Компания SlowMist установила, что первая зафиксированная злонамеренная активность, связанная с кражей 388 миллионов долларов у Bitget, произошла 31 августа, когда злоумышленник воспользовался нулевым днем уязвимости в стороннем продукте безопасности.
24 сентября (UTC) хакеры похитили средства из горячих кошельков Bitget, переведя активы на адреса, находящиеся под их контролем, по нескольким блокчейнам. В ходе расследования SlowMist было выявлено злонамеренное поведение, связанное с двумя сторонними продуктами безопасности и хостом приложения для кошелька.
Согласно отчету о ходе расследования от SlowMist, злоумышленник использовал скрытый скрипт для доступа к базе данных, которую SlowMist обозначила как «Продукт A», получив пароль из переменной окружения. Похожие действия были зафиксированы на двух других узлах 23 и 25 сентября. Даты и время в отчете указаны в UTC+8.
25 сентября злоумышленник также получил доступ к платформе управления второго продукта безопасности, который SlowMist назвала «Продукт B», используя личные данные внутреннего сотрудника. SlowMist сообщила, что злоумышленник затем попытался внедрить системные команды, изменить конфигурации сервера и загрузить вредоносные файлы программы.
SlowMist отметила, что расследование продолжается, и они все еще изучают, как злоумышленник перемещался между затронутыми системами.
Злоумышленник использовал индивидуальный инструмент для вывода средств
Компания по безопасности сообщила, что ей удалось восстановить удаленный, сильно кастомизированный инструмент, использовавшийся для манипуляций с процессом вывода средств из системы кошелька. Этот инструмент подделывал параметры риск-контроля, создавал запросы на вывод средств и инициировал процесс вывода.
Проверка на блокчейне от SlowMist показала, что первая подтвержденная транзакция была зафиксирована в 2:31 утра UTC+8 25 сентября, когда адрес, контролируемый злоумышленником, получил 93 TRX, а через 11 секунд последовала транзакция на 0.84 Эфира в сети Ethereum. Составленные записи о переводах охватывали примерно два часа и 52 минуты по нескольким блокчейнам, заканчиваясь в 5:23 утра того же дня.
Злоумышленник также пытался изменить записи о выводе средств непосредственно в базе данных кошелька и инициировать дополнительные выводы биткойнов. SlowMist сообщила, что два поддельных заказа на вывод BTC были обработаны, но вернули ошибки, после чего злоумышленник проверил журналы, статус заказа и сделал новые попытки.
В обновлении от 25 сентября Bitget сообщила, что около 387.5 миллионов долларов было переведено на адреса, контролируемые злоумышленником, по нескольким сетям.
Генеральный директор Bitget Грейси Чен позже сообщила Cointelegraph, что утечка произошла из-за уязвимости в стороннем продукте безопасности, что позволило злоумышленнику получить «высокие внутренние учетные данные» и выдавать мошеннические команды на вывод средств. Она добавила, что частные ключи Bitget и холодные кошельки не были скомпрометированы.
Bitget продолжает пытаться вернуть похищенные активы. В интервью на Chain Reaction Cointelegraph Чен отметила, что она «не очень оптимистична» относительно полного восстановления примерно 388 миллионов долларов, ссылаясь на ограниченные результаты восстановления после взлома Bybit в 2025 году.
📋 Краткое резюме
Компания SlowMist выяснила, что кража 388 миллионов долларов у Bitget началась с уязвимости, обнаруженной 31 августа. Злоумышленники использовали специальные инструменты для манипуляции с выводом средств и смогли перевести активы на свои адреса.
📊 Анализ рынка
Данная утечка подчеркивает важность безопасности сторонних продуктов в криптоиндустрии. Инвесторам следует быть осторожными и учитывать риски, связанные с использованием внешних сервисов и технологий.
💬 Мнение редакции
Инцидент с Bitget демонстрирует, насколько уязвимыми могут быть системы безопасности, даже при наличии сторонних решений. Это должно стать уроком для всех участников рынка.
📖 Читайте также
📣 Подписывайтесь на наш Telegram-канал, чтобы не пропускать важные новости крипторынка✈ Перейти в Telegram
