Bitget Exchange

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 24 set 2026 Hack / furto di fondi Critico 352 Mln USD ● aperto

   Trasferimenti non autorizzati dagli hot wallet di Bitget: circa 351,6 milioni di dollari su sette catene, prelievi ancora sospesi. Sistema di backend compromesso, furto delle chiavi private escluso

   Il 24 settembre 2026 alle 18:31 UTC i sistemi di sicurezza di Bitget hanno rilevato trasferimenti non autorizzati da alcuni degli hot wallet dell'exchange. Tre ore dopo, alle 21:30 UTC, l'amministratrice delegata Gracy Chen ha pubblicato l'avviso di sicurezza ufficiale: «fondi coinvolti stimati: circa 351,6 milioni di dollari», con i cold wallet dichiarati integri («Bitget opera un'architettura di wallet a tre livelli — la violazione ha riguardato solo una parte dei livelli hot e warm») e la perdita dichiarata interamente coperta dallo User Protection Fund, che secondo la società supera i 464 milioni di dollari. L'account ufficiale @bitget ha ripreso il comunicato alle 21:34 UTC, la versione cinese alle 21:32, e alle 22:28 UTC la CEO è andata in diretta. Depositi e trading restano operativi, i prelievi sono sospesi in via precauzionale. AGGIORNAMENTO DEL 25 SETTEMBRE. Nelle ore successive la società ha detto molto più di quanto avesse promesso, e conviene distinguere quello che ha accertato da quello che ipotizza. Il vettore d'attacco, ieri non divulgato, ora è dichiarato: alle 00:43 UTC del 25 settembre Chen ha scritto che «l'attaccante ha compromesso un sistema di backend critico all'interno della nostra infrastruttura di wallet, l'ha usato per falsificare i dati delle transazioni e ha innescato il nostro processo di autorizzazione per far uscire i fondi». In altre parole i trasferimenti sono stati firmati dalla procedura normale dell'exchange, che li ha visti come legittimi. La società dichiara escluso il furto delle chiavi private — è la differenza fra un impianto di firma violato e un impianto di firma ingannato — e dichiara chiusa l'emorragia: «nessun ulteriore trasferimento non autorizzato è possibile». Il modo in cui l'intrusione è avvenuta resta però sotto indagine: la causa radice non è stata trovata, e il rapporto tecnico completo promesso entro 24 ore non è ancora uscito. Il perimetro è molto più largo di quanto si vedesse ieri, e questo scioglie buona parte del divario fra le cifre. Nella diretta di oltre tre ore riassunta dalla CEO alle 05:42 UTC, Bitget ha elencato sette catene — Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC e Base — e ha indicato in XRP, non in ETH, la perdita più grande su una singola catena; la stampa che ha seguito la diretta quantifica circa 102,9 milioni di XRP (circa 157,5 milioni di dollari) e 31.890 ETH (circa 85,8 milioni), oltre a USDT, USDC, USDT0, Tether Gold, BNB, AVAX e TRX. Ieri notte gli analisti on-chain che avevano segnalato per primi i movimenti — Bubblemaps, Arkham, l'account DCF GOD — ne contavano fra 183 e 192 milioni: stavano guardando il lato Ethereum, che è appena un quarto del totale dichiarato. Le due cifre non erano in contraddizione, misuravano cose diverse. Resta vero che i 351,6 milioni sono la stima della società e che nessuno l'ha ancora verificata in modo indipendente. Sull'autore, la società fa un'ipotesi e la presenta come tale: in diretta Chen ha detto che i pattern comportamentali degli indirizzi IP e le firme on-chain sono compatibili con le tecniche di gruppi legati alla Corea del Nord, precisando che l'attribuzione non è confermata; gli investigatori on-chain che seguono il caso puntano al gruppo Lazarus. Va letta per quello che è: un sospetto dichiarato dalla vittima, non un fatto accertato da un'autorità. Bitget dice anche di aver contattato le fondazioni di tutte le catene coinvolte e che alcune hanno già congelato gli indirizzi dell'attaccante. Un punto che vale la pena mettere per iscritto, perché metà della stampa minore ha titolato il contrario: Bitget Wallet, il wallet self-custody, gira su un'infrastruttura completamente separata dall'exchange e la società dichiara che non è stato toccato. I titoli su un «Bitget Wallet violato» confondono i portafogli on-chain dell'exchange con il prodotto che si chiama Bitget Wallet: sono due cose diverse, e nel secondo le chiavi stanno sul dispositivo dell'utente. Quello che abbiamo verificato noi, invece di riportarlo: nella notte fra il 24 e il 25 settembre abbiamo interrogato un nodo Ethereum pubblico sui due indirizzi di destinazione indicati dagli analisti — 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee, il principale, e 0x469Ac1406dE92f82C0563477240a3627057425DC, il secondario — al blocco 26050895: sono praticamente vuoti (0,008793 ETH, 0,001090 USDT e 0,002613 USDC il primo; 0,000716 ETH e zero stablecoin il secondo). I fondi non stanno fermi lì, si sono già mossi. È il dato che regge l'etichetta «in corso» meglio di qualsiasi titolo. Dove siamo, alle 07:42 CEST del 25 settembre: i prelievi restano sospesi e la società non indica una finestra di ripristino («non ci impegneremo su una tempistica che non possiamo garantire»); nessun rimborso è stato eseguito. Sulla capienza, Bitget ha alzato la posta dichiarando oltre 464 milioni di dollari di fondo di protezione «in wallet pubblicamente verificabili» più oltre un miliardo di asset propri, con copertura degli utenti 1:1 «verificabile on-chain»: rispetto a ieri è un passo avanti, perché prima il fondo era solo un numero: ma nell'annuncio gli indirizzi non sono elencati, nessun terzo ha ancora fatto quella verifica, e una copertura annunciata non è un rimborso eseguito.

   ↗ fonte

verificato il 25 set 2026

Media ponderata sul numero di recensioni di 1 piattaforma pubblica (5442 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.