SlowMist раскрыла детали взлома Bitget на $388 млн
Компания SlowMist завершила часть расследования взлома биржи Bitget, в результате которого было похищено около $388 млн. Согласно отчёту, самая ранняя вредоносная активность датируется 31 августа и связана с эксплуатацией уязвимости нулевого дня в стороннем продукте безопасности.
Хронология атаки
SlowMist отследила самую раннюю зафиксированную вредоносную активность, связанную с кражей $388 млн у Bitget, до 31 августа. Тогда злоумышленник использовал уязвимость нулевого дня в стороннем продукте безопасности.
По данным отчёта, 24 сентября (UTC) средства были выведены из горячих кошельков Bitget и переведены на адреса, контролируемые атакующим, в нескольких блокчейнах. Расследование выявило вредоносную активность, затрагивающую два сторонних продукта безопасности и хост приложения-кошелька.
Доступ к базам данных и учётным записям
Согласно промежуточному отчёту SlowMist, атакующий использовал скрытый скрипт для доступа к базе данных продукта, названного «Product A», после извлечения пароля из переменной окружения. Похожая активность позже была обнаружена на двух других узлах 23 и 25 сентября.
25 сентября злоумышленник также получил доступ к платформе управления вторым продуктом безопасности («Product B»), используя личность внутреннего сотрудника. После этого он попытался внедрить системные команды, изменить конфигурации серверов и загрузить вредоносные файлы.
SlowMist отмечает, что расследование продолжается, и специалисты всё ещё изучают, как атакующий перемещался между затронутыми системами.
Кастомный инструмент для вывода средств
Специалисты SlowMist обнаружили удалённый, сильно кастомизированный инструмент, использовавшийся для манипуляции процессом вывода в кошельковой системе. Этот инструмент подделывал параметры риск-контроля, создавал запросы на вывод и инициировал процесс.
Onchain-верификация показала, что самый ранний подтверждённый перевод был совершён в 2:31 по UTC+8 25 сентября: адрес, контролируемый атакующим, получил 93 TRX, а через 11 секунд — 0,84 ETH в сети Ethereum. Скомпилированные записи о переводах охватывают около двух часов 52 минут в нескольких блокчейнах — вплоть до 5:23 утра того же дня.
Атакующий также пытался напрямую изменить записи о выводах в базе данных кошелька и инициировать дополнительные выводы биткоинов. По словам SlowMist, два сфабрикованных ордера на вывод BTC поступили в обработку, но вернули ошибки, после чего злоумышленник просмотрел логи, проверил статус ордеров и предпринял новые попытки.
Реакция Bitget и оценка ущерба
В обновлении от 25 сентября Bitget сообщила, что около $387,5 млн было переведено на адреса, контролируемые атакующим, в нескольких сетях. Генеральный директор биржи Грейси Чен позже заявила Cointelegraph, что breach произошёл из-за уязвимости в стороннем продукте безопасности, позволившей получить «высокоуровневые внутренние учётные данные» и отдать мошеннические команды на вывод.
Чен подчеркнула, что приватные ключи и холодные кошельки Bitget не пострадали. Биржа всё ещё пытается вернуть украденные активы. В эфире Cointelegraph’s Chain Reaction Чен сказала, что она «не очень оптимистична» насчёт полного возврата примерно $388 млн, ссылаясь на ограниченное восстановление средств после взлома Bybit в 2025 году.
Аналитика
| Монета | Цена | 24 ч | 7 дней | Капитализация |
|---|---|---|---|---|
| Bitcoin BTC | $83 825 | −0,2% | −2,7% | $1,68 трлн |
| Ethereum ETH | $2 696 | −0,6% | −1,7% | $329,08 млрд |
Данные: CoinGecko
- На момент публикации биткоин торгуется на уровне $83 825, за сутки потеряв 0,2%, а за неделю — 2,7%. Капитализация BTC составляет $1,68 трлн, суточный объём торгов — $28,07 млрд. От исторического максимума цена отклонилась на 33,5%.
- Ethereum стоит $2 696, снижение за 24 часа — 0,6%, за 7 дней — 1,7%. Капитализация ETH — $329,08 млрд, объём торгов за сутки — $13,14 млрд, а от пика цена ниже на 45,5%.
- Новость о раскрытии деталей взлома Bitget на $388 млн появляется на фоне общего снижения рынка: биткоин и эфир демонстрируют отрицательную динамику за неделю. Это может усиливать осторожность участников в отношении безопасности централизованных бирж.
- Расследование SlowMist продолжается, и это может означать появление новых подробностей о векторе атаки и возможных уязвимостях в сторонних продуктах безопасности. Держателям стоит следить за обновлениями от Bitget и SlowMist, а также за тем, как инцидент повлияет на доверие к биржам и на регулирование в сфере кибербезопасности.
Материал носит информационный характер и не является инвестиционной рекомендацией.
Источник: cointelegraph.com
Обсудить в Telegram
