אירוע אבטחה חמור בבורסת הקריפטו Bitget מעורר דאגה נרחבת בשוק המטבעות הדיגיטליים: הפריצה הובילה להעברת נכסים בשווי מוערך של כ-387.5 מיליון דולר לכתובות בשליטת תוקף אלמוני. האירוע, שהתגלה ב-24 בספטמבר 2026, נחשב לאחת מפרצות האבטחה הגדולות ביותר בתעשייה השנה.
בתחילה העריכה החברה את היקף הנזק בכ-351.6 מיליון דולר, אך לאחר בדיקה מקיפה יותר שכללה נכסים ברשתות Zcash ו-TRON, עודכן הסכום ל-387.5 מיליון דולר. בבורסה הבהירו כי מדובר באירוע יחיד ולא בגניבה נוספת.
ניצול כשל בספק חיצוני והעברות ניסיון
ממצאי החקירה הראשוניים מעלים כי התוקפים לא הצליחו לגנוב את המפתחות הפרטיים (Private Keys) של הבורסה. תחת זאת, כפי שהסבירה מנכ"לית החברה, גרייס צ'ן, התוקפים ניצלו חולשת אבטחה במוצר אבטחה של ספק צד שלישי. באמצעות פגיעות זו השיגו התוקפים הרשאות פנימיות ברמה גבוהה במערכות Bitget.
שימוש בהרשאות אלו איפשר לפורצים להזין פקודות משיכה מזויפות ישירות לתוך מערכת ניהול הארנקים של זירת המסחר, אשר ביצעה את הפקודות כסדרן. בבורסה הדגישו כי הארנקים הקרים (Cold Wallets) - ארנקי קריפטו שאינם מחוברים לרשת האינטרנט ובהם מוחזקים מרבית נכסי החברה והלקוחות - לא נפגעו כלל במהלך המתקפה. החולשה שזיהו המומחים טופלה ותוקנה.
לפני ביצוע ההעברות המסיביות, ביצעו התוקפים מהלך גישוש זהיר: שתי העברות ניסיון - כחצי שעה בלבד לפני ההעברות הגדולות, בוצעו שתי העברות בסכומים קטנים - 0.184 ETH מארנק ברשת את'ריום (Ethereum) ו-193 TRX מארנק ברשת טרון (TRON). הסכומים הללו היו נמוכים מסף ההתרעה של מנגנוני בקרת הסיכונים האוטומטיים של הבורסה, ולפיכך לא הופעלה כל התרעה במערכות האבטחה בזמן אמת. רק לאחר שההעברות הקטנות עברו בהצלחה, בוצעו המשיכות המסיביות לכתובות התוקף.
המרוץ להקפאת הכספים ופעולות ההחזרה
מיד עם גילוי הפריצה, ננקטו שורת צעדים לבלימת האירוע, ואפשרות המשיכה מהפלטפורמה הוקפאה באופן זמני. החברה גייסה לעזרה את חברות אבטחת המידע והבלוקצ'יין Mandiant ו-SlowMist כדי לסייע בחקירה, ובמקביל השיקה תוכנית תגמול (Bounty) המציעה פרס למי שיוביל לאיתור או להקפאת הנכסים הגנובים.
במסגרת מאמצי ההשבה והחסימה, שיתפה Bitget פעולה עם בורסות נוספות, חברות אבטחה ופרויקטים שונים בתחום הבלוקצ'יין. בין הצעדים שננקטו: פרוטוקול NEAR Intents חסם בהצלחה העברות בשווי של יותר מ-50 מיליון דולר אשר קושרו לכתובות התוקפים.
התוקפים מצדם מנסים להניע את הנכסים בין רשתות בלוקצ'יין שונות, תוך שימוש בפרוטוקול THORChain לצורך המרת נכסים והסוואת עקבותיהם. עם זאת, על אף ניסיונות ההסוואה, תנועות בבלוקצ'יין מותירות עקבות גלויות, המאפשרים לזירות מסחר ולגורמי אבטחה לזהות את הכתובות ולחסום כספים ברגע שהם מגיעים לפלטפורמות בשליטתן.
הנתונים המרכזיים של אירוע האבטחה
- מועד גילוי האירוע: 24 בספטמבר 2026
- סכום הנזק הכולל: 387.5 מיליון דולר
- סכום שהוערך בתחילה: 351.6 מיליון דולר
- כספים שנחסמו ב-NEAR Intents: מעל 50 מיליון דולר
- היקף קרן ההגנה של Bitget: מעל 464 מיליון דולר
- ספקי אבטחה בחקירה: Mandiant, SlowMist
למרות המאמצים, השאלה המרכזית שנותרה פתוחה היא כמה מהכסף שנגנב יוחרם ויוחזר בפועל לפני שהתוקפים יצליחו להעביר אותו דרך רשתות ופלטפורמות נוספות שיטשטשו את העקבות לחלוטין.
במקביל למאמצי ההשבה, הודיעה Bitget כי קרן ההגנה שלה, הכוללת יותר מ-464 מיליון דולר, מיועדת לכסות את ההשפעה הכספית של המתקפה. בחברה הדגישו כי יתרות המשתמשים לא נפגעו, וכי מנגנון המשיכות מוחזר באופן מדורג.
תזכורת חדה לסיכונים בהחזקת נכסים בבורסות
מתקפת הסייבר על Bitget מהווה תזכורת חדה עבור משקיעים פרטיים, ובפרט עבור המשקיעים הישראלים הפעילים בשוק המטבעות הדיגיטליים, לגבי הסיכונים הנלווים להחזקת נכסים בזירות מסחר ריכוזיות (Centralized Exchanges). גם כאשר בורסה מפעילה מנגנוני הגנה מתקדמים וארנקים קרים מאובטחים, תלות בספקי צד שלישי או פרצות בהרשאות פנימיות עלולות לפתוח צוהר לגניבת עתק של נכסים מתוך הארנקים הפעילים.
בשוק הקריפטו מודגשת לעיתים מזומנות החשיבות של העברת מטבעות המיועדים להחזקה לטווח ארוך מארנקים חמים (Hot Wallets) לפתרונות החזקה עצמית (Self-Custody) בארנקים קרים, המשאירים את המפתחות הפרטיים בידי המשתמש בלבד ומצמצמים את התלות בביטחון הטכנולוגי של זירת המסחר.
למה זה חשוב לך
האירוע ב-Bitget מוכיח כי גם בורסות גדולות ומצוידות בקרנות הגנה של מאות מיליוני דולרים חשופות לכשלי אבטחה קשים כתוצאה מפרצות במוצרי צד שלישי. עבור משקיעים ישראלים, האירוע מדגיש את הצורך בפיזור סיכונים, הימנעות מהשארת נכסים דיגיטליים בהיקף נרחב על גבי פלטפורמות מסחר לאורך זמן, ועדיפות לפתרונות החזקה עצמית בארנקים קרים עבור מטבעות שאינם משמשים למסחר פעיל.
האמור בכתבה זו מובא למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ השקעות, המלצה או שידול לביצוע פעולות בניירות ערך. הנתונים מבוססים על מקורות גלויים ונכונים למועד פרסומם. הכותב/ת עשוי/ה להחזיק בניירות הערך המוזכרים. כל הפועל על סמך התוכן עושה זאת על דעתו ואחריותו הבלעדית.
קראו גם: בינה מלאכותית מייקרת שבבים: ייצור סמארטפונים זולים יצטמק ב-40% עד 2030 · חברת הכטב"מים של אריק שמידט ניצחה בתחרות הפנטגון - אוקראינים בחוץ
