Bitget 凌晨发生了什么？
2026 年 9 月 25 日凌晨 2:31:11（UTC+8），Bitget 安全系统监测到部分热钱包和温钱包出现异常转账，随后启动应急响应。
根据 Bitget 官方披露，截至目前评估涉及金额约为 3.516 亿美元。
Bitget 表示，平台采用热钱包、温钱包和冷钱包组成的三层钱包架构，此次事件影响了部分热钱包和温钱包，所有链上冷钱包目前均确认安全。
受影响资产包括 ETH、XRP、BNB、AVAX、USDT、USDC 等多种资产，涉及 Ethereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BSC、Base 等多条区块链，其中 XRP 是单链损失最大的资产之一。
事件发生以后，Bitget 暂停了提现服务，充值和交易目前仍然正常运行。
官方同时表示，用户账户余额没有受到影响，平台超过 4.64 亿美元的用户保护基金可以覆盖此次损失。除了保护基金以外，Bitget 称自身还拥有超过 10 亿美元资产，用户资金继续维持 1:1 覆盖。
因此，截至目前公开信息显示，这次事件首先造成的是 Bitget 自身钱包资产损失，而不是用户账户数据库中的余额被直接修改。
3.516 亿美元是怎么被转走的？
这是此次事件最值得关注的部分。
大型加密货币交易所遭到攻击以后，人们通常首先想到私钥泄露。
如果黑客拿到了热钱包私钥，就能够自行构造交易并进行签名，然后把资产发送到攻击者控制的地址。
但 Bitget CEO Gracy Chen 在 9 月 25 日后续公开说明中表示，目前初步调查已经排除冷钱包、热钱包和温钱包私钥直接泄露。
安全团队目前定位到的攻击方向，是钱包服务的一个关键后台系统遭到入侵。
根据 Bitget 当前披露的信息，攻击者在控制相关系统以后伪造了转账信息，并利用这些信息调用 Bitget 原有的授权签名流程。
换句话说，真正执行数字签名的密钥可能始终没有离开原来的安全环境，但签名系统接收到的“交易指令”已经被攻击者控制。
最终出现了一个非常危险的结果：
密钥没有被偷，合法的密钥却为攻击者准备的交易完成了签名。
这类攻击对大型交易所尤其值得警惕，因为现代数字资产托管系统早已不只是“服务器里保存一个私钥”。
真实环境通常还包含钱包管理服务、提现系统、风控系统、交易构造模块、审批服务、签名服务、HSM 或 MPC、多签机制、数据库、API 和大量内部权限。
私钥只是整个资产控制链条中的最后一道关键凭据。
如果攻击者无法拿到密钥，却能够控制“什么内容可以送到密钥面前签名”，最终仍然可能实现资产转移。
私钥安全并不代表整个钱包系统安全
这次事件带来的一个重要启示，是数字资产安全不能只围绕“私钥有没有泄露”展开。
硬件安全模块、MPC、多签和冷钱包的确可以显著提高直接窃取密钥的难度，但签名之前仍然存在一条很长的业务链路。
交易首先需要被创建，随后经过风控、权限检查、审批和签名策略，最终才会进入签名环境。
如果攻击者能够修改其中某个关键环节，让签名系统把恶意交易误认为合法交易，那么即使签名密钥始终安全保存，最终生成的区块链签名依然是真实有效的。
区块链节点并不知道一笔交易在企业内部经历了什么。
对于区块链来说，只要数字签名有效、Nonce 等条件正确，这就是一笔合法交易。
因此，现代数字资产托管系统需要保护的不仅是密钥本身，还包括交易从产生到最终签名的完整性。
这也是为什么交易所安全越来越依赖权限隔离、交易白名单、HSM、MPC、独立审批、异常额度限制、签名策略和实时链上监控共同组成的防御体系。
这和 2025 年 Bybit 被盗有什么相似之处？
Bitget 此次事件很容易让人想到 2025 年发生的 Bybit 15 亿美元级盗币事件。
两起事件目前已知的具体技术路径并不相同，因此不能直接认为使用了同一种漏洞，但它们具有一个非常值得关注的共同特征：
攻击者开始寻找“签名之前”的系统。
Bybit 当年的攻击并不是简单暴力破解一个以太坊私钥，而是攻击了 Safe 相关基础设施，让签名人在看到正常交易界面的情况下签署了经过恶意修改的交易。
Bitget 此次公布的初步调查则指向钱包服务关键后台系统，攻击者被认为利用受入侵的系统伪造转账信息，再调用正常授权签名流程。
两起事件都说明，对于大型数字资产机构来说，攻击私钥本身未必是效率最高的路径。
如果私钥被 HSM、MPC、多签或者冷存储严密保护，那么攻击者自然会把注意力转移到交易构造、审批界面、后台服务、开发环境、运维权限和供应链。
安全系统中最坚固的组件，并不能自动补偿其他组件的失守。
为什么热钱包始终是交易所攻击的重点？
Bitget 此次确认冷钱包没有受到影响，损失主要发生在热钱包和温钱包体系。
这与三种钱包本身的使用方式有关。
热钱包需要持续连接在线业务系统，以处理用户充值、提现以及交易所日常资金调度，因此必须具备一定程度的自动化能力。
自动化带来了效率，也扩大了攻击面。
冷钱包则尽量让私钥和签名环境与互联网隔离，大额资产不会直接暴露给日常在线业务系统。
温钱包介于两者之间，通常用于在安全性和资金调度效率之间取得平衡。
Bitget 此次事件实际上再次体现了这种分层架构的意义。
如果所有平台资产都集中在同一套在线钱包体系中，一次后台系统失守可能影响更大的资金规模；通过热、温、冷分层，可以把在线业务系统能够直接影响的资产控制在一定范围。
但此次 3.516 亿美元的损失同样说明，对于大型交易所来说，即使只是“部分热钱包和温钱包”，绝对金额仍然可能非常巨大。
黑客为什么会迅速兑换被盗资产？
链上分析人员在官方公告之前就已经发现 Bitget 标签地址出现大规模异常转账。
攻击者收到 USDT、USDC 等资产以后，部分资金很快开始被兑换成 ETH 等原生加密资产。
这里涉及一个重要的链上追踪问题。
USDT、USDC 等中心化稳定币通常存在发行方冻结相关地址资产的技术能力。一旦攻击事件被确认，交易所、安全机构和执法机构可以迅速联系相关项目方，对攻击地址进行标记甚至采取冻结措施。
ETH 等原生区块链资产不存在一个能够直接冻结所有地址余额的中心化发行方。
因此，大型盗币事件发生以后，攻击者往往会争取时间快速进行资产转换、拆分、跨链和地址迁移，以增加后续冻结和追踪的难度。
Bitget 已经表示正在与相关区块链基金会、链上安全公司和执法机构合作，部分项目方已经确认冻结相关黑客地址。
不过，链上资金被标记和追踪并不等于一定能够追回。
资产进入不同链、DEX、跨链桥以及大量新地址以后，后续追踪和处置会迅速变得复杂。
朝鲜黑客参与了吗？
目前可以说“存在高度怀疑”，但还不能把最终归因写死。
Bitget 在事件发生后的调查中表示，根据 IP 行为特征和链上分析，此次攻击方式与已知朝鲜黑客组织的活动模式高度相似。
Gracy Chen 在公开交流中还提到，安全团队发现部分 IP 与已知朝鲜黑客组织使用 VPN 的选择存在相似性。
Bitget 已经把相关信息提交给有关机构并配合进一步调查。
但 IP、VPN 节点、攻击工具和链上行为都属于归因证据的一部分，而不是单独能够完成攻击者身份确认的决定性证据。
攻击者同样可以使用 VPN、代理、被入侵服务器或者其他人的设备隐藏真实网络来源，成熟攻击组织也可能模仿其他组织的攻击方式。
因此，在更加完整的取证报告公布以前，更准确的说法仍然是：
Bitget 当前初步调查怀疑此次攻击可能与朝鲜背景黑客活动有关，最终攻击者身份仍待进一步确认。
“黑客用了 VPN”是否意味着 VPN 是安全问题？
这次事件还出现了一个很容易被误解的信息：调查人员提到了攻击者使用的 VPN。
VPN 本身并不是攻击工具。
VPN 的基础作用是加密设备到 VPN 节点之间的网络连接，同时把网站看到的公网 IP 更换为 VPN 节点的 IP。
普通用户可以利用 VPN 保护公共 Wi-Fi 环境中的网络通信，企业可以通过 VPN 建立远程访问环境，记者和跨境工作人员也会利用 VPN 保护网络隐私。
攻击者同样可以使用 VPN 隐藏自己的原始公网 IP。
这和攻击者使用浏览器、Linux、云服务器或者加密通信工具没有本质区别。
安全工具本身是中性的，关键在于使用方式。
而且 VPN 并不能真正让一个成熟攻击者获得绝对匿名能力。
执法机构和安全团队进行攻击归因时，还会结合服务器日志、账号信息、基础设施复用、域名、恶意软件代码、攻击时间、钱包资金流向以及长期 TTP 等大量证据进行关联分析。
Bitget 此次能够通过 IP 和 VPN 使用模式寻找攻击者线索，本身也说明仅仅更换公网 IP 并不能抹去完整的攻击轨迹。
普通 Bitget 用户现在需要做什么？
从 Bitget 当前官方公告来看，用户账户余额仍然准确，冷钱包没有受到影响，平台表示此次损失由用户保护基金承担，因此没有证据表明普通用户需要因为此次事件立即更换自己的个人钱包私钥。
这和 FomoPeek 一类终端恶意软件事件存在很大差异。
FomoPeek 涉及用户设备和私钥可能直接泄露，因此受影响用户需要考虑迁移钱包；Bitget 当前披露的攻击目标则是交易所自己的钱包基础设施。
对于普通用户，现在更需要防范的是事件发生以后出现的二次诈骗。
大型交易所安全事件发生以后，钓鱼邮件、假客服、虚假退款网站和冒充官方的社交媒体账号通常会迅速出现。
攻击者可能利用“Bitget 提现恢复”“账户需要安全验证”“保护基金赔付”“资产迁移”等理由诱导用户点击链接、连接钱包、输入密码或者提交助记词。
Bitget 已经表示会通过官方渠道公布提现恢复和调查进展。
因此，不要因为收到所谓“紧急资产验证”消息就提交密码、验证码、私钥或助记词，更不要安装陌生程序或者导入钱包。
真正的交易所客服不需要用户提供钱包助记词才能处理平台账户问题。
VPN 在加密货币安全中能保护什么？
Bitget 事件也适合再次说明 VPN 的安全边界。
365VPN 可以加密设备到 VPN 节点之间的网络通信，隐藏用户原始公网 IP，并通过 DNS 防泄露和 Kill Switch 等机制减少网络连接异常时的信息暴露。
对于经常在机场、酒店、咖啡店或者其他公共网络环境中访问交易平台的用户，这属于网络安全体系中的一层保护。
但 VPN 无法阻止 Bitget 这类服务器端基础设施攻击。
如果交易所自己的钱包后台、签名服务或者内部权限体系已经被攻击者控制，用户电脑上的 VPN 无法修复交易所服务器。
同样，如果用户自己安装了恶意钱包、泄露助记词、在钓鱼网站输入密码或者授权了恶意智能合约，VPN 也不能替用户撤销这些操作。
因此，我们一直认为 VPN 应该被放在完整的数字资产安全体系中使用，而不是被理解成万能安全软件。
Kill Switch 在金融和交易场景中的意义
虽然 Kill Switch 无法防止交易所服务器遭到攻击，但对于用户自己的网络环境，它仍然具有明确作用。
用户连接 VPN 访问交易所时，如果 VPN 因 Wi-Fi 切换、节点异常或者设备休眠突然断开，操作系统可能立即恢复原始网络连接。
此时公网 IP 和网络路径都会发生变化。
开启 365VPN Kill Switch 后，当 VPN 无法维持预期连接时，可以限制受保护流量直接通过原始网络发送，等待 VPN 恢复后再继续通信。
对于需要保持稳定网络环境的金融服务用户，这可以减少网络出口突然变化。
但需要特别说明，Kill Switch 不会改变交易所的 KYC 身份、账户地区和付款信息，也不会保证交易所账号不会触发风控。
网络稳定与账户资格属于不同问题。
真正值得普通用户建立的是分层安全
Bitget 事件说明，大型交易所需要热钱包、冷钱包、后台权限、签名系统和实时风控组成多层防御；个人用户实际上也需要类似思路，只是规模小得多。
日常交易资金可以保留在可信交易平台或日常钱包中，而长期不需要交易的大额资产可以考虑降低在线暴露程度；交易所账户应启用可靠的多因素认证，邮箱本身也需要独立保护；涉及钱包的助记词和私钥不应该截图上传云端，更不应该发送到聊天软件。
操作系统、浏览器和钱包软件需要保持更新，VPN负责保护不可信网络中的通信路径，而密码管理器、Passkey 或硬件安全密钥负责进一步降低凭据被盗风险。
对于长期持有的大额链上资产，还需要根据自身情况考虑硬件钱包以及经过验证的离线备份方案。
这里没有任何一个安全产品能够单独解决全部问题。
真正有效的是让攻击者即使突破其中一层，也无法立即取得所有资产控制权。
写在最后
Bitget 这次约 3.516 亿美元的安全事件，目前最值得关注的并不是单纯的损失金额，而是初步披露出来的攻击方式。
如果后续完整事故报告继续确认私钥没有泄露，而攻击者确实通过控制钱包后台系统伪造交易并调用正常签名流程，那么这将再次说明现代数字资产攻击正在从“偷走密钥”向“控制密钥所信任的系统”扩展。
密钥可以保存在安全硬件中，签名算法本身也可以没有任何漏洞，但如果提交给签名系统的交易已经被攻击者修改，最终仍然可能产生一笔密码学上完全合法的恶意交易。
Bitget 已经表示将发布包含根本原因和整改措施的完整事件报告，在正式报告公布以前，具体入侵入口、攻击者如何取得后台权限以及最终攻击归因仍不应该提前下结论。
对于普通用户，这起事件也再次说明了一个基本原则：
交易所负责保护平台基础设施，钱包负责保护私钥，VPN负责保护网络连接，而用户还需要保护自己的账号、设备和授权行为。数字资产安全从来不是依靠某一个工具，而是尽可能避免任何一次单点失守直接演变成全部资产损失。