Bitget交易所遭遇攻击，损失约3.875亿美元。据安全公司BlockSec及Bitget官方追踪，攻击者已将大部分被盗资产通过跨链服务转换为比特币，而在事发五天后，公开冻结资金仅约84万美元，占失窃总额的0.2%。
黑客如何转移被盗资金？
Bitget表示，入侵始于UTC时间9月24日18:31，其热钱包与温钱包基础设施部分发生未授权转账。BlockSec发现，首笔交易为小额测试转账（0.84 ETH与93 TRX）。大额提现自18:58开始，七分钟后Bitget对账系统发现异常并阻断普通客户提现。交易所称攻击者利用第三方安全产品的漏洞获取高级内部凭证，直接伪造提现指令，私钥未泄露，冷钱包未受影响。Mandiant与SlowMist独立调查确认了上述第三方软件被攻破。
损失初始估为3.516亿美元，后计入Zcash与Tron转账扩至3.875亿。BlockSec统计12条链上13项资产被盗，XRP为单链最大损失。可冻结资产被优先转移：约7548万USDT、USDC、USDT0及3000枚XAUt在被盗41分钟内换为ETH或AVAX，使用了Uniswap、UniswapX、1inch及MetaMask内置兑换。这些操作在Bitget CEO公开披露前已完成。
为何Bitget 3.87亿中仅84万被冻结？
资产转换后，攻击者跨链向比特币集结。BlockSec快照至9月29日统计，约2.69亿美元经由THORChain流转（7804笔交易）；Chainflip处理约3727万；USDT0/LayerZero、Circle CCTP、Across与Stargate亦出现在路径中。需注意同一资金可能经多协议，故不可简单加总。
洗钱近五日时，攻击者控钱约3.42亿（占88.3%），其中比特币占83.7%（约3386 BTC）。公开冻结规模极小：Tether与Circle冻结约34万稳定币；NEAR Intents称其SHIELD系统拦截向该服务路由的超5000万资金，实际执行挡下约50.3万，放行约16.6万（误差10%）。合计公开冻结近84万，仅0.2%。
为何大量Bitget加密资产经由THORChain流动？
THORChain成为最大跨链通道，Bitget公开要求其拒绝已知攻击者地址，CEO称“去中心化是设计原则，而非赃款盾牌”。THORChain拒绝，称紧急停止功能为保护整体协议而非选择性审查。后续某关联钱包经THORChain将约630万ETH换为比特币（27笔换出约75.2 BTC）。部分资金进入混币器：截至9月29日约394万进CoinJoin，其中9月27日一笔含356输入401输出，4个各2.5 BTC输入来自Bitget标记地址。
另有追踪显示，Bitget资金进入Wasabi CoinJoin的路径始于Tron，经以太坊、THORChain到比特币再混合。
朝鲜是否实施了Bitget黑客攻击？
朝鲜关联仅为评估，非执法确认。Chen称IP行为与链上模式“符合DPRK相关黑客团体技法”，部分IP匹配曾属朝方VPN，但证据未公开。BlockSec发现与TraderTraitor洗钱手法重叠及THORChain用法相似；ZachXBT指认有中文地下洗钱者参与；Arkham指其使用剥层链技术。但BlockSec警告相似非身份证据，因洗钱服务可接多客户，协议亦开放。类比多基于2025 Bybit案（美官方归因朝方TraderTraitor，THORChain亦被用），但暂无机构对Bitget案公开归因。
Bitget与被盗资金的后续进展
Bitget持续追踪并设赏金：直接冻结合格者获5%，成功追回再获5%。已分阶段恢复BTC、ETH、USDT提现；公布日程含10月2日08:00 UTC恢复其他代币、法币及P2P，但官方事故页未单独确认。Bitget称漏洞已修、用户余额无影响，取证与追偿仍在继续。