من قرابة 388 مليون دولار سُرقت في الهجوم. ولا يعني تجميد الأصول بالضرورة أن قيمتها أُعيدت إلى المنصة، وفق التنبيه المصاحب للتحديث. وبذلك يختلف مسار تعويض الأثر المالي عبر صندوق الحماية عن استعادة العملات التي وصلت إلى عناوين المهاجم؛ فالشركة قالت إن الصندوق يغطي أثر الحادث، فيما بقي ما أُعلن عن تجميده عند نحو 1.1 مليون دولار. ولم تصف Bitget ما أعلنته بأنه مدفوعات مباشرة للمستخدمين، بل قالت إن أرصدة حساباتهم بقيت دقيقة وإن الخسارة تقع ضمن تغطية الصندوق.
ويعود صندوق الحماية، بحسب Bitget، إلى عام 2022، حين أُنشئ بقيمة أولية تبلغ 300 مليون دولار ومدعوماً بـ5,500 بيتكوين. وبعد الاختراق، تعهدت الشركة في 28 سبتمبر بإعادة تمويله إلى 300 مليون دولار على الأقل خلال أسبوع. وفي إعلان مؤرخ في 30 سبتمبر، قالت إن الصندوق عاد إلى أكثر من 300 مليون دولار، وأضافت أن عناوين المحافظ المرتبطة به متاحة للمراجعة على السلسلة حتى يتمكن المستخدمون من التحقق منه بأنفسهم. أما مصدر الأموال التي أعادت تمويل الصندوق، فلم تحدده الشركة في الإعلان المفتوح؛ واقتصر بيانها على إعلان بلوغ القيمة الجديدة. ويتيح نشر عناوين المحافظ، بحسب الشركة، مراجعة الصندوق وتتبع أصوله على السلسلة.
وبالتوازي مع تمويل الصندوق، أعادت Bitget السحوبات على مراحل. وحددت الشركة 28 سبتمبر عند الساعة 08:00 بالتوقيت العالمي لبدء سحوبات BTC، ثم 29 سبتمبر عند الساعة 08:00 لسحوبات ETH، و30 سبتمبر عند الساعة 08:00 لسحوبات USDT. وشمل الموعد المقرر في 2 أكتوبر بقية الرموز والعملات الورقية وخدمات الند للند. وفي تحديث ذلك اليوم، قالت Bitget إن السحوبات للرموز الأخرى، إلى جانب خدمات العملات الورقية وC2C، استؤنفت، مؤكدة اكتمال خطة الاستعادة المرحلية. وقالت لاحقاً إن السحوبات عادت إلى وضعها الطبيعي لجميع الأصول المدعومة بعد اكتمال الخطة في 2 أكتوبر 2026.