Kryptovalutabörsen Bitget meddelade den 25 september 2026 att misstänkta nordkoreanska hotaktörer stulit 351,6 miljoner dollar efter att ha komprometterat en kritisk del av börsens backend. Enligt bolaget upptäckte säkerhetssystemen klockan 18:31 UTC den 24 september obehöriga överföringar från ett begränsat antal heta och varma plånböcker. Kalla plånböcker och merparten av plattformens tillgångar uppges vara opåverkade. Kundsaldon beskrivs som korrekta; insättningar och handel fortsätter, medan uttag tillfälligt pausats under en omfattande säkerhetsgenomgång. Bitget har anlitat Mandiant (Google) och SlowMist för oberoende forensisk utredning.
VD Gracy Chen uppger att drabbade tillgångar inkluderar ETH, XRP, BNB, AVAX, USDT och USDC på kedjorna Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Smart Chain och Base. Bitget säger sig ha kontaktat berörda kedjefoundationer; vissa har bekräftat frysning av hackarplånböcker. Baserat på IP-beteendemönster och on-chain-analys bedömer bolaget att metoden är "högst förenlig" med kända nordkoreanska hackarorganisationer. Angriparen ska ha komprometterat ett kritiskt backendsystem i plånboksinfrastrukturen, förfalskat transaktionsdata och triggat auktoriseringsflödet så att medel flyttades ut. Ytterligare obehöriga överföringar ska inte längre vara möjliga; exakt intrångsvektor utreds fortfarande.
Bitget Wallet — den självförvaltande plånboksappen — körs på separat infrastruktur och uppges vara opåverkad. Det är en viktig distinktion för användare som förväxlar börsens custodial-lager med den fristående wallet-produkten. Händelsen kommer bara drygt en vecka efter att SentinelOne kopplat den nordkorearelaterade gruppen TraderTraitor till ett angrepp mot ett indiskt IT-tjänsteföretag. TraderTraitor är mest känt för stölden av 1,5 miljarder dollar från Bybit och 292 miljoner från KelpDAO:s LayerZero-brygga. Oavsett om Bitget-intrånget slutligen tillskrivs samma kluster eller en närliggande DPRK-enhet, bekräftar mönstret att kryptoplattformar förblir prioriterade mål för statsstödd finansiering.
För privatkunder och institutionella handlare i Norden är praktiken enkel men obekväm: limithållning på börser, uttag till självförvaltning när det är möjligt, och misstänksamhet mot brådskande "säkerhets"-meddelanden under pågående incidenter. För börsar och custody-leverantörer understryker fallet behovet av stark separation mellan signeringsinfrastruktur och applikationsbackend, multi-party approval för stora uttag, och snabb kedjeövergripande frysningskoordination.
Detta bör kryptokunder göra nu
1. Verifiera Bitget-kontoutdrag och pausa stora insättningar tills utredningen klarnar. 2. Flytta överskott till självförvaltande plånböcker du kontrollerar — förväxla inte Bitget Wallet med börsens hot wallets. 3. Ignorera phishing som utger sig för att "hjälpa" med uttagsstopp; använd bara officiella domäner. 4. Aktivera hårdvarunyckel/MFA och granska API-nycklar; återkalla oanvända nycklar. 5. Institutionella: dokumentera exponering och kontakta compliance/försäkring enligt interna rutiner.
Källstatus
- Bekräftat: Bitget offentliga incidentuttalanden; Mandiant/SlowMist inkopplade; angivna kedjor och tillgångstyper.
- Rapporterat: VD:s bedömning om nordkoreansk TTP-överensstämmelse; foundationers frysningar.
- Obekräftat: Slutlig attributering till namngiven DPRK-grupp (t.ex. TraderTraitor) och exakt initial access.
I korthet
- 351,6 miljoner dollar flyttades från Bitgets hot/warm wallets den 24 september efter backend-kompromiss.
- Kalla plånböcker, kundsaldon och Bitget Wallet uppges opåverkade; uttag pausade under utredning.
- Misstänkt nordkoreansk koppling — mönstret speglar tidigare jättestölder mot kryptoinfrastruktur.
Nordkoreanska kryptostölder har under flera år finansierat sanktionskringgående och vapenprogram, enligt återkommande bedömningar från amerikanska och sydkoreanska myndigheter. Bitget-fallet understryker att även plattformar med etablerade säkerhetsteam kan drabbas när angripare når signeringsnära backendkomponenter. För utredare blir on-chain-spårning, frysningsbegäran till stablecoin-utgivare och samarbete med kedjevaliderare centrala steg parallellt med den interna forensiken hos Mandiant och SlowMist.