Bitget conferma uno zero-day di terzi dietro il furto da 387,5 milioni di dollari

Il 24 settembre 2026 l'exchange Bitget ha comunicato un furto da 387,5 milioni di dollari dai propri hot e warm wallet e ha sospeso temporaneamente i prelievi. Il 30 settembre la società ha dichiarato che gli aggressori hanno sfruttato una vulnerabilità zero-day in prodotti di sicurezza di terzi. Riassumiamo i fatti noti, indicando chi li ha dichiarati.

Cosa è successo

Secondo la ricostruzione pubblicata da The Hacker News il 1° ottobre 2026, i trasferimenti non autorizzati hanno interessato 11 blockchain, tra cui Ethereum, XRP Ledger, TRON, Arbitrum, Base e BNB Smart Chain. Gli asset coinvolti comprendono XRP, ETH, USDT, USDC, BNB e altri token. Finora sono stati congelati circa 1,1 milioni di dollari, da parte di Circle, Tether e NEAR Intents: una frazione minima del totale.

Come è avvenuto l'attacco

Bitget ha spiegato che gli aggressori hanno ottenuto credenziali interne di alto livello e le hanno usate per emettere comandi di prelievo fraudolenti verso il sistema dei wallet, aggirando i controlli di rischio esistenti. Le indagini di SlowMist e di Mandiant, citate nell'articolo, descrivono una catena in più passaggi: accesso a due appliance di sicurezza di terzi (indicate come A e B), installazione di una web shell su una di esse, spostamento laterale verso il server che gestisce i prelievi e installazione di pacchetti malevoli. SlowMist colloca la prima attività malevola al 31 agosto 2026; lo strumento di prelievo ha iniziato a operare il 25 settembre alle 01:49. Bitget ha avvisato il fornitore e ha disattivato la funzione interessata in attesa di una correzione.

Chi c'è dietro, secondo Bitget

Bitget attribuisce l'attacco ad attori nordcoreani, sulla base del comportamento degli indirizzi IP e dell'analisi on-chain. Gli analisti Elliptic e TRM Labs hanno rilevato sovrapposizioni tra i wallet usati per riciclare i fondi e quelli di precedenti attacchi. Si tratta di un'attribuzione dichiarata dalla società, non di un accertamento giudiziario.

Perché riguarda anche le aziende svizzere

L'episodio non nasce da un difetto della blockchain, ma da dipendenze tecniche: prodotti di sicurezza installati dentro l'infrastruttura. Qualsiasi azienda che usa appliance, agenti o servizi di terzi ha lo stesso tipo di esposizione. Alcune domande pratiche, valide anche fuori dal settore crypto:

• Quali componenti di terzi hanno accesso privilegiato ai nostri sistemi critici?
• Le credenziali interne sono segmentate, a rotazione e monitorate?
• Un singolo comando amministrativo può spostare valori senza una seconda approvazione?
• Esiste un piano di risposta, con contatti del fornitore e dei team forensi?

Per chi gestisce anche solo un sito, un gestionale o un portale clienti, il principio è lo stesso: ridurre i privilegi, separare i ruoli e controllare gli accessi.

Fonti

• The Hacker News, Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft, 1° ottobre 2026: https://thehackernews.com/2026/10/bitget-confirms-third-party-zero-day.html

Informazione, non consulenza. Le cifre e le attribuzioni sono quelle dichiarate dalle fonti citate.