Я бы оценил инцидент на 6 из 10. Это серьёзно, но заметно меньше Bybit.
Почему не хуже Bybit. Масштаб отличается примерно в четыре раза. В 2025 году Lazarus провёл взлом Bybit на $1,5 млрд, крупнейший за тот год. Здесь Чен сообщила о примерно $351,6 млн, затронутых несанкционированными переводами с части горячих кошельков. Для 2026 года это много: если цифра подтвердится, это будет крупнейшая кража года, выше примерно $319 млн, выведенных из Liquid Network Blockstream 6 сентября. Но это не событие уровня рекорда индустрии. Важно и то, что потери покрыты резервом: по словам Чен, вся сумма укладывается в User Protection Fund, где больше $464 млн. North Korean Hackers “Very Likely” Drained $350 Million From Bitget, CEO Says +3
Почему всё же 6, а не 3–4. Есть три настораживающих момента.
Вывод заморожен. Bybit, насколько я помню, продолжал обрабатывать выводы, и это сильно гасило панику. Bitget, наоборот, временно остановил вывод на время проверки безопасности, при этом депозиты и торговля работают. По оценке InvestingLive, настоящая проверка будет при открытии выводов, потому что до этого момента цена BGB не может полностью протестироваться. TheStreetNewsCord
Реакция была медленной. По данным Forbes, вывод средств на блокчейне продолжался почти три часа после обнаружения. Forbes
Есть расхождение в версиях. Официально холодные кошельки полностью в безопасности, а взлом затронул только часть горячего и тёплого слоёв. Однако аналитик Arkham Эммет Галлик пишет, что в транзакциях участвовали три горячих кошелька Bitget и один холодный на нескольких блокчейнах. TheStreetNewsCord
Сам вектор атаки тоже неприятный. Атакующие проникли в систему платформы и перевели средства, не подделывая пользовательские заявки на вывод и не получив приватные ключи ни холодных, ни горячих кошельков. Значит, скомпрометирована внутренняя инфраструктура, а это хуже простой утечки одного ключа. Предварительная атрибуция указывает на КНДР: Чен сослалась на совпадение IP-адресов с VPN-сервисами, которые использует северокорейская группа.

Вывод — единственный канал, по которому деньги физически покидают биржу. Торговля и депозиты меняют только цифры во внутренней базе, а транзакцию в блокчейн отправляет именно конвейер вывода. Его остановка помогает в нескольких местах.
1. Перекрывается сам вектор атаки. В этом случае атакующий не крал ключи, а подделал данные в бэкенде, и штатная система авторизации сама подписала и отправила транзакции. Поэтому блокировать конкретный адрес или сменить один ключ недостаточно: пока конвейер работает, скомпрометированная система может снова заставить его подписать что угодно. Выключение вывода отключает подписывающие сервисы целиком, и неважно, кто и через какую дыру пытается инициировать перевод. По сути это рубильник, а не точечный фильтр.
2. Появляется время на зачистку, и её не приходится делать «на ходу». Нужно найти точку входа, проверить, не оставил ли атакующий бэкдоры, пересобрать или изолировать затронутые серверы, сменить ключи и доступы, возможно перевыпустить адреса кошельков. Делать это при работающем выводе — всё равно что менять замки при открытой двери.
3. Сводится баланс. Бирже нужно сверить внутренний реестр (сколько кому должна) с тем, что реально лежит на кошельках. Пока средства текут в обе стороны, сверка затруднена. Остановка вывода «замораживает картину», и становится видно, что именно пропало, а что — нормальные операции.
4. Останавливается набег на биржу. После новостей о взломе многие хотят вывести всё сразу. Горячие кошельки после атаки частично пусты, и их пришлось бы срочно пополнять из холодного хранилища. Это чувствительная операция, которую сейчас лучше не проводить в спешке, пока нет уверенности в чистоте инфраструктуры. Пауза также даёт время подготовить ликвидность, например из User Protection Fund.
5. Отсекается вторичный ущерб. Если атакующий получил доступ и к данным пользователей или сессиям, он мог бы выводить уже с их аккаунтов. С выключенным выводом это тоже невозможно.
Обратная сторона в том, что пауза защищает биржу и в целом пользователей, но за счёт их доступа к деньгам. Чем дольше она длится, тем сильнее давление на доверие, поэтому, как я писал выше, главным тестом станет момент открытия вывода: насколько быстро он пройдёт и не будет ли лимитов или очередей.