Bitget mất 387,5 triệu đô mà số dư khách không đổi: con số trên màn hình của bạn nằm ở đâu
3 tiếng, 9 chuỗi, 387,5 triệu đô
Lúc 18:31 giờ quốc tế ngày 24/09/2026 — tức 01:31 sáng 25/09 ở Việt Nam — Bitget phát hiện những lệnh chuyển tiền mà không ai trong công ty ra lệnh. Theo phân tích của một hãng bảo mật, các lệnh chuyển kéo dài khoảng 3 tiếng, lệnh lớn cuối cùng lúc 21:23 giờ quốc tế, và hệ thống ký, rút tiền bị tắt lúc 21:44.
Con số đầu tiên Bitget đưa ra là 351,6 triệu đô. Sau đó công ty sửa lên khoảng 387,5 triệu đô, giải thích rằng lần đếm đầu bỏ sót tài sản trên mạng Zcash và TRON, chứ không phải bị rút thêm sau khi đã chặn. Một bên đo độc lập lần theo trên chuỗi được 386,8 triệu đô qua 23 lệnh chuyển.
Phần lớn nhất là đồng XRP: khoảng 103 triệu XRP, tương đương khoảng 157 triệu đô, chiếm chừng 41% giá trị bị lấy. Phần còn lại rải qua ETH, USDT, USDC, ZEC, XAUt, BNB, AVAX, TRX.
Điều đáng chú ý nhất không phải con số. Theo báo cáo sơ bộ của các hãng điều tra, khóa riêng của sàn không bị lộ. Kẻ tấn công lợi dụng lỗ hổng chưa ai biết trong thiết bị bảo mật do một bên thứ ba cung cấp, đi vào hệ thống phía sau của hạ tầng ví, làm giả dữ liệu giao dịch — và chính quy trình duyệt, ký của Bitget đã ký những lệnh rút đó. Bitget nói ví lạnh không bị ảnh hưởng.
Nói cách khác: ổ khóa vẫn nguyên. Kẻ gian làm giả tờ giấy mà người giữ khóa tin là thật.
Câu "số dư không bị ảnh hưởng" nghĩa là gì
Đây là chỗ tôi muốn bạn hiểu thật kỹ, vì nó đúng với mọi sàn tập trung, không riêng sàn nào.
Khi bạn nạp 1.000 USDT vào một sàn, 1.000 USDT ấy rời ví của bạn và nằm trong ví của sàn — thường gộp chung với tiền của hàng triệu người khác. Đổi lại, sàn ghi vào sổ của họ một dòng: tài khoản của bạn có 1.000 USDT. Con số bạn thấy trên ứng dụng chính là dòng sổ ấy.
Nên câu "số dư không bị ảnh hưởng" là một lời cam kết: sàn sẽ lấp khoảng trống. Nó không phải một phép đo. Ở vụ này, lời cam kết ấy có tiền đứng sau — nhưng bạn nên biết mình đang dựa vào cái gì.
Ai lấp 387,5 triệu đô?
Bitget nói Quỹ Bảo vệ chi trả. Theo lời CEO của sàn, quỹ có hơn 464 triệu đô. Trừ đi 387,5 triệu thì còn chừng 76 triệu. Ngày 28/09, công ty cam kết dùng vốn của chính mình nạp lại quỹ lên trên 300 triệu đô trong một tuần, và tự công bố đã làm xong ngày 30/09.
Tất cả các số trên đều là Bitget tự khai. Tôi không tìm được bên độc lập nào đã kiểm đếm quỹ ấy. Điều đó không có nghĩa là số sai — chỉ có nghĩa là người dùng đang tin vào lời của sàn, và nên biết rằng mình đang tin.
Bằng chứng dự trữ cũng vậy. Trước sự cố, Bitget công bố tỷ lệ dự trữ 122% trong báo cáo tháng 8 — và chính sàn ghi rõ đó là ảnh chụp tại một thời điểm, không phải kiểm toán tài chính. Sau sự cố, sàn tiếp tục tự công bố các tỷ lệ trên 100%. Đặt các con số ấy cạnh nhau để kết luận "dự trữ tăng sau vụ hack" là sai cách đọc, vì số loại tài sản và cách tính có thể khác nhau giữa các lần.
Những ngày mọi dòng sổ đều đúng, và không dòng nào rút được
Đây là phần hay bị bỏ qua khi kể chuyện "khách không mất tiền".
Rút tiền bị dừng ngay đêm 24/09. Bitget mở lại theo đợt, mỗi đợt lúc 15:00 giờ Việt Nam: 28/09 mở Bitcoin · 29/09 mở ETH trên 5 mạng · 30/09 mở USDT trên 4 mạng · 02/10 mở các token còn lại, tiền pháp định và mua bán trực tiếp. Bitget tự công bố đợt cuối đã hoàn tất ngày 02/10; tôi chưa thấy bên độc lập nào xác nhận việc mở trọn.
Theo CEO của sàn, khoảng 1 giờ sau khi mở rút Bitcoin, đã có 9.585 lệnh rút với tổng 4.098 BTC. Một bảng theo dõi ví độc lập ghi lượng Bitcoin sàn đang giữ giảm khoảng 4.642 BTC trong cùng khoảng — lớn hơn số CEO khai, dù bảng đó có thể tính cả chuyển nội bộ.
Bài học thực chiến nằm ở đây: nếu trong những ngày ấy bạn cần tiền gấp — trả nợ, đóng viện phí, chốt một hợp đồng — thì "số dư không bị ảnh hưởng" không giúp được gì. Tiền đúng mà không rút được thì, trong lúc đó, cũng như không có.
Ở Việt Nam, luật đã viết sẵn gì cho chuyện này
Bitget là sàn nước ngoài, không thuộc khung thí điểm của Việt Nam. Nhưng các văn bản Việt Nam đã viết sẵn những yêu cầu chạm đúng vào 3 chỗ vụ này phơi ra.
Muốn so 2 kiểu mất tiền — ở sàn tập trung và ở hợp đồng thông minh — và tỷ lệ đòi lại được của mỗi bên, đọc bài về chuyện mất tiền ở hợp đồng thì gửi đơn cho ai.
Việc làm được ngay, với tiền bạn đang để trên sàn
Đọc xong rồi thì đi tiếp đâu
Một sàn khác từng bị phạt nặng vì 700.000 lỗi nhận biết khách hàng — câu chuyện ở bài về Upbit cho thấy cơ quan quản lý ở một nước có khung pháp lý đầy đủ soi sàn tới mức nào.
Còn nếu bạn mới ghé nhà này lần đầu, chỗ nên đọc trước là bản đồ 4 tầng của luật tài sản số Việt Nam.
Chúc bạn khai ngộ
Master Xuân Hùng
P.s: Sống trong mục tiêu.
Từ mục tiêu, con đường sẽ hiện dần ra.