Bitget 是怎麼被攻破的?「偽造轉帳指令」到底是什麼意思
2026 年幣安邀請碼是 DBRO20OFF，註冊時填入即享 20% 手續費折扣，註冊後不能補填。
兩種攻擊，差別很大
私鑰外洩 —— 鑰匙被拿走。攻擊者能直接簽署任何交易，錢包裡有多少就搬多少，沒有補救空間。
授權流程被騙 —— 鑰匙還在交易所手上，但內部傳遞的指令被偽造成合法的樣子，籤核流程放行了。
Bitget 這次是第二種。執行長 Gracy Chen 的比喻：把偽造的提款單遞進銀行自己的櫃檯。
為什麼這個區別重要
因為它決定了攻擊的天花板在哪。
私鑰外洩：錢包裡有多少，理論上就能被搬多少。
授權流程被騙：只能動到那條流程管得到的錢包。所以冷錢包完全沒事——它要人工離線簽名，不在這條線上。
攻擊面在哪
入侵點是後端錢包基礎設施，不是前端、不是用戶端、也不是某個員工的電腦被釣魚（至少目前公開資訊沒有指向這個）。
涉及的鏈很廣：Ethereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BSC、Base。這說明被攻破的是跨鏈共用的那一層，不是單一鏈的錢包。
用戶防得住嗎
防不住。
你的密碼、2FA、防釣魚碼、提幣白名單——這些全部是保護你的帳號的。這次被攻破的是平臺的錢包系統，跟你的帳號安全設定完全無關。
這件事沒有「早知道就該做什麼」的版本。能做的只有事前的資產配置：交易所是交易場所，不是保險箱。
那該把力氣花在哪
分成兩層來想：
| 風險層 | 你能不能控制 | 具體動作 |
|---|---|---|
| 平臺後端被攻破 | ❌ 不能 | 只能用「放多少」控制曝險 |
| 你的帳號被盜 | ✅ 能 | 2FA + 備份密鑰、防釣魚碼、提幣白名單 |
| 你的交易成本 | ✅ 能 | 註冊時填推薦碼、開 BNB 抵扣 |
第二層和第三層是你實際拿得回來的部分。第三層裡有一項過期不候——
註冊頁展開「推薦 ID（選填）」填 DBRO20OFF，註冊完成後幣安沒有自助補填入口。
常見問題
Q:Bitget 這次是私鑰被偷嗎?
A:不是。執行長 Gracy Chen 明確表示私鑰沒有外洩。攻擊者是入侵後端錢包基礎設施、偽造交易資料,讓 Bitget 自己的授權流程把提款放行。
Q:「偽造轉帳指令」是什麼意思?
A:系統內部傳遞的提幣指令被偽造成看起來合法的樣子,通過了籤核流程。等於把偽造的提款單遞進銀行自己的櫃檯——鑰匙還在,但櫃員相信了假單據。
Q:這種攻擊跟私鑰外洩哪個嚴重?
A:私鑰外洩通常整個錢包被搬空且無法補救;授權流程被騙則侷限在線上錢包能動的額度,離線冷錢包碰不到。這次冷錢包完全安全就是這個原因。
Q:用戶能防住這種攻擊嗎?
A:不能。這是平臺後端的問題,跟你的密碼、2FA、白名單都無關。你能控制的只有放多少錢在交易所。
Q:那用戶該做什麼?
A:把交易所當交易場所而不是保險箱,長期持有的部分自己保管;同時把個人層的防護做滿——2FA 加備份密鑰、防釣魚碼、提幣白名單。
Q:2026 年幣安邀請碼是什麼?
A:DBRO20OFF。註冊頁那一欄預設摺疊,填入後現貨手續費從 0.10% 降到 0.08%,而且只有註冊那一刻能填。