Bitget ha completato pool de teneur de marché automatisé divergent, par rapport à une simple conservation des mêmes jetons. Elle devient définitive au retrait.">il 2 ottobre 2026 la riapertura graduale dei prelievi, otto giorni dopo il furto di circa 388 milioni di dollari dai suoi wallet caldi e tiepidi. L’attacco hacker a Bitget del 24 settembre è il furto singolo più grande del 2026 finora. L’exchange sostiene che i saldi dei clienti siano stati coperti per intero dal suo fondo di protezione degli utenti, senza perdite a loro carico.
Cosa è successo il 24 settembre
Secondo la pagina sull’incidente pubblicata da Bitget, i trasferimenti non autorizzati sono iniziati alle 18:31 UTC del 24 settembre su più blockchain. La risposta d’emergenza è scattata alle 19:14 UTC e i servizi di prelievo sono stati spenti e isolati alle 21:44 UTC. Bitget afferma di aver individuato la causa la mattina seguente, alle 8:43 UTC del 25 settembre, e di aver avvisato le autorità nel pomeriggio.
La prima stima, riportata da Bloomberg il 25 settembre, era di 351,6 milioni di dollari. Bitget l’ha poi alzata a circa 387,5 milioni aggiungendo asset su Zcash e TRON sfuggiti al primo conteggio, come indicato nel suo annuncio ufficiale. La cifra finale verificata è di circa 388 milioni di dollari, distribuiti su 12 indirizzi e 11 blockchain. Tra gli asset colpiti: ETH, XRP, USDT, USDC, ZEC, BNB, AVAX, TRX e l’oro tokenizzato XAUt.
Come sono entrati gli attaccanti
Secondo Bitget nessuna chiave privata è stata compromessa e i cold wallet non sono stati toccati. L’attaccante ha sfruttato una vulnerabilità zero-day in un prodotto di sicurezza di un fornitore esterno per accedere ai sistemi interni e ottenere credenziali ad alto privilegio. Ha poi inserito ordini di prelievo falsificati nel backend dei wallet, che i controlli di rischio hanno trattato come prelievi normali, e infine ha cancellato le tracce di quei comandi.
Due società indipendenti, Mandiant (Google Cloud) e SlowMist, hanno consegnato i loro rapporti il 30 settembre. Secondo Bitget, entrambe attribuiscono l’accesso iniziale a prodotti di sicurezza di terze parti compromessi. I fornitori non sono stati nominati.
La CEO Gracy Chen ha collegato l’attacco a hacker nordcoreani, citando l’analisi on-chain e il comportamento degli indirizzi IP, come riportato da BleepingComputer. L’attribuzione arriva dall’azienda: a metà ottobre nessuna autorità l’aveva confermata pubblicamente.
Prelievi, riserve e fondo di protezione
I prelievi sono ripartiti in quattro fasi, sempre alle 8:00 UTC: bitcoin il 28 settembre, ETH il 29, USDT il 30, poi tutti gli altri token, la valuta fiat e il C2C il 2 ottobre. Trading e depositi non si sono mai fermati.
- Prima dell’attacco il fondo di protezione superava i 464 milioni di dollari, secondo Gracy Chen citata da Bloomberg.
- Il 28 settembre Bitget si è impegnata a riportarlo ad almeno 300 milioni di dollari entro una settimana. Secondo l’exchange il traguardo è stato raggiunto il 30 settembre, con 3.705 BTC nel fondo.
- La proof of reserves del 29 settembre indicava un rapporto complessivo del 131% su 19 asset.
Il recupero dei fondi procede a rilento. Bitget offre una ricompensa del 5% sulle somme congelate o recuperate e usa la piattaforma LazarusBounty di Bybit. Il sito 24/7 Wall St. riportava il 3 ottobre che erano stati congelati solo circa 821.000 dollari, di cui circa 318.000 in stablecoin bloccate da Circle e Tether.
Un mese nero per la sicurezza
Settembre 2026 è stato il mese peggiore dell’anno per i furti di cripto. PeckShield ha contato 766,5 milioni di dollari sottratti in 55 incidenti gravi, CertiK 768,4 milioni in 97 incidenti, secondo Cointelegraph (1° ottobre). All’inizio del mese circa 320 milioni di dollari in bitcoin erano stati prelevati da un wallet usato da Liquid Network, ricorda Bloomberg.
Cosa cambia per gli utenti
I saldi non sono stati intaccati e il rapporto di riserva è rimasto sopra il 100%. Il caso ricorda però che il rischio di un exchange centralizzato non dipende solo dal suo codice, ma anche dai suoi fornitori. Per confrontare gli storici di sicurezza si possono consultare la nostra recensione di Bitget e la guida su come scegliere un exchange crypto. Tenere i risparmi di lungo periodo in autocustodia elimina questo rischio specifico, ma ne introduce altri, come la perdita della seed phrase.
Cosa osservare
- La pubblicazione di un rapporto tecnico completo con il nome dei software di terze parti coinvolti.
- Un’eventuale conferma della pista nordcoreana da parte degli investigatori o delle autorità.
- Il livello del fondo di protezione, ancora sotto quello pre-attacco, e gli importi congelati o recuperati sul tracker pubblico di Bitget.