Bitget 遭駭盜 3.88 億美元！第三方資安漏洞給企業的 3 大警示

最近加密貨幣交易所 Bitget 發生了一起高達 3.88 億美元的盜領事件。你可能會想：「我又沒在炒幣，這跟我有關嗎？」其實關係很大！許多企業在建置網站或內部系統時，都會串接第三方的金流、客服或安全外掛。如果這些「第三方資安漏洞」沒被妥善管理，你的企業官網或後台也可能成為駭客的跳板。

駭客如何繞過層層關卡？解析 Bitget 攻擊手法

根據 Bitget 官方說明，這次事件並非系統被直接暴力破解，而是駭客利用了他們所使用的第三方安全產品的「零日漏洞」。零日漏洞（Zero-day）是指軟體開發商還沒發現、或還沒發布修復程式的未知漏洞，駭客能搶在官方補洞前發動攻擊。

駭客透過這個漏洞，取得了高階的內部憑證（用來驗證管理者身分的數位鑰匙）。接著，他們在 9 月 24 日先進行了兩筆小額轉帳測試。因為金額低於系統的風險控制閾值，沒有觸發警報。30 分鐘後，駭客開始大額轉帳，並利用合法的憑證偽裝成日常行政操作，成功繞過熱錢包（用於處理日常提領的線上錢包）的審批機制，在過程中還刻意消除了操作痕跡。

冷錢包安然無恙，但企業系統管理仍有盲點

好消息是，Bitget 的冷錢包（完全斷網、用於長期儲存資產的離線錢包）並未受到影響，私鑰也沒有外洩。這證明了「實體隔離」在資安防護上的重要性。客戶的帳戶餘額也未受損，損失將由公司的保護基金吸收。

事後，Bitget 迅速隔離受影響系統、撤銷並重新發放內部憑證，並懷疑這是北韓駭客組織所為。他們也發布了被盗資金的錢包地址，請求其他交易所協助監控。然而，被盗資金迅速透過跨鏈橋（連接不同區塊鏈的轉換服務）進行洗錢，增加了追蹤難度。

這次事件暴露了幾個企業常見的系統管理盲點：首先是過度信任第三方工具，以為買了資安軟體就萬無一失，卻忽略了第三方產品本身也可能成為破口。其次是內部權限與風控機制被巧妙繞過，讓系統誤以為是正常操作。最後是跨系統資料流動的風險，當資金或資料透過多種第三方服務轉移時，企業往往難以完全掌握。

崴米的建議：中小企業如何強化數位防線？

雖然中小企業沒有加密貨幣交易所那麼龐大的資產，但我們同樣依賴各種第三方服務來營運。為了避免成為下一個受害者，崴米建議您可以從以下三個方向著手：

• 定期檢視第三方工具與外掛的權限：無論是網站後台、客服系統還是金流串接，都應該遵循最小權限原則，只給予必要的存取範圍，並定期更新與淘汰過時的第三方服務。
• 建立系統異常監控與備份機制：網站上線後不能放牛吃草，必須有專人定期巡檢主機狀態與日誌。如果您缺乏內部 IT 人力，可以考慮將網站交由專業的網站代管維護與主機監看服務，讓主機憑證、備份與小幅修改都有人幫忙顧，降低系統遭入侵卻無人知曉的風險。
• 核心資料與外部系統隔離：就像 Bitget 的冷錢包沒受影響一樣，企業的核心資料庫應該與前端網頁或第三方 API 做好權限分流。若您需要重新規劃後台架構，可以評估公司內部系統的客製化建置，把散落在 Excel 或第三方平台的核心數據收回來，建立安全且穩定的專屬管理後台。

參考來源：Bitget Says Attacker Exploited Third-Party Security Product Flaw to Steal $388M