Bitget 被黑 3.5 亿美元：交易所喊「用户资金安全」，9 月已成 2026 最贵黑客月

八周年庆典还在进行，庆祝的方式是被黑客抽走 3.5 亿美元——Bitget 这周给全行业上了一课：交易所的「资产安全」四个字，永远只差一次 18:31。

三个关键信息

9 月 24 日 18:31 UTC，Bitget 检测到热钱包和温钱包遭未授权转账，15 笔交易横跨 7 种资产抽走近 1.92 亿美元（以太坊占 44.4%），受影响资产总额确认约 3.516 亿美元。 交易所几分钟内启动应急程序，冷钱包和平台大部分资产未受影响，随后暂停全部提现，充值和交易照常。CEO Gracy Chen 承诺 24 小时内发布含根因分析的完整报告，并每小时更新进展。

兜底的说法很硬：Chen 表示全部损失都在 Bitget 用户保护基金的覆盖范围内——该基金目前持有超过 4.64 亿美元，用户账面余额分文未动。 但攻击手法至今未披露，官方口径是「调查期间不猜测攻击向量」，已标记涉案地址并通知执法机构和链上安全公司。

这笔损失把 9 月钉成了 2026 年最贵的黑客月：此前 DeFiLlama 记录的 9 月损失已超 3.42 亿美元（大头是 Liquid Network 侧链约 3.2 亿的案子），加上 Bitget 的 3.516 亿，9 月总损失冲过 6.84 亿美元，超过 4 月的 6.469 亿（Drift + KelpDAO 占 5.77 亿）。

王斗视角

「用户资金安全」这句话，每个交易所被盗后都会说，区别只在于说完之后拿什么证明。Bitget 这次至少把证明摆在了台面上：4.64 亿的保护基金对着 3.516 亿的窟窿，覆盖率 132%——这是它敢在几小时内冻结提现、慢悠悠做安全审查的底气。对比那些基金见底、靠「分期赔付」拖字诀的同行，准备金的厚度才是交易所真正的产品。

但别被「没伤到用户」带偏了节奏。热钱包+温钱包被一次性摸走 15 笔转账，说明攻击者不是路过捡漏，是拿到了钥匙在里面从容搬运——几分钟的应急响应再快，也快不过一个有备而来的内鬼或私钥泄露。根因报告出来之前，所有「安全」叙事都只是缓刑。

更值得记住的是月度账本：9 月 6.84 亿美元，一个月偷掉半个独角兽。链上安全的残酷之处就在这——防御方要守住每一扇门，攻击方只需要找到一扇。交易所军备竞赛打了十年，保护基金越堆越高，可黑客的月度 KPI 还在创新高。钱能赔，信任赔不了第二次：这次是基金兜住了，下次基金兜不住的那天，才是真正写进历史的日期。

来源：CryptoSlate · CoinDesk · Forbes