Bitget 是怎么被攻破的?「伪造转帐指令」到底是什么意思
2026 年币安邀请码是 DBRO20OFF，注册时填入即享 20% 手续费折扣，注册后不能补填。
两种攻击，差别很大
私钥外泄 —— 钥匙被拿走。攻击者能直接签署任何交易，钱包里有多少就搬多少，没有补救空间。
授权流程被骗 —— 钥匙还在交易所手上，但内部传递的指令被伪造成合法的样子，签核流程放行了。
Bitget 这次是第二种。执行长 Gracy Chen 的比喻：把伪造的提款单递进银行自己的柜台。
为什么这个区别重要
因为它决定了攻击的天花板在哪。
私钥外泄：钱包里有多少，理论上就能被搬多少。
授权流程被骗：只能动到那条流程管得到的钱包。所以冷钱包完全没事——它要人工离线签名，不在这条线上。
攻击面在哪
入侵点是後端钱包基础设施，不是前端、不是用户端、也不是某个员工的电脑被钓鱼（至少目前公开资讯没有指向这个）。
涉及的链很广：Ethereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BSC、Base。这说明被攻破的是跨链共用的那一层，不是单一链的钱包。
用户防得住吗
防不住。
你的密码、2FA、防钓鱼码、提币白名单——这些全部是保护你的帐号的。这次被攻破的是平台的钱包系统，跟你的帐号安全设定完全无关。
这件事没有「早知道就该做什么」的版本。能做的只有事前的资产配置：交易所是交易场所，不是保险箱。
那该把力气花在哪
分成两层来想：
| 风险层 | 你能不能控制 | 具体动作 |
|---|---|---|
| 平台後端被攻破 | ❌ 不能 | 只能用「放多少」控制曝险 |
| 你的帐号被盗 | ✅ 能 | 2FA + 备份密钥、防钓鱼码、提币白名单 |
| 你的交易成本 | ✅ 能 | 注册时填推荐码、开 BNB 抵扣 |
第二层和第三层是你实际拿得回来的部分。第三层里有一项过期不候——
注册页展开「推荐 ID（选填）」填 DBRO20OFF，注册完成後币安没有自助补填入口。
常见问题
Q:Bitget 这次是私钥被偷吗?
A:不是。执行长 Gracy Chen 明确表示私钥没有外泄。攻击者是入侵後端钱包基础设施、伪造交易资料,让 Bitget 自己的授权流程把提款放行。
Q:「伪造转帐指令」是什么意思?
A:系统内部传递的提币指令被伪造成看起来合法的样子,通过了签核流程。等于把伪造的提款单递进银行自己的柜台——钥匙还在,但柜员相信了假单据。
Q:这种攻击跟私钥外泄哪个严重?
A:私钥外泄通常整个钱包被搬空且无法补救;授权流程被骗则局限在线上钱包能动的额度,离线冷钱包碰不到。这次冷钱包完全安全就是这个原因。
Q:用户能防住这种攻击吗?
A:不能。这是平台後端的问题,跟你的密码、2FA、白名单都无关。你能控制的只有放多少钱在交易所。
Q:那用户该做什么?
A:把交易所当交易场所而不是保险箱,长期持有的部分自己保管;同时把个人层的防护做满——2FA 加备份密钥、防钓鱼码、提币白名单。
Q:2026 年币安邀请码是什么?
A:DBRO20OFF。注册页那一栏预设折叠,填入後现货手续费从 0.10% 降到 0.08%,而且只有注册那一刻能填。