64分钟攻破Bitget造成3.88亿损失，纵深防御+零信任集体失效，企业安全建设何去何从

AI安全迪哥

2026年9月30日 08:30
江苏

去阅读

9月25日凌晨（UTC+8），加密货币交易所Bitget约3.88亿美元资产，从热钱包与温钱包被转走。CEO直播复盘，Mandiant与慢雾（SlowMist）介入调查，公开的攻击链说出来平平无奇：

攻击者利用一款第三方安全产品里一个尚未修补的零日漏洞，取得内网高权限凭证，进入钱包相关后端服务，写入伪造的提现命令。先做两笔低于风控阈值的小额试探——0.184 ETH、193 TRX——确认通道无告警后，在约半小时内发起十余笔跨链大额转账。每转完一笔，就删掉伪造命令和操作日志。

然后是最有意思的部分：

冷钱包完好。私钥一枚没泄露。签名逻辑没有被破解。合约没有被利用。

整场攻击里，没有任何一把锁被撬开。攻击者做的事情是：让守卫亲手打开保险箱，而且在打开的那一瞬间，保险箱自己认为——这正是它被造出来该做的事。

01

那 64 分钟：系统看见了，钱还在流

64分钟决定了这家公司的安全生死线：：

时间线为 UTC+8 · 细节来自 Bitget 官方公告与公开复盘

03:05，自动风控命中。04:09，大额转出才结束。中间隔着六十四分钟。系统已经看见了，钱又流了六十四分钟。

我们习惯把安全事故讲成\"攻破\"的故事，于是预算全花在围墙上。而这一次真正的现场是：检测层在凌晨三点零五分做对了它的工作，然后眼睁睁看着结果被时间杀死——因为发现不等于能停，而\"停\"这件事，在这个架构里没有任何一个部件有权单独执行。

「任何依赖'有人来得及操作'的止损，都不算止损，只算运气。链上转账不睡觉，也不走流程。」

02

防守的重力学：为什么入口是安全产品

先说一个不舒服的规律。在一个企业内网里，权限最高的进程往往不是你的核心业务，而是你的安全产品：EDR探针要读所有内存，PAM与堡垒机要代持所有人的凭证，DLP要读所有出口内容，扫描器要能进所有网段。为了\"防守\"，我们给了它们比 CTO 更大的视野。

于是攻击路径跟着权限走，像水往低处流、东西往重处倒。这不是\"安全产品也有漏洞\"的意外，这是防守的重力学：你把最强的能力交给看守者，看守者就同时成了全系统最值钱的一扇门——它一个人，顶别人一整条漏洞链。

历史反复交过的学费 · 均为公开披露口径

SolarWinds、MoveIt、Kaseya、Exchange、CrowdStrike——把这些串起来看，结论很明显：在高级定向攻击的定价模型里，第三方特权组件是套利空间最大的一档。你为它付了钱、给了它最高权限、把它接进了最核心的网络，然后从采购那天起，再没人审计过它到底能做什么。

反思一

「你的安全预算，买的是能力，还是买了一张不再复查的长期通行证？」

03

扎人的真相：零信任按设计运行了

很多同行的第一反应是\"Bitget不是有零信任设计吗\"。零信任行业口径（Microsoft、IBM 的表述基本一致）讲三条原则：显式验证、最小权限、假定失陷。但这次事件里，这三条字面上全都被满足了：请求携带合法高权限凭证，认证通过了；那个安全产品本来就被授权能读能写，它用的正是自己的权限；它到达的也确实是对它开放的位置。

这才是最扎人的地方：零信任没有被子弹绕过，零信任按设计运行了。它验证了身份，而身份是真的。它检查了授权，而授权也是真的。

身份清单 ≠ 信任清单

问题出在那句口号被引用时通常漏掉的后半句。\"Never trust, always verify\"在工程上不可能真的成立——密码学能验证身份（这把钥匙是谁的），但没有任何算法能验证授权（这个人此刻该不该做这件事）。意图不可验证，只能信任。

更进一步说，就算只谈\"验证\"，它也从来不该只验钥匙，而该验上下文：这把钥匙平时几点用、从哪台机器用、用它做的事长什么形状。凌晨三点、全新地址、跨链、连续十几笔——每一个信号都在喊\"这不像它平时的样子\"。但验证层如果只被设计成回答\"这是不是真钥匙\"，它就永远只能回答\"是\"。

所以\"零信任没拦住\"是个误诊。你能做的从来不是\"消除信任\"，而是把信任显式地记下来：谁、以什么身份、被允许让什么发生、到什么时候为止、由谁能否决。私钥一把没丢，钱却走了——那笔损失用的，是一把没被记进信任账本的信任。它躺在某台安全产品的配置里，从采购那天起就在生效，但从没出现在任何一张\"我们信任谁\"的表上。

真问题是：大多数企业的零信任是一份身份清单，不是一份信任清单。人的账号、设备、角色管得井井有条；而那个能往提现队列里写东西的服务账号、那把常驻在第三方 Agent 里的长效特权 token、那条\"为了接入监控\"开的单向通道——它们在架构上真实存在，在治理上不存在。

反思二

「零信任不是'不信任'，是把信任变成可审计的账目。你信的东西比你的账本多，事故就会从差额里长出来。」

04

纵深防御，不等于\"多买几层\"

纵深防御的经典表述是\"很多层防线\"，于是企业把它理解成采购清单：WAF 之后有 IPS，IPS 之后有 EDR，EDR 之后有 SIEM，SIEM 之后有 SOC。

这个理解的致命处在于：如果每一层都依赖同一份上下文做判断，那它们不是几层防线，是一层防线的几个副本。这次所有能表态的层看到的都是同一句话——\"管理员在发指令\"。它们高度一致，因为它们读的是同一个信号。攻击者破解的不是 N 层，是那一层的语义。

真正的纵深来自独立性：身份轴 / 动作轴 / 时间轴

真正的纵深来自独立性，而独立性有三轴：身份轴——谁能发起，这次攻击者拿到了合法身份，补法是把\"能发起\"和\"能让它生效\"拆成两个互不包含的能力；动作轴——该不该做，系统只看单笔金额，攻击者用小额试探加多链多笔规避，补法是看动作本身的物理特征：不可逆、跨链、新地址、非工作时段；时间轴——能不能停下来，03:05 告警、04:09 才停，攻击者赢在这里而且赢得毫无成本。

第三轴是绝大多数\"纵深防御\"里根本没有的一轴，而在加密资产、支付、清算这类动作不可逆的系统里，它是唯一真正兜底的一轴。

05

五个失守点，没有一个是\"再买个产品\"能补的

用三轴去量这次事件，至少暴露出五个具体的失守点：

▪ 控制面污染了数据面——一个安全产品的漏洞，能直接改写资金动作的语义。防守软件和签名服务之间隔的不是防火墙策略，是零。

▪ 审批的对象是\"人签了字\"，不是\"这笔交易成立\"——\"谁同意了\"从来不是\"内容被核实\"的证明。把审批当签名，审批就只是一段可伪造的元数据。

▪ 检测层和执行层没有物理分开——命中之后要人确认、人要登录、登录要时间、凌晨三点还要走流程。而链上转账不需要睡觉。

▪ 风控把金额当主信号——金额是被证明的，模式才是被观察的。用两笔低于阈值的小额去测一个只认阈值的系统，这不是绕过，这是探测。你把阈值告诉对方，对方就按你的阈值切分。

▪ 审计日志活在攻击者可写的存储里——能删自己操作记录的权限，本身就越过了任何业务需要，这是最小权限最干净的试金石。\"删日志\"本应是全场最高优先级的告警，实测它只起到了延缓溯源的作用。

06

五种解法：买的是机制，不是盒子

下面五种模式，是行业里真正被验证过的做法。按\"机制——它这次会怎么改变结果——它的真实成本与失败模式\"来写，不列产品名。因为产品可以替换，取舍替换不掉。

五种机制速览 · 详见下文

解法一：控制面与数据面物理分离，把\"意图\"变成需要独立签名的对象

机制：核心签名与执行服务不接收\"管理员写的命令\"，只接收由另一把密钥签过名的意图声明——那把钥匙不属于后端、不属于任何 Agent、也不属于运维终端。区块链世界的 M-of-N 多签、云厂商把签名放进 KMS/HSM 加独立角色、传统金融的SWIFT凭证与支付指令分离、双人双授权（maker-checker）、风控系统独立于报单系统且拥有单方面熔断权，都是同一套思路。

这次会怎么改变：攻击者写完伪造命令，仍然缺一样他拿不到的东西——对提现意图的独立签名。后端权限 ≠ 签名权，这是唯一能从根上让\"合法身份做非法动作\"失败的构造。

真实成本：运维复杂、需要密钥托管与恢复流程、审批链路变长会催生疲劳。关键细节——多把私钥若来自同一个种子、存在同一台机器、由同一个人持有，M-of-N 就是 M-of-1。

解法二：用意图，不用能力（RDL 意图授权）

机制：不授予\"你是管理员，你能进这个系统\"，只授予\"这个请求，在未来 4 分钟内，可以对这一笔、这一个目标做这一件事\"。授权随请求下发、秒级过期、逐跳重评——Google 2020 年提出的 RDL 是这条路线最明确的工程化尝试。

这次会怎么改变：一把零日换来的长效特权，最多换成一个窄作用域、几十秒就作废的动作窗口，撑不起\"半小时内十几笔跨链转账\"这种长流程。

真实成本：对存量系统侵入性极大，第三方产品几乎不会配合改造。现实中的降级是给机器身份配短 TTL 加每跳重评，但依赖供应商支持。

解法三：机器身份台账 + SBOM，把第三方当成攻击者已经在读的输入

机制：除人以外，所有服务账号、Agent、集成通道都进台账，都有 owner、都有暴露面、都可到期；接入组件要求提供完整 SBOM；第三方默认假定不可信，权限按\"它能造成多大伤害\"而不是\"它声称要做什么\"来给。

这次会怎么改变：它不会阻止零日，但会让\"那把万能钥匙存在且没人知道\"变成\"那把钥匙存在、有人知道、能在一分钟内吊销\"。事后 Bitget 全量失效所有认证 token——那是补救版，代价是全站停摆。

真实成本：台账会变成第二份没人看的资产清单。有效的前提是把\"无 owner 的长效特权\"当 P0 债务来清，而不是当合规动作做一次。

解法四：执行层的机械限流器，不看身份，只看动作的物理形状

机制：在签名与广播之间放一层没有裁量权的闸：累计上限、目标地址熵、单位时间多币种同目标的组合、目标变更率、时段基线。它不做判断，只做算术。

这次会怎么改变：两笔小额试探没告警，是因为风控按\"单笔金额\"定价；真正有信息量的信号是\"新地址＋多链＋短时间连续＋递增\"这个形状——攻击者要复用通道，就绕不过形状。更重要的是：这一层不需要任何人来得及醒着。

真实成本：误杀率是它唯一的政治成本，一旦因为误杀被调高阈值或旁路，它就死了。所以旁路本身要设硬约束（双人、有期限、必留痕）；阈值绝不能暴露给可观测方——阈值可探测，就只是给攻击者的刻度尺。

解法五：时间轴的减速带——不可逆动作排队 + 日志不可删

机制：大额、不可逆的动作先入 timelock 队列，延迟若干分钟到小时生效，窗口内任何人可撤销；审计日志实时写入 append-only / WORM 存储，任何能写命令的通道都读得到、删不掉。这是传统金融与公共基础设施里最朴素的一招，也是\"assume breach\"在工程上唯一诚实的表达。

这次会怎么改变：如果提现带 20 分钟延迟，03:05 的命中就变成一次真正的止损，而不是一份事后证据——那六十四分钟的损失，大部分可以归零。而且日志删不掉，攻击者的\"擦屁股\"步骤当场变成一个高频告警。

真实成本：牺牲即时性，会被业务方以体验为由要求关掉；延迟窗口本身会成为攻击者的时间表；WORM要防误删与配置漂移。这些成本都是真实的——承认它，比假装它不存在更有价值。

「这五种模式合起来只讲了一件事：把信任从感觉变成账目，把停止从人变成机制。」

尾声

一个超出安全行业的追问

\"假定失陷\"是三条原则里最少被真正落地的一条。原因很人性：前两条买产品就能宣称做到，第三条要求你承认\"我现在就已经失陷了\"。这不是技术问题，是心理与预算问题——没有人愿意在自己的季度汇报里写这一行。

同样的盲区在所有行业重复：一个公司会花三个月审计财务权限，却不会审计那个能改提现队列的服务账号；会认真核查临时外包人员，却不会复查三年前采购的那款安全产品今天还握着什么；会把零信任讲成一场架构升级，却不愿承认它首先是一份诚实的信任清单——而这恰恰意味着，承认自己信了一些说不出理由的东西。

Bitget 这次事件里最冷的一句话不是零日，不是供应链，而是六个字。它值得你转发给每一个管钱、管权限、管采购的人：

— 全 文 最 冷 的 一 句 话 —

私钥没丢，
钱走了。

只要这句话在逻辑上能成立，就说明真正的防线不在算法边界上，而在我们把信任交给谁、有没有记下来、有没有随时能收回。

留一个问题给你：你的组织里，能不能有人在十分钟内说清楚——你们一共信任多少个身份？其中多少个能直接让钱动、或让日志消失？又有多少把钥匙，已经没人记得当初为什么要给出去？

如果答不上来，那么你的信任清单上，就躺着这次事件里那把没人记账的钥匙。它可能属于某个安全产品，也可能，就属于你。