Sau khi phục hồi việc rút tiền, vốn không giảm mà còn tăng lên, Bitget làm thế nào để đảo ngược tình thế trong năm ngày?

• tác giả: WhiteRunner *

Trong vài năm qua, các sàn giao dịch đã gặp phải các sự cố an ninh lớn không phải là hiếm, và các điểm tấn công đã dần mở rộng từ ví nóng, hệ thống chữ ký đến quyền truy cập nội bộ và dịch vụ bên thứ ba. Khi hệ thống ngày càng phức tạp, ranh giới mà các sàn giao dịch cần bảo vệ cũng ngày càng lớn.

Vào ngày 25 tháng 9, Bitget đã gặp phải sự cố an ninh, cuối cùng xác nhận khoảng 388 triệu đô la tài sản bị ảnh hưởng. Giám đốc điều hành Gracy Chen sau đó đã cho biết trong một buổi phát trực tiếp rằng đây là lần đầu tiên trong tám năm hoạt động của nền tảng xảy ra sự cố an ninh như vậy. Theo kết quả điều tra được công bố bởi SlowMist, hoạt động độc hại được phát hiện sớm nhất liên quan đến một lỗ hổng zero-day trên một nút của sản phẩm an ninh bên thứ ba. Cả Mandiant và SlowMist đều chỉ ra rằng con đường tấn công hướng đến cơ sở hạ tầng an ninh bên thứ ba bị xâm nhập và cuối cùng đã vào môi trường ví của Bitget.

Sau sự cố, Bitget đã thông báo rằng quỹ bảo vệ người dùng sẽ chịu trách nhiệm cho các tổn thất. Tại thời điểm xảy ra sự cố, quỹ được thành lập vào năm 2022 đã nắm giữ 5,500 BTC, trị giá hơn 464 triệu đô la. Gracy cam kết rằng quỹ bảo vệ sẽ được bổ sung trở lại 300 triệu đô la trong vòng một tuần sau khi sử dụng, khôi phục về quy mô chuẩn đã xác định khi thành lập vào năm 2022. Vào ngày 30 tháng 9, cam kết này đã được thực hiện đúng hạn.

Việc rút tiền cũng bắt đầu được khôi phục theo thời gian biểu đã công bố trước đó. Vào lúc 16:00 ngày 28 tháng 9, BTC đã mở rút tiền đầu tiên, sau đó vào ngày 29, ETH khôi phục rút tiền, các ví nóng liên quan đã nhanh chóng chuyển từ dòng tiền ròng ra thành dòng tiền ròng vào, và số dư thậm chí đã vượt qua mức ban đầu trước khi mở rút tiền, niềm tin của người dùng đang trở lại. Tính đến thời điểm phát hành, tất cả các loại tiền đều đã khôi phục rút tiền.

Từ gần 400 triệu đô la bị đánh cắp, đến việc rút tiền khôi phục và vốn quay trở lại, chỉ mất vài ngày. Tin tặc đã chuyển tài sản như thế nào mà không để lộ khóa riêng? Một quỹ bảo vệ đã chuẩn bị bốn năm thực sự đã phát huy tác dụng như thế nào? Bitget đã làm gì để sự kiện bắt đầu có sự chuyển biến?

Một, tin tặc lợi dụng lỗ hổng zero-day tấn công sản phẩm an ninh bên thứ ba

Điểm đặc biệt của cuộc tấn công này là khóa riêng của Bitget không bị lộ, ví lạnh cũng không bị xâm nhập, và cũng không phải là lỗ hổng hợp đồng thông minh. Điểm đột phá mà tin tặc tìm thấy lại là một sản phẩm an ninh bên thứ ba mà nền tảng đang sử dụng.

Theo kết quả điều tra hiện tại của Bitget, vào khoảng 02:31 theo giờ Bắc Kinh ngày 25 tháng 9, trên chuỗi đã xuất hiện các giao dịch nhỏ liên quan được xác nhận sớm nhất, sau đó bắt đầu xuất hiện các chuyển giao tài sản quy mô lớn hơn.

Gracy cho biết trong cuộc phỏng vấn với The Block rằng từ 02:58 đến 04:09, kẻ tấn công đã thực hiện 17 giao dịch lớn qua nhiều mạng như Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism và Avalanche. Với các thống kê bổ sung sau đó, Bitget cuối cùng xác nhận sự kiện này ảnh hưởng đến khoảng 388 triệu đô la tài sản.

Vào lúc 03:05, tức là khoảng 7 phút sau khi giao dịch lớn đầu tiên xảy ra, hệ thống đối chiếu của Bitget phát hiện sự khác biệt rõ rệt về tài chính và kích hoạt chặn rút tiền trên toàn nền tảng; vào lúc 03:14, nền tảng đã khởi động phản ứng khẩn cấp ở mức cao nhất. Do lúc đó vẫn không thể loại trừ khả năng lộ khóa riêng, nhóm ví sau đó đã chuyển tài sản sang ví lạnh và đóng dịch vụ rút tiền và ký tên.

Sau đó, nhóm an ninh đã xác nhận nguyên nhân gốc rễ của sự kiện. Theo chuỗi tấn công hiện được công bố, tin tặc đã lợi dụng một lỗ hổng zero-day chưa được biết đến trước đó của một sản phẩm an ninh bên thứ ba.

Lỗ hổng zero-day được định nghĩa là những thiếu sót an ninh mà nhà sản xuất và người sử dụng chưa nắm bắt được, và không có bản vá sẵn có để triển khai trước. Nói cách khác, đây là một điểm tấn công chưa được biết đến trước đó. Những gì xảy ra tiếp theo mới là chìa khóa để hiểu tổn thất gần 400 triệu đô la này.

Lợi dụng lỗ hổng này, kẻ tấn công đã đánh cắp chứng chỉ quyền truy cập nội bộ thông qua lỗ hổng của sản phẩm an ninh bên thứ ba, giả mạo lệnh rút tiền cho hệ thống ví, lừa dối ví thực hiện chuyển khoản bất thường mà không qua kiểm tra rủi ro. Toàn bộ quá trình không có sự rò rỉ khóa riêng, và ví lạnh cũng không bị ảnh hưởng.

Gracy sau đó cũng tiết lộ rằng, sau khi hoàn thành thao tác, kẻ tấn công đã xóa một số dấu vết liên quan, làm tăng độ khó trong việc điều tra và phục hồi quá trình tấn công.

Bitget sau đó đã ngừng sử dụng các chức năng bên thứ ba bị ảnh hưởng, và phát hành lại chứng chỉ nội bộ, thu hồi và phân tách lại quyền truy cập nhạy cảm cao, đồng thời tăng cường kiểm tra độc lập cho việc rút tiền. Mandiant và SlowMist hiện vẫn đang tham gia điều tra chứng cứ độc lập và theo dõi tài chính.

Sự kiện này đã để lại một cảnh báo trực tiếp cho ngành rằng, ranh giới an ninh của các sàn giao dịch không chỉ là khóa riêng và ví lạnh. Phần mềm an ninh, cơ sở hạ tầng ví và các dịch vụ bên thứ ba khác có thể tiếp cận hệ thống cốt lõi cũng có thể trở thành điểm tấn công.

Hai, quỹ bảo vệ bắt đầu được sử dụng, rút tiền khôi phục theo thời gian biểu

Sau sự cố, điều thực sự kiểm tra một sàn giao dịch là khi phải đối mặt với tổn thất, ai sẽ chịu trách nhiệm và ban quản lý sẽ đối mặt và an ủi người dùng như thế nào.

Bitget đã đầu tiên sử dụng quỹ bảo vệ.

Quỹ này được thành lập vào năm 2022 và lâu dài duy trì quy mô chuẩn là 300 triệu đô la. Tại thời điểm xảy ra sự cố, quỹ nắm giữ 5,500 BTC, trị giá hơn 464 triệu đô la, đủ để bù đắp cho số tiền tổn thất khoảng 388 triệu đô la đã được xác nhận.

Bitget sau đó đã rõ ràng tuyên bố rằng quỹ bảo vệ sẽ chịu trách nhiệm cho các ảnh hưởng tài chính do sự kiện này gây ra, số dư tài khoản của người dùng không bị ảnh hưởng.

Trước khi BTC khôi phục rút tiền vào ngày 28 tháng 9, trên chuỗi đã có thể thấy quỹ bảo vệ bắt đầu chuyển tài sản vào ví nóng. Nhà phân tích chuỗi Ai đã phát hiện rằng, ban đầu có 2,042.28 BTC được chuyển từ địa chỉ quỹ bảo vệ liên quan vào ví nóng của Bitget (giám sát chuỗi quỹ bảo vệ Bitget).

Đây là một trong những điểm mà Bitget xử lý đáng để ngành tham khảo.

Quỹ bảo vệ này không phải là một kế hoạch bồi thường được công bố tạm thời sau khi sự cố xảy ra, mà đã được thành lập từ bốn năm trước. Quỹ được dự trữ lâu dài, địa chỉ ví công khai có thể kiểm tra, đồng thời có quy mô chuẩn rõ ràng; thực sự xảy ra sự cố sau đó mới được sử dụng, và sau khi sử dụng sẽ bổ sung theo tiêu chuẩn ban đầu.

Quỹ bảo vệ đã giải quyết vấn đề ai sẽ chịu trách nhiệm cho tổn thất. Lần này, gần 400 triệu đô la tổn thất cuối cùng không được chuyển cho người dùng. Gracy cho biết, Bitget sẽ trong vòng một tuần bổ sung quỹ bảo vệ trở lại ít nhất 300 triệu đô la, từ tình hình giám sát trên chuỗi đã thực hiện đúng hạn.

Bitget cũng đã phát hành chứng minh dự trữ lần thứ 47 (PoR) vào ngày 30 tháng 9, tổng tỷ lệ dự trữ đạt 131%, bao phủ 19 loại tài sản. Trong đó, tỷ lệ dự trữ của BTC, ETH, USDT và USDC lần lượt là 142%, 110%, 107% và 154%.

Ngoài tài chính, cách giao tiếp của Bitget trong những ngày qua cũng đáng chú ý.

Gracy đã liên tục phản hồi trong khoảng ba giờ trong buổi phát trực tiếp hướng tới cộng đồng, và Tạ Gia Ấn cũng liên tục cập nhật tiến triển qua mạng xã hội và cộng đồng. Ba giờ phát trực tiếp không phải là điểm chính, điều quan trọng hơn là trong những ngày hỗn loạn nhất của sự cố, ban quản lý luôn đứng ở tuyến đầu để trả lời các vấn đề.

Hơn nữa, một số phát biểu quan trọng đều đưa ra thông tin rõ ràng hoặc kế hoạch tiếp theo.

Ai sẽ chịu trách nhiệm cho tổn thất, nhanh chóng được xác định là do quỹ bảo vệ chi trả; số tiền ảnh hưởng được điều chỉnh từ 351.6 triệu đô la lên 388 triệu đô la và giải thích lý do thay đổi con số; trước khi xác nhận điểm tấn công, không vội vàng đưa ra kết luận về danh tính và phương thức tấn công của kẻ tấn công; sau khi điều tra đạt được tiến triển, lần lượt công bố các chi tiết về sản phẩm an ninh bên thứ ba, lỗ hổng zero-day, chứng chỉ quyền truy cập cao và lệnh rút tiền giả mạo.

Việc khôi phục rút tiền cũng tương tự.

Sự kiện này liên quan đến nhiều loại tiền và nhiều mạng, phạm vi kiểm tra không chỉ giới hạn ở một ví. Bitget không khôi phục tất cả rút tiền một lần, mà mở từng phần sau khi xác nhận ví, mạng và loại bỏ rủi ro liên quan.

Vào ngày 26 tháng 9, nền tảng đã công bố thời gian khôi phục cụ thể: khôi phục BTC vào ngày 28 tháng 9, khôi phục ETH và mạng liên quan vào ngày 29 tháng 9, khôi phục USDT và mạng liên quan vào ngày 30 tháng 9, các mã thông báo khác, tiền pháp định và dịch vụ C2C sẽ được khôi phục vào ngày 2 tháng 10. Trước khi phát hành, đã xác thực tất cả đều khôi phục đúng hạn.

Xét rằng đây là một sự cố an ninh lớn liên quan đến nhiều loại tiền, nhiều mạng, phần mềm bên thứ ba và quyền truy cập nội bộ, việc đưa ra kế hoạch khôi phục cụ thể theo ngày và giờ, sau đó thực hiện từng bước là điều đáng ghi nhận.

Quỹ bảo vệ đã chuẩn bị bốn năm trước, thực sự xảy ra sự cố mới sử dụng; ban quản lý liên tục đối mặt với cộng đồng; thông tin xác định được công bố kịp thời, thông tin không xác định không vội vàng đưa ra kết luận; kế hoạch khôi phục đưa ra thời gian rõ ràng, sau đó thực hiện theo thời gian.

Một loạt hành động gọn gàng này đã khiến nhiều người nhìn nhận Bitget một cách tích cực hơn.

Ba, điểm chuyển biến của sự kiện đã xuất hiện, vốn quay trở lại dòng tiền ròng

Sau khi ETH khôi phục rút tiền vào ngày 29 tháng 9, trên chuỗi nhanh chóng xuất hiện một sự thay đổi đáng chú ý.

Theo nhà phân tích chuỗi Ai, Bitget đã chuẩn bị các ví nóng liên quan để đối phó với việc rút tiền ETH, trong vòng nửa giờ sau khi mở rút tiền, số dư đã trở lại trên 30,000 ETH, vượt qua giá trị ban đầu.

Dữ liệu mà Bitget công bố sau đó cho thấy, trong giờ đầu tiên sau khi khôi phục rút tiền, ETH đã vào khoảng 9,674 đồng, ra khoảng 9,023 đồng, dòng tiền ròng vào khoảng 651 ETH. Dữ liệu vào ngày 30 tháng 9 cho thấy, số tiền vào nền tảng trong 24 giờ đạt 231 triệu đô la, gần với số tiền vào trung bình hàng ngày 245 triệu đô la trong tháng 8 năm nay, không xuất hiện dòng tiền ra một chiều mà thị trường trước đó lo ngại, mà ngược lại có thể thấy niềm tin của thị trường đang phục hồi.

Trong khi đó, để tri ân niềm tin của người dùng, Bitget cũng bắt đầu triển khai nhiều hoạt động khuyến khích.

ETH PoolX cung cấp quỹ thưởng 500.000 USDT, người dùng khóa ETH có thể tham gia phân phối, trang dự kiến APR trong giai đoạn đầu đạt khoảng 37,11%, sau đó giảm dần khi số vốn tham gia tăng lên.

BTC PoolX sau đó được ra mắt, cung cấp quỹ thưởng 100.000 BGB, và dựa trên số BTC nắm giữ của người dùng trong 15 ngày trước đó để cung cấp thêm phần thưởng.

Về mặt stablecoin, Bitget cũng ra mắt các hoạt động tài chính linh hoạt với USDT và USDGO, hỗ trợ gửi và rút tiền bất cứ lúc nào, APR giới hạn lần lượt đạt 10% và 12%. "Chương trình đồng hành" sẽ đưa 30% doanh thu phí giao dịch đủ điều kiện trong thời gian hoạt động vào quỹ thưởng của người dùng, trong đó 60% được phân phối theo khối lượng giao dịch, 40% theo số tài sản. Vào ngày 2 tháng 10, dữ liệu chính thức từ Bitget cho thấy đợt thưởng đầu tiên đã được phát hành, tổng cộng đã phát 1.907.455 USDT cho 763.543 người dùng.

Ý định của những hoạt động này không khó để hiểu. Việc khôi phục rút tiền giải quyết vấn đề "người dùng có thể rời đi hay không", sau đó là một loạt hoạt động nhằm khởi động lại giao dịch, tài chính và vốn.

Rất nhanh, nhiều người dùng đã bỏ phiếu bằng vốn, thể hiện sự tin tưởng vào Bitget và sự nhiệt tình đối với các hoạt động.

Vài ngày trước, điều mà thị trường quan tâm nhất vẫn là "khi nào có thể rút tiền"; với việc khôi phục rút tiền, câu hỏi bắt đầu chuyển thành "tham gia hoạt động nào để thu được APR cao hơn".

Đây là dấu hiệu cho thấy sự chuyển biến của sự kiện.

Đối với sàn giao dịch, bằng chứng trực tiếp nhất về việc khôi phục niềm tin của người dùng chính là khi họ vẫn sẵn lòng giữ tiền lại khi có thể tự do ra vào.

IV. Một sự cố an toàn, để lại điều gì cho ngành sàn giao dịch

Sau sự kiện này, Bitget gần như nhận được sự ủng hộ từ "một nửa ngành công nghiệp".

Điều đáng nói nhất trong số này là Bybit.

Vào tháng 2 năm 2025, Bybit đã gặp phải một sự cố an toàn trị giá khoảng 1,4 tỷ USD. Khoảng 5 giờ sau khi cuộc tấn công xảy ra, Bitget đã cung cấp 40.000 ETH cho Bybit, lúc đó có giá trị hơn 100 triệu USD. 40.000 ETH này không có lãi suất, không cần thế chấp, cũng không có thời hạn hoàn trả cố định. Bybit sau đó đã hoàn trả toàn bộ trong vòng ba ngày.

Hơn một năm sau, vị trí của hai bên đã thay đổi. Sau khi Bitget gặp sự cố, CEO Bybit Ben Zhou nhanh chóng công khai bày tỏ sẵn sàng hỗ trợ, và đặc biệt nhấn mạnh: "Khi chúng tôi gặp cuộc tấn công của hacker, Bitget đã từng giúp đỡ chúng tôi." Sau đó, Bybit đã đưa các khoản tiền bị đánh cắp vào hệ thống LazarusBounty để theo dõi.

Không chỉ Bybit đứng ra. CZ đã công khai ủng hộ sau khi sự kiện xảy ra, đội ngũ an ninh của Binance sau đó đã hợp tác với Bitget, bao gồm chia sẻ thông tin về mối đe dọa, theo dõi các khoản tiền bị đánh cắp và hỗ trợ thu hồi tài sản; CEO MEXC Vugar Usi cũng đã chủ động liên hệ với Bitget để bày tỏ sự ủng hộ. Ngoài sàn giao dịch, Mandiant, SlowMist tham gia điều tra và thu thập chứng cứ, Circle, Tether tham gia đóng băng tài sản liên quan.

Khi thấy những tin tức này, tôi thực sự cảm thấy phấn khích.

Ngành công nghiệp tiền điện tử chưa bao giờ thiếu cạnh tranh. Các sàn giao dịch tranh giành người dùng, tranh giành tính thanh khoản, tranh giành thị phần, nhưng khi thực sự gặp phải cuộc khủng hoảng an toàn trị giá hàng trăm triệu USD, các đồng nghiệp lại đoàn kết lại để hỗ trợ nhau.

Và Bitget, như một nền tảng trong ngành, có thực sự giành được niềm tin và sự tôn trọng hay không, sẽ được thể hiện rõ ràng trong thời điểm khủng hoảng.

Nhưng nếu sự việc chỉ dừng lại ở "khó khăn mới thấy chân tình", thì đã đánh giá thấp ý nghĩa của nó.

Ngành công nghiệp tiền điện tử không có một cơ quan thống nhất nào để bảo vệ, nhưng quỹ bảo vệ, sự hợp tác giữa các đồng nghiệp, các cơ quan an ninh và theo dõi trên chuỗi đang hình thành một mạng lưới xử lý rủi ro riêng. Đồng thời, từ ví nóng, hệ thống ký kết đến phần mềm bên thứ ba và quyền hạn nội bộ, ranh giới mà các sàn giao dịch cần phòng thủ cũng ngày càng lớn: các cuộc tấn công ngày càng phức tạp, ngành cần hợp tác để đối phó.

Việc thiết lập quỹ bảo vệ, duy trì công khai minh bạch và tuân thủ cam kết sau sự cố, cũng như hợp tác trong ngành, hiện đã trở thành mô hình xuất sắc để đối phó với khủng hoảng, Bitget hiện đã thể hiện một cách nghiêm túc.

Trong hai năm qua, ngành công nghiệp tiền điện tử luôn bàn về Mass Adoption. ETF, stablecoin, RWA và chứng khoán token hóa đã đưa nhiều vốn tài chính truyền thống vào. Khung quy định của Mỹ cũng đang dần được thiết lập. Đến bước này, ngành cần chứng minh không chỉ là đổi mới và tăng trưởng, mà còn là khả năng xử lý rủi ro.

Bitget lần này đã sử dụng 400 triệu USD để kiểm tra trách nhiệm của một nền tảng trước khủng hoảng. Khủng hoảng sẽ không kết thúc một nền tảng, nhưng trách nhiệm có thể định nghĩa lại một nền tảng.

Đối với ngành công nghiệp tiền điện tử đang tiến tới tài chính chính thống, đây cũng là một kỳ thi mà họ phải trải qua. Không có bất kỳ hệ thống tài chính nào có thể được xây dựng trên giả thuyết "không bao giờ xảy ra sự cố". Khi thực sự xảy ra sự cố, có thể bồi thường, giải thích rõ ràng, khôi phục được hay không, chính là thử thách về trách nhiệm và giới hạn.

Cách mà thế giới tài chính cuối cùng nhìn nhận ngành công nghiệp tiền điện tử có thể phụ thuộc vào cách mà nó ứng phó đúng đắn với những ngày tồi tệ.