文章总结： Bitget交易所遭3.516亿美元加密资产被盗，疑似朝鲜Lazarus组织所为。黑客未窃取私钥，而是攻破后台系统伪造转账指令。冷钱包安全，用户保护基金可全额覆盖损失。事件暴露业务后台权限与私钥同等重要，建议用户分散存储资产、开启二次验证，平台需加强后台权限隔离与审计。 综合评分： 75 文章分类： 威胁情报,安全运营,漏洞预警

3.516亿美元瞬间被盗！疑似Lazarus作案，黑客未窃取私钥，攻破后台直接伪造转账指令

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年10月5日 11:59 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

导语

一夜之间，超3.5亿美元加密资产从交易所热钱包流出。2026‑09‑24，加密交易平台Bitget遭遇重大安全入侵事件，黑客并未盗取钱包私钥，而是直接入侵内部钱包管理后端系统，伪造转账审批指令完成大额资产转出，平台紧急暂停提现服务。

平台CEO公开表态高度怀疑朝鲜Lazarus（拉撒路）APT组织所为，该团伙此前制造Bybit 14亿美元惊天盗窃案。值得注意：冷钱包完全没有遭到破坏，4.64亿规模的用户保护基金可以全额覆盖本次损失，用户账户余额数据保持完整。但截止事发初期，还未对外公开完整的技术入侵证据，调查仍在持续推进。

一、事件完整时间线

UTC时间9月24日 18:31

Bitget安全告警系统捕捉到多笔热钱包异常未授权转账行为，立刻启动应急响应预案。

✅ 充值、币币交易业务保持正常运行；

⚠️ 紧急暂停全部提现功能，防止黑客继续利用通道转移资产；

标记全部被盗接收链上地址，同步上报执法机构、区块链安全公司开展链上追踪分析。

9月25日，CEO公开直播通报事件

1. 确认损失规模约3.516亿美元，受影响的是热钱包与部分温钱包；冷钱包完全安全，用户私钥没有被窃取；

2. 攻击是服务器后端系统被突破，黑客直接调用平台内部转账流程，并非伪造普通用户提现请求；

3. 回应外界关于“内部人员作案”传闻：内部作案可能性很低，但调查层面不会完全排除该假设；

4. 披露怀疑攻击者为Lazarus集团，同时坦诚：当时暂未对外发布完整技术证据；

5. 平台拥有4.64亿美元用户保护基金，可全额覆盖本次被盗金额，承诺尽快输出完整事故调查报告。

补充背景：CEO个人钱包曾经遭遇该组织相关攻击，损失约8万美元，但该经历不能直接作为本次事件的技术判定依据。

二、关键疑点：没有偷私钥，黑客怎么转走巨额资金？

这是本次事件最反直觉的一点：黑客没有拿到钱包签名私钥，冷钱包毫发无损。

攻击逻辑推测：

攻击者攻陷交易所钱包管理后台，获取高权限，直接在系统内部构造合法转账任务，调用平台原有签名流程完成资产转出。不需要拿到底层私钥文件，直接滥用业务系统权限完成盗币。

简单理解：相当于劫匪没有撬开保险柜，而是骗取了大楼内部业务审批权限，走公司正规财务流程把钱转出去。

受影响范围：仅部分热钱包、温钱包；离线隔离冷钱包完全未被触碰；

用户层面：账户余额记录没有被篡改，普通用户账号密码没有泄露。

三、攻击者背景：臭名昭著的Lazarus集团

Lazarus是朝鲜国家级背景黑客组织，长期以窃取加密货币作为重要资金来源，受国际制裁影响，加密资产是其重要的获取资金途径。

历史重大案件：

1. 2025年 Bybit交易所攻击，被盗约14亿美元加密资产；

2. 多次针对Web3项目、DAO协议、海外交易所发动供应链、社工钓鱼攻击；

3. 旗下多个子集群：PolinRider、Jade Sleet（UNC4899）大量使用虚假面试、恶意代码仓库、Mac后门等战术狩猎开发人员、Web3从业者。

重要提醒：事件初期只是平台的高度怀疑，并非已经实锤定论，完整技术证据有待调查报告披露。链上分析师发现部分被盗XRP资金流向，和2026年7月AFX交易所被盗案资金链路存在关联，而AFX攻击事件过往归因Lazarus下属TraderTraitor子集群，这是当时最有力的间接线索，但依然不等同于完整证据链。

四、两大核心现实问题解读

1、用户保护基金兜底，就代表万事大吉？

基金账面规模4.64亿＞损失3.516亿，账面可以全额覆盖损失；

但基金资产是链上加密资产，资产价格会随行情波动；

资金追回属于额外收益，平台表态不会把追回资产作为赔付用户的前提条件；

被盗资金虽然链上全程可追溯，但黑客会通过混币、跨链、去中心化交易所快速清洗资产，实际追回难度极高。

2、内部作案可能性？

交易所拥有2000名以上员工，外界传出内鬼猜测。

官方态度：可能性很低，但调查流程不会直接排除该可能性，尚未发现任何员工涉案的确凿证据。

五、从安全视角看本次事件带来的启示

1. 光保护私钥远远不够，业务后台权限同样是命门

行业以往重点防护钱包私钥、离线冷存储。但本次攻击展示新风险：高权限业务管理后台被攻陷，即便私钥完好，资产依旧可以被洗劫。钱包系统、审批流程、后台运维权限，同样需要做严格的隔离、多因素审批、操作审计。

2. 国家级APT对加密行业的威胁长期存在

Lazarus及其下属子集群持续狩猎整个Web3生态：交易所、跨链桥、DAO、开发人员工作站。攻击手段包含供应链、虚假求职社工、漏洞入侵后台，攻击手段不断迭代。

3. 热钱包是风险高发区

热钱包为了满足用户提现业务，必须保持联网状态，永远是攻击者优先瞄准目标；冷钱包离线隔离依然是资产防护最重要的手段。

4. 归因需要完整技术证据链，不能只靠过往威胁团伙特征

企业遭遇重大安全事件，怀疑已知威胁团伙是合理思路，但对外归因必须依靠IOC、样本、基础设施、链上证据完整闭环，主观推断不能作为实锤结论。

后续补充：后续调查报告披露，本次入侵实际根源来自第三方安全组件零日漏洞，攻击者借此拿到内部高权限，完成伪造转账。

六、普通加密用户的防护提示

1. 不要把全部资产存放于交易所，大额资产优先转移到自己掌控的离线冷钱包；

2. 平台发生安全事件，不要恐慌性盲目操作，以官方公告为准，甄别大量自媒体的不实谣言；

3. 开启账号二次验证，定期查看账户历史记录，留意陌生提币、授权行为；

4. 区分「交易所热钱包被盗」和「你的个人账户被盗」两种完全不同的安全场景。

结尾互动

你怎么看待交易所热钱包安全风险？你认为APT组织针对加密行业的攻击未来会如何演变？欢迎安全、Web3从业者转发，关注重大安全事件的背后技术逻辑。

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《3.516亿美元瞬间被盗！疑似Lazarus作案，黑客未窃取私钥，攻破后台直接伪造转账指令》