Bitget热钱包遭攻击损失约3.5亿美元，Lazarus Group嫌疑与资金追踪路径

2026年9月25日凌晨，Bitget遭遇一起大规模安全事件。根据平台发布的安全公告，北京时间02:31:11，系统监测到部分热、温钱包出现异常转账，初步评估涉及金额约3.516亿美元，冷钱包未受影响。Bitget表示相关损失在用户保护基金覆盖范围之内，并暂时关闭提币功能，等待安全核查完成后有序恢复。

事件发生后，链上监测平台和多位分析师陆续披露了资金流向的初步信息。被盗资产主要包括XRP、ETH、USDT、USDC、USDT0、XAUT、BNB、AVAX等。黑客将资金归集至特定地址后，通过UniswapX、1inch Fusion等渠道进行兑换，并进一步分发至多个地址。链上数据显示，攻击过程中出现了小额转账测试，随后Avalanche链上又有一笔约800万美元的USDC被转入黑客地址。

Bitget的应对与偿付能力说明

Bitget CEO Gracy Chen在事件发生后进行了直播，并发布多轮进展通报。她表示，平台采用热、温、冷三层钱包架构，本次攻击仅涉及部分热钱包和温钱包，冷钱包及绝大部分平台资产未受影响。Bitget Wallet（去中心化钱包）与交易所基础设施完全独立运行，本次事件对其无影响。

在偿付能力方面，Bitget称用户保护基金当前规模逾4.64亿美元，均存放于可公开核查的钱包地址，此外平台自有资产超过10亿美元，用户资金以1:1比例覆盖。关于提币恢复时间，由于涉及多个链上网络及多种资产，团队仍在推进全面恢复，具体时间将另行公告。

Gracy Chen还透露，初步调查发现部分相关IP地址与某朝鲜黑客组织使用的VPN服务相吻合，攻击模式也与该组织此前行动存在相似之处，因此不排除其参与此次攻击，但目前尚未最终确认攻击者身份。她同时表示，Bitget目前不认为此次事件属于内部人员作案，攻击者通过入侵平台系统转移资金，并未伪造用户提币请求，也未获取冷钱包或热钱包私钥。

Lazarus Group嫌疑与链上关联

市场对攻击者的猜测集中在朝鲜黑客组织Lazarus Group。链上分析师Specter表示，已将此次Bitget攻击与2026年7月发生的AFX攻击事件建立链上关联。后者被盗约2400万美元，并被归因于TraderTraitor。Bitget此次被盗的XRP在跨链后，可直接追踪至AFX攻击中的被盗资金，据此认为此次攻击可能与Lazarus Group有关。

这一归因尚未得到官方最终确认，但与此前多起交易所被盗事件的模式存在相似性。2025年Bybit被盗事件后，Lazarus Group也曾被广泛怀疑。此次Bitget事件中，攻击者同样表现出对多链环境的熟悉，并利用兑换和跨链工具快速分散资金。

行业协助与资金追踪的难点

事件发生后，Bybit联合创始人兼CEO Ben Zhou表示愿意向Bitget提供帮助，并称团队正在更新LazarusBounty平台，以协助追踪被盗资金流向。此前在2025年Bybit被盗后，Bitget CEO Gracy Chen曾公开表示协助追踪和调查，Bitget当时还向Bybit转入4万枚ETH提供流动性支持。

被盗资产可能迅速换成其他币种、拆分到多个地址，或者跨到另一条链上。资金沿途经过的服务，有的可以控制托管账户，有的掌握尚未结算的交易，有的只能管理前端入口、路由或部分执行环节。调查人员和受害方需要尽快找到真正有能力采取措施的主体。

从法律与合规角度看，按照金融行动特别工作组（FATF）的国际标准，虚拟资产服务商通常应实施客户尽职调查、记录保存和可疑交易报告等预防措施，具体适用范围与履行方式由各司法辖区的法律落实。FATF在2026年7月发布的DeFi专题报告中，重点关注谁对相关安排具有控制权或足够影响力，并列举了管理权限、升级控制、治理代币集中度、基础设施影响力等判断因素。

在实务层面，受害平台可以优先固定事件时间线，整理交易哈希、涉案地址、币种、金额和链上路径，并准备权属、报案及授权材料。交易所、兑换服务等经营者收到线索后，可以先核对关联账户、订单和交易阶段，保存KYC、登录、设备、通信和操作记录，再由业务、技术、合规和法律人员结合本方权限评估可采取的措施。跨链协议、聚合器及相关运营方可以尽快区分智能合约、前端、路由、API、升级权限和治理机制，确认哪些环节实际受本方控制。

截至9月25日晚间，根据LazarusBounty平台数据，Bitget被盗资产规模已进一步扩大至3.87亿美元。Bitget表示已联系所有受影响链的基金会，其中有基金会已确认冻结黑客钱包地址。事件后续的技术报告、资金追回进展以及提币恢复时间，仍有待平台进一步披露。