Bitget: hakerzy byli w systemie 25 dni

Hakerzy działali w systemach Bitget przez tygodnie

Śledztwo prowadzone po kradzieży środków z Bitget pokazuje, że napastnicy mogli przebywać w infrastrukturze powiązanej z giełdą nawet 25 dni przed właściwym atakiem. Najwcześniejsza zidentyfikowana aktywność sięga 31 sierpnia, gdy wykorzystano lukę zero-day w narzędziu bezpieczeństwa należącym do zewnętrznego dostawcy.

Dopiero później, 24 września, z hot walletów Bitget zniknęło około 388 mln dolarów. Środki zostały rozproszone na wiele sieci blockchain i skierowane na adresy kontrolowane przez atakujących.

Jak doszło do włamania

Z ustaleń wynika, że napastnicy korzystali z kilku elementów infrastruktury jednocześnie:

• dwóch zewnętrznych produktów bezpieczeństwa,
• hosta aplikacji portfela,
• oraz narzędzia stworzonego specjalnie do manipulowania procesem wypłat.

W jednym z przypadków atakujący użyli ukrytego skryptu, aby dostać się do bazy danych produktu określanego jako Product A. Wcześniej wyciągnęli hasło ze zmiennej środowiskowej. Później podobną aktywność wykryto także na innych węzłach.

Następnie, 25 września, napastnik wszedł do panelu administracyjnego drugiego narzędzia, Product B, podszywając się pod pracownika wewnętrznego. Próbowano tam wstrzykiwać polecenia systemowe, zmieniać konfigurację serwera i wgrywać złośliwe pliki.

Customowy tool do fałszywych wypłat

Najważniejszym elementem ataku okazało się odzyskane, wcześniej usunięte, mocno spersonalizowane narzędzie. Służyło ono do przejęcia procesu wypłat i:

• fałszowało parametry kontroli ryzyka,
• budowało żądania wypłat,
• oraz samo wywoływało procedurę transferu.

To oznacza, że atakujący nie musieli wykradać prywatnych kluczy. Zamiast tego oszukali wewnętrzny mechanizm zatwierdzania transferów, sprawiając wrażenie, że transakcje są prawidłowe.

Pierwsze przelewy

Najwcześniej potwierdzony transfer onchain pojawił się 25 września o 2:31 czasu UTC+8. Na adres kontrolowany przez napastnika trafiło 93 TRX, a 11 sekund później pojawiło się 0,84 ETH w sieci Ethereum.

Cała sekwencja wykrytych transferów trwała około 2 godziny i 52 minuty. Najbardziej intensywna faza ataku przypadła na sam początek, gdy w ciągu 18 minut z Bitget wypłynęło około 228 mln dolarów na siedmiu blockchainach. Największą pojedynczą pozycję stanowiły aktywa o wartości około 153 mln dolarów w XRP.

Próby ukrycia śladów

Po rozpoczęciu transferów atakujący próbowali także przepisać rekordy wypłat bezpośrednio w bazie danych portfela. Dwa sfabrykowane zlecenia wypłaty BTC weszły do procesu, ale zakończyły się błędami. Mimo to napastnik sprawdzał logi, kontrolował status zamówień i ponawiał próby.

Śledczy nadal analizują, w jaki sposób atakujący przeskakiwali między zainfekowanymi systemami.

Co dzieje się ze skradzionymi środkami

Równolegle pojawiają się sygnały, że skradzione aktywa są nadal przenoszone i mieszane przy użyciu różnych narzędzi cross-chain. Wskazywano m.in. na wykorzystanie CoW Protocol i Chainflip do rozbijania oraz przekierowywania środków na bitcoin.

W części przypadków udało się też zablokować próbę prania pieniędzy – jedna z sieci miała zatrzymać transfery o wartości 50 mln dolarów, przepuszczając jedynie niewielką część i zamrażając kolejne środki.

Bitget: fundusz ochronny ma pokryć straty

Bitget przekazał, że jego User Protection Fund ma ponad 464 mln dolarów i ma zabezpieczyć użytkowników przed skutkami ataku. Giełda zaczęła też stopniowo przywracać wypłaty, zaczynając od Bitcoina, a następnie rozszerzając obsługę na kolejne aktywa.

Z komunikatów wynika również, że klucze prywatne i cold wallety nie zostały naruszone. Problem miał wynikać z podatności w zewnętrznym produkcie bezpieczeństwa, która umożliwiła uzyskanie wysokich uprawnień wewnętrznych i wysyłanie fałszywych poleceń wypłat.

Najważniejszy wniosek

Cała sprawa pokazuje, jak groźne mogą być ataki wymierzone nie bezpośrednio w samą giełdę, lecz w łańcuch dostaw narzędzi bezpieczeństwa. Jeśli napastnik przejmie zaufany element infrastruktury, może przez długi czas pozostać niewykryty, a potem wykorzystać go do przeprowadzenia bardzo kosztownego ataku.