Bitcoin · BTC82 376 $▼ 1,7%
Ethereum · ETH2 510 $▼ 1,1%
USD / RUB83,9 ₽▼ 1,2%
EUR / RUB94,0 ₽▼ 1,0%
USD / UZS11 897,90 сум▲ 0,4%
EUR / UZS13 336,36 сум▲ 0,7%
Золото · унция (PAXG)4 168 $▼ 0,5%
Доминация BTC59,1%
Все курсы →
Крипто · Безопасность

Взлом Bitget: как возобновляют вывод средств и что это значит для Узбекистана

Bitget сообщила о краже около $387,5 млн (≈4,58 трлн сум по курсу ЦБ РУз на 01.10.2026) из горячих и тёплых кошельков 24.09.2026. Вывод BTC, ETH и USDT биржа вернула 28–30.09, а 02.10.2026 объявила о возобновлении вывода остальных токенов, фиатных и C2C-сервисов и о завершении поэтапного плана. В реестре лицензий НАПП Bitget нет (снято 01.10.2026) — разбираем, что это значит для пользователей из Узбекистана.

· 8 минут чтения · Редакция Sogdium
Ряд из четырёх матовых шлюзов-турникетов на светлом фоне: три открыты, четвёртый закрыт и отмечен бирюзовым индикатором — иллюстрация к материалу о взломе Bitget и поэтапном возобновлении вывода средств

Обновлено 02.10.2026: Bitget объявила о возобновлении вывода остальных токенов, фиатных и C2C-сервисов.

Взлом Bitget 24.09.2026 обошёлся бирже примерно в $387,5 млн — около 4,58 трлн сум по курсу ЦБ РУз на 01.10.2026 (11 808,76 сум за $1): такую сумму Bitget назвала 25.09.2026, уточнив первую оценку в $351,6 млн (≈4,15 трлн сум по тому же курсу). Вывод средств биржа возвращает поэтапно: BTC — с 28.09, ETH — с 29.09, USDT — с 30.09; 02.10.2026 Bitget сообщила, что вернула вывод остальных токенов, фиатные и C2C-сервисы и что поэтапный план «has been fully completed». Для читателя из Узбекистана важнее другое: Bitget нет в реестре лицензий Национального агентства перспективных проектов (НАПП, снято 01.10.2026), а по ПП-3832 граждане Узбекистана могут осуществлять операции по покупке, продаже и (или) обмену крипто-активов исключительно через национальных провайдеров, за исключением случаев, предусмотренных актами законодательства.

Хронология взлома Bitget и возобновления вывода средств

ДатаСобытиеИсточник
24.09.2026, 18:31 UTC (23:31 по Ташкенту)Системы безопасности Bitget зафиксировали несанкционированные переводы из части горячих и тёплых кошельков; вывод приостановлен, торговля и депозиты работали; первая оценка — около $351,6 млн (≈4,15 трлн сум), холодные кошельки, по заявлению биржи, не затронутыуведомление Bitget, 24.09.2026
25.09.2026Оценка повышена до $387,5 млн (≈4,58 трлн сум): добавлены затронутые активы в сетях Zcash и TRON; программа вознаграждений — 5% от замороженных или возвращённых средств тому, чьи действия к этому привели; выплату Bitget не гарантируетBitget, 25.09.2026
26.09.2026Опубликован график поэтапного возобновления выводаBitget, 26.09.2026
28.09.2026, 08:00 UTCВывод BTC; по словам гендиректора Bitget Грейси Чен, обработано 9 585 заявок на 4 098 BTCграфик Bitget, 26.09.2026; Bitcoin Magazine, 29.09.2026
29.09.2026, 08:00 UTCВывод ETH (Ethereum, BSC, Arbitrum, Base, Optimism)график Bitget, 26.09.2026; crypto.news, 30.09.2026
30.09.2026, 08:00 UTCВывод USDT (Ethereum, BSC, Solana, Tron); Bitget опубликовала отчёты Mandiant и SlowMistграфик Bitget, 26.09.2026; Bitget, 30.09.2026
02.10.2026, 08:00 UTC (публикация объявления)Bitget объявила о возобновлении вывода остальных токенов, фиатных и C2C-сервисов (в графике — P2P) и о завершении плана; в тот же день вывод в отдельных сетях, в том числе DOGE и LTC, приостановлен из-за «wallet maintenance»Bitget, 02.10.2026; Bitget о DOGE, 02.10.2026

Как взломали Bitget: что нашли Mandiant и SlowMist

30.09.2026 Bitget опубликовала отчёты двух компаний, которые расследуют инцидент. По словам биржи, оба расследования выявили компрометацию сторонних продуктов безопасности, через которую атакующий получил доступ к кошелькам; выводы, как пишет Bitget, «broadly align with the attack path Bitget previously disclosed».

  • SlowMist (отчёт о ходе расследования на 29.09.2026, время — UTC+8): самая ранняя вредоносная активность в логах — 31.08.2026, уязвимость нулевого дня в службе на узле стороннего продукта A. 25.09 атакующий вошёл в панель управления продукта B под учётной записью сотрудника. SlowMist восстановила из удалённых файлов программу вывода, подделывавшую параметры риск-контроля. По проверенным на 29.09 записям, переводы шли с 02:31:00 до 05:23:11 25.09 (UTC+8) — около 2 часов 52 минут.
  • Mandiant (Google Cloud; статус-отчёт от 28.09.2026): 24.09.2026 атакующий получил привилегированный доступ к сторонним устройствам безопасности A и B, установил веб-шелл на устройство B и через него перешёл на рабочий сервер задач кошелька Bitget.

Оба отчёта промежуточные: Mandiant описывает доступ к устройствам A и B 24.09, SlowMist — самую раннюю вредоносную активность в доступных логах продукта A 31.08. Производителя продуктов A и B не называют ни четыре объявления Bitget в Help Center (24, 25, 26 и 30.09.2026), ни отчёты Mandiant (28.09.2026) и SlowMist (на 29.09.2026) — проверено 01.10.2026. По данным The Hacker News от 01.10.2026, Bitget уведомила поставщика и отключила затронутую функцию до исправления.

Кто стоит за атакой. Bitget, по пересказу Bitcoin Magazine от 29.09.2026, назвала метод атаки «highly consistent with known patterns of North Korean hacker organizations»; Грейси Чен сослалась на ончейн-анализ и характер поведения IP-адресов (BleepingComputer, 28.09.2026). The Hacker News 01.10.2026 пишет, что аналитические компании нашли пересечения с кошельками, через которые отмывали средства прежних взломов. В текстах отчётов Mandiant (28.09.2026) и SlowMist (на 29.09.2026) исполнитель не назван.

Что с деньгами клиентов: фонд защиты и резервы

  • Балансы. Bitget 26.09.2026: «User account balances remain unaffected, and Bitget's Protection Fund covers the financial impact of this platform-wide incident» — балансы не затронуты, убыток покрывает фонд защиты биржи.
  • Фонд защиты. 24.09.2026 в нём, по данным Bitget, было более $464 млн (≈5,48 трлн сум). Bitcoin Magazine 29.09.2026 со ссылкой на Bloomberg написал, что после взлома фонд опустился ниже $200 млн (≈2,36 трлн сум), а Чен сказала, что компания пополняет его собственными средствами. 30.09.2026 Bitget в пресс-релизе сообщила, что восстановила фонд до более чем $300 млн (≈3,54 трлн сум) — своего минимального уровня.
  • Резервы. По снимку proof of reserves на 09:00 UTC 29.09.2026 общий коэффициент резервов Bitget — 131%, все 19 охваченных активов выше 100%: BTC — 142%, ETH — 110%, USDT — 107% (блог Bitget). crypto.news 30.09.2026 напоминает: это снимок на момент времени, а не полный финансовый аудит компании.
  • Возврат украденного. Около $1,1 млн (≈13 млрд сум) заморозили Circle, Tether и NEAR Intents (The Hacker News, 01.10.2026).

Bitget и Узбекистан: есть ли лицензия и что говорит закон

Лицензии нет. В реестре лицензий НАПП (снято 01.10.2026) Bitget нет; в таблице действующих лицензий две крипто-биржи — COINPAY (CE #0004) и ASTERIUM (CE #0006). Список — в материале о лицензированных криптобиржах.

Норма. ПП-3832 от 03.07.2018 (в ред. ПП-143 от 17.04.2026, действует с 20.04.2026), подп. «д» п. 3: «с 1 января 2023 года граждане и юридические лица Республики Узбекистан могут осуществлять операции по покупке, продаже и (или) обмену крипто-активов исключительно через национальных провайдеров услуг в установленном порядке, за исключением случаев, предусмотренных актами законодательства» (lex.uz).

Административная ответственность. Ст. 155-4 КоАО (введена ЗРУ-899 от 19.01.2024, действует с 20.04.2024; КоАО принят 22.09.1994, в силе с 01.04.1995; текст статьи в действующем КоАО совпадает с ЗРУ-899 — сверено 01.10.2026) за «Незаконное приобретение, сбыт или обмен крипто-активов» предусматривает административный арест до 15 суток, а для лиц, к которым арест не может применяться, — штраф 20–30 БРВ, то есть 8,8–13,2 млн сум при БРВ 440 000 сум (с 01.09.2026 по УП-115 от 23.06.2026); в обоих случаях с конфискацией крипто-активов и орудий правонарушения.

Уголовная ответственность — ст. 278-8 УК (УК принят 22.09.1994, в силе с 01.04.1995, действующая редакция на lex.uz — 12.09.2026; статья введена ЗРУ-899 от 19.01.2024, действует с 20.04.2024): ч. 1 — те же действия, совершённые после административного взыскания за такие же действия; ч. 2–3 — те же действия с отягчающими признаками, в том числе в крупном (ч. 2) или особо крупном (ч. 3) размере. Подробнее — в материале о штрафах за криптовалюту в Узбекистане.

Практика с Bitget. Spot 26.01.2026 со ссылкой на пресс-службу УВД Бухарской области сообщил о деле против уроженца Андижанской области, который без лицензии торговал на Binance и Bitget: 2 407 операций с 20.04 по 30.09.2025 на 18,167 млрд сум, дело возбуждено по п. «а» ч. 3 ст. 278-8 УК (особо крупный размер). По тому же сообщению, в августе 2025 года он уже был осуждён за незаконный оборот криптовалюты на 26 млрд сум и приговорён к ограничению свободы. По данным следствия, которые приводит Spot, через карты других лиц он также конвертировал 1 млрд сум, снятых с карт потерпевших и гражданских истцов.

Для самих бирж НАПП 03.08.2026 вынесло на обсуждение проект положения о штрафах до 11 млрд сум для иностранных компаний, оказывающих резидентам крипто-услуги без лицензии. На 26.09.2026 (дата сверки в нашем разборе) зарегистрированного акта в базе lex.uz не было — это проект; подробности в нашем разборе. Для Binance НАПП описало путь через лицензиата COINPAY (сообщение НАПП от 29.01.2025); сообщений НАПП о подобном партнёрстве с Bitget в реестре и новостях napp.uz на 01.10.2026 нет.

Реакция НАПП. Собственных сообщений агентства о взломе Bitget нет ни в разделе новостей napp.uz (последняя запись — 28.09.2026), ни в Telegram-канале @napp_uz (посты 26.09–01.10.2026, проверено 01.10.2026). В ленте внешних новостей на napp.uz стоит ссылка на материал Financial Times о взломе от 25.09.2026.

Что важно знать пользователю из Узбекистана

  • Деньги на бирже хранит биржа. Во время инцидента Bitget вывод BTC был закрыт с 24.09 по 28.09.2026; остальных токенов, фиата и C2C — до 02.10.2026, когда Bitget объявила об их возобновлении.
  • Легальный путь в Узбекистане — лицензированные провайдеры из реестра НАПП; как купить криптовалюту через них — в гайде о покупке криптовалюты в Узбекистане. Чем горячий кошелёк отличается от холодного — в гайде о хранении криптовалюты.

FAQ

Сколько украли у Bitget? По оценке Bitget от 25.09.2026 — около $387,5 млн, это ≈4,58 трлн сум по курсу ЦБ РУз на 01.10.2026. Первая оценка 24.09.2026 была $351,6 млн; в уточнённый подсчёт Bitget добавила активы в сетях Zcash и TRON.

Когда Bitget полностью открыла вывод средств? 02.10.2026 — Bitget объявила, что возобновила вывод остальных токенов, фиатные и C2C-сервисы и полностью завершила поэтапный план. Вывод BTC, ETH и USDT, по данным биржи, возобновлён 28–30.09.2026.

Пострадали ли балансы клиентов Bitget? По заявлению Bitget от 26.09.2026 — нет: балансы не затронуты, убыток покрывает фонд защиты биржи. Снимок proof of reserves на 29.09.2026 показал коэффициент 131% по 19 активам; это данные самой биржи на момент снимка, а не аудит.

Кто взломал Bitget? Bitget связывает атаку с хакерами из КНДР: гендиректор Грейси Чен сослалась на ончейн-анализ и поведение IP-адресов (BleepingComputer, 28.09.2026). В отчётах Mandiant (28.09.2026) и SlowMist (на 29.09.2026) исполнитель не назван.

Законно ли пользоваться Bitget в Узбекистане? Нет, кроме случаев, предусмотренных актами законодательства: лицензии НАПП у Bitget нет (реестр, снято 01.10.2026), а по подп. «д» п. 3 ПП-3832 (от 03.07.2018, в ред. ПП-143 с 20.04.2026) граждане и юридические лица Узбекистана могут осуществлять операции по покупке, продаже и (или) обмену крипто-активов исключительно через национальных провайдеров услуг в установленном порядке, за исключением случаев, предусмотренных актами законодательства. За незаконное приобретение, сбыт или обмен крипто-активов ст. 155-4 КоАО предусматривает административный арест до 15 суток, а для лиц, к которым арест не может применяться, — штраф 20–30 БРВ (8,8–13,2 млн сум при БРВ 440 000 сум с 01.09.2026); в обоих случаях с конфискацией крипто-активов и орудий правонарушения.

Источники

Читайте также