币圈界报道：

Bitget事件暴露供应链安全短板：第三方漏洞成主要攻击入口

自9月28日起，中心化加密货币交易所Bitget遭遇的系统性安全事件性质发生根本转变。攻击者并未突破其私钥体系或冷钱包防护，而是通过利用交易所采购的第三方安全工具中的未知漏洞，获取管理员权限并伪装为内部人员执行恶意操作。目前已确认的资产流失规模介于3.875亿至3.88亿美元之间。

攻击链路拆解：零日缺陷与痕迹清除技术

据官方披露，攻击方利用了第三方安全组件中尚未公开的“零日漏洞”，即在软件发布后未被开发者识别的安全弱点。凭借此漏洞，攻击者获得高权限凭证，并直接向钱包后端写入伪造的提款指令，随后主动清除相关操作留下的日志与审计痕迹。

这一过程揭示出关键事实：核心密钥管理环节未遭破坏。Bitget首席执行官Gracy Chen在受访时指出，清除操作的复杂程度是此次事件中最棘手的技术挑战。她强调，尽管影响重大，但事件未动摇平台生存基础。目前调查已确认私钥与冷钱包均未泄露，安全机构Mandiant和SlowMist正协助还原完整细节。

时间轴回溯：试探性转账与大规模资金外流

攻击进程呈现明显预演特征。UTC时间9月24日18:31，两笔极小金额交易（0.184 ETH和193 TRX）发出，均低于风控系统的触发门槛。随后在18:58至20:09期间，跨八个区块链的17笔大额转账完成，总额约3.61亿美元。

阻止损失进一步扩大的并非提款控制机制，而是账目对账系统。UTC时间19:05，系统检测到账户余额与实际资产间的偏差，立即冻结全平台提款功能。从首笔大额交易到警报触发间隔7分钟，从警报响起至资金流出结束历时约一小时。

对用户而言，最值得关注的是：攻击者优先进行小额测试以探测系统阈值。这表明，仅依赖价值门槛的防御机制存在严重盲区，一旦攻击者能绕过预警，常规风控将形同虚设。

供应商漏洞引发的系统性威胁

加密交易平台不仅运行交易系统，还集成大量外部工具，包括监控、访问控制、日志审计与防御组件。这些工具因职能需要常被赋予广泛权限，使其成为极具吸引力的攻击跳板。

这一现实改变了安全评估标准——即使平台自身密钥保管得当，若其引入的任一供应商存在漏洞，整体系统仍可能面临风险。此类手法并非个案，而是金融领域常见的渗透模式。对此无需过度恐慌，但必须保持理性：存放在交易所的资金应限定为可长期不动用的部分。

关于如何实现资产自主掌控，建议参考硬件钱包对比指南，了解不同设备类型、价格区间及成本效益平衡点。

提款恢复安排：分批逐步开放

Bitget未立即全面恢复提款，而是采用分阶段方案：

9月28日 UTC 08:00：比特币网络（BTC）

9月29日 UTC 08:00：Ethereum主网及其Layer 2网络（BSC, Arbitrum, Base, Optimism）

9月30日 UTC 08:00：USDT（在Ethereum, BSC, Solana, Tron网络上）

10月2日 UTC 08:00起：其余代币、法币余额及P2P持仓

交易所声明，暂停提款仅为完成最终安全审查，不影响用户资金的可提取权；账户余额状态未变，交易与充值功能全程正常。这意味着，若您持有非上述主流代币且截至9月26日无变动，则当前头寸已被相关机构备案。

4.65亿美元保护基金启动：责任归属与覆盖范围

Bitget承诺由其保护基金承担全部损失。该基金在9月25日估值达4.65亿美元。公司计划一周内将其补充至至少3亿美元，并援引8月31日超过14亿美元的储备金作为企业后备支持。

需明确的是，该基金属于自愿性质的准备金，使用决策权归平台所有，不受国家监管机构强制赔付条款约束。这与欧盟银行存款保险制度（最高赔付10万欧元）有本质区别，后者不涵盖加密资产。各平台的实际资金规模与交易量比例，已在9月25日完成统计。

损失数据在一周内持续上调。初始报告（9月24日）估算为3.51亿美元，因仅部分流出款项被归因。截至9月28日，修正后数据为3.875亿至3.88亿美元之间。此类初期数值波动在交易所事故中属常态，不应视为最终定论。

欧盟MiCA法规下的托管责任边界

随着欧洲《加密资产市场法案》（MiCA）全面实施，所有向欧盟用户提供托管、交易或兑换服务的机构必须取得相应授权。对于托管业务，法规要求客户资产须与运营方自有资产隔离，且平台需对其托管资产的丢失承担责任（前提是可归责于自身失误）。

用户能否主张此项责任，取决于您所签署的服务合同主体。在受监管实体与国际实体之间，法律适用差异显著。服务条款中明确列出了交易对手方及管辖法律。建议在必要时提前查阅相关内容。

自我托管与交易所托管的权衡取舍

本事件并非倡导完全脱离交易所，而是提倡有意识地进行资产配置分割。平台上余额便于快速交易，且由平台承担技术风险；而自我托管则规避外部系统被入侵的风险，但助记词遗失即意味着永久损失。

一个实用原则是：平台内的资金应与未来数周计划交易金额加上缓冲额度相匹配。超出部分应转入用户可控的自我托管钱包。这一比例取决于您的交易频率，而非固定数值。每日调仓者与每年仅调整两次者，所需分割策略截然不同。

在此权衡中，主要成本体现在便利性，以及“事故只发生在别人身上”的认知偏差。事实上，9月24日的17笔交易耗时仅71分钟，在此窗口期内，任何用户均无法做出有效响应，即便最为警觉者亦难幸免。

持有期计算与税务影响分析

提款冻结是否中断持有期？答案为否。根据德国《所得税法》第23条，持有期计算基于资产取得与处置之间的连续跨度，而非是否可实时访问。因技术故障导致无法动用资产，不构成处置行为，因此不会中断持有期。

相反，只要账户余额未变且平台完成赔付，此类事件不会自动产生可申报的税务损失。税务意义上的损失需以资产真实流出为前提。若平台最终无法偿付，情况则另当别论，需咨询专业税务顾问判断失败状态的认定时点。

无论如何，请务必将交易记录保存在平台之外。历史经验显示，当交易所限制访问时，最早消失的往往是税务文档。

后续追踪重点：调查进展与责任厘清

Bitget已宣布将发布正式调查报告。在此之前，具体涉事安全产品及其底层漏洞是否已修复尚不清楚，这直接关系到其他平台是否存在相同风险。保护基金是否按计划完成补充也待验证。肇事者身份仍未确认，公司仅表示基于现有情报，判定为此前已怀疑的同一团伙。

在上述要点获得文件证实前，本文立场维持不变。一旦调查报告发布，我们将及时更新内容。

行动指引：关键决策节点梳理

确认您的资产所在代币：BTC自9月28日起可提取，ETH及相关EVM网络自今日UTC 08:00起开放，USDT自9月30日开始，其余代币仅在10月2日后方可操作。此信息决定您是否具备响应能力。

设定离场阈值：依据您的交易频率而非市场价格来决定。涉及设备类型及成本请参阅硬件钱包对比指南。

核实交易对手方：服务条款中注明了签约实体及适用法律。若合同位于欧盟境外，MiCA义务不适用；合规替代方案可在持牌加密交易所列表中查询。

（截至2026年9月29日。本文不构成投资建议。价格和费用结构可能发生变动；购买前请与提供商核实条款。）