Lebih dari $350 juta aset kripto telah dikuras dari wallet milik exchange kripto Bitget dalam peretasan yang telah dikonfirmasi, menurut CEO Gracy Chen.

Chen mengatakan cold wallet perusahaan, yakni wallet yang disimpan secara offline, tetap "sepenuhnya aman," dan bahwa hanya hot wallet exchange, yakni wallet yang terhubung untuk aktivitas trading harian, yang terdampak oleh eksploitasi tersebut.

"Dana pengguna aman. Seluruh nilai kerugian ini berada dalam cakupan User Protection Fund Bitget, yang saat ini menampung lebih dari $464 juta," tulis Chen di X.

Para investigator on-chain, termasuk Bubblemaps dan analis Arkham, awalnya menandai aktivitas tidak biasa itu pada Kamis malam sebagai indikasi bahwa Bitget, salah satu platform perdagangan terpusat yang lebih besar di dunia, "berpotensi diretas." Dalam waktu sekitar satu jam, sekitar $183 juta aset keluar dari wallet yang diberi label sebagai milik exchange tersebut dan masuk ke alamat yang baru dibuat.

Tanda pertama datang dari sebuah hot wallet—cadangan yang terhubung ke internet yang digunakan exchange untuk memproses penarikan harian dengan cepat, berbeda dengan cold wallet yang disimpan offline demi keamanan. Sebuah alamat baru, yang diawali dengan “0xe410,” mengambil USDT0 senilai $19,67 juta—versi cross-chain dari stablecoin Tether yang dipatok ke dolar—dan menukarnya dengan 7.111 ETH hanya dalam enam menit. Berbeda dengan USDT, ETH bersifat terdesentralisasi dan sulit disita.

Berdasarkan laporan, pembelian tersebut dilakukan melalui UniswapX dan 1inch Fusion, layanan yang memungkinkan trader menukar token langsung di blockchain tanpa melalui perantara. Siapa pun yang menempatkan order tersebut membayar sekitar 5% di atas harga pasar saat itu, jenis premium yang biasanya muncul ketika kecepatan lebih penting daripada mendapatkan harga bagus. Ini adalah sinyal klasik dari peretas yang berusaha bergerak cepat.

Transfer lainnya kemudian menyusul.

Wallet tambahan yang ditandai sebagai milik Bitget mengirim ETH, AVAX, BNB, USDC, USDT, dan XAUT—token yang didukung emas fisik—ke alamat yang sama, menurut peneliti on-chain pseudonim DCF GOD, yang pertama kali menandai aktivitas tersebut di X.

Arus keluar dari wallet exchange yang dilabeli secara publik tampak berhenti sekitar enam menit setelah transaksi mencurigakan pertama dan tetap sepi setidaknya selama 20 menit setelahnya, pola yang konsisten dengan exchange yang membekukan penarikan sembari melakukan investigasi.

Perwakilan Bitget tidak segera menanggapi permintaan komentar dari Decrypt.

Saat Anda menyetor uang di exchange seperti Bitget, Anda mempercayakan perusahaan itu untuk menjaganya di wallet yang mereka kendalikan, tidak jauh berbeda dengan menyerahkan uang tunai kepada teller bank. Bedanya, tidak ada asuransi simpanan pemerintah yang siap menanggung kerugian pelanggan jika brankas itu dibobol, dan itulah tepatnya mengapa "not your keys, not your coins" menjadi mantra kripto sejak awal.

Ini bukan pertama kalinya kepercayaan itu diuji. Pada 2023, Bitget mempromosikan dana perlindungan sebesar $300 juta yang dibangun khusus untuk menanggung peretasan, pencurian, dan kerugian serupa. Dana perlindungan itu tampaknya sejak saat itu bertumbuh, dengan CEO perusahaan hari ini mengonfirmasi bahwa nilainya kini melebihi $464 juta dan akan menutupi kerugian pelanggan.

Exchange ini punya banyak teman senasib. Exchange rival Bybit kehilangan $1,4 miliar pada Februari 2025 setelah penyerang memalsukan layar penandatanganan untuk membajak transfer cold wallet rutin, pencurian kripto terbesar yang pernah tercatat. Di seluruh industri tahun lalu, peretas mencuri total gabungan sebesar $2,72 miliar dari exchange dan protokol.

Catatan editor: Artikel ini diperbarui setelah publikasi untuk menambahkan komentar dari CEO Bitget Gracy Chen yang mengonfirmasi peretasan tersebut.