К краже $387,5 млн с Bitget привела zero-day, то есть ранее неизвестная уязвимость без готового исправления, в стороннем защитном инструменте. Через неё атакующие получили пароль базы данных, а затем использовали захваченную учётную запись сотрудника, сообщает Expert Insights со ссылкой на расследование SlowMist.
Первые следы атаки нашли 31 августа на узле стороннего инструмента, почти за месяц до вывода денег. Злоумышленники скрытно запустили команды, прочитали пароль базы данных и подключились к ней. Похожую активность заметили на других узлах 23 и 25 сентября. Затем атакующие проникли в платформу управления, которой пользовалась Bitget, и подготовили собственный инструмент для подделки параметров проверки и заявок на вывод. Переводы из горячего кошелька, постоянно подключённого к интернету, шли около трёх часов 25 сентября.
Справка. Bitget. Криптовалютная платформа, которая хранит часть средств в горячих, тёплых и изолированных холодных кошельках.
Приватные ключи от кошельков похищены не были, писала Euronews. Вместо прямого захвата кошельков атакующие внесли ложные данные о транзакциях, из-за чего система одобрения считала переводы легитимными. Bitget заявила, что балансы клиентов не изменились, а ущерб покрыт фондом защиты пользователей.
Биржа связывает атаку с северокорейскими хакерами: её глава Грейси Чен сообщила об IP-адресах, использовавших VPN-сервисы, характерные для таких групп. Это пока версия расследования, а не окончательно установленная атрибуция. После взлома Bitget приостановила вывод средств и планировала включать его поэтапно с 28 сентября по 2 октября.
Что это значит
- Для вас. Если у вас есть активы на Bitget, сверьте баланс и проверьте актуальный статус вывода в официальных сообщениях биржи. Компания утверждает, что клиентские балансы не пострадали.
- Для компаний. Инцидент показывает риск сторонних инструментов, имеющих доступ к базам данных и внутренним системам. Стоит проверить такие интеграции, ограничить их права и убедиться, что похищенного пароля недостаточно для доступа к критической инфраструктуре.
- За чем следить. Главный ближайший маркер: завершит ли Bitget восстановление вывода к 2 октября и сообщит ли о дополнительных ограничениях после проверки систем.