Взлом Bitget на $388 млн: атака через уязвимость в стороннем защитном продукте

Криптовалютная биржа Bitget объяснила, как у неё увели около $388 млн: злоумышленник воспользовался уязвимостью в стороннем продукте безопасности, который использовала сама биржа. По словам компании, дыра позволила получить внутренние учётные данные высокого уровня, а 24 сентября — отправить в систему кошельков поддельные команды на вывод средств.

Биржи хранят большую часть клиентских денег в офлайновых «холодных» кошельках, а для обработки выводов держат «горячие» и «тёплые». Переводы из них всё равно требуют подтверждения перед подписанием. Украденные средства пришлись на часть горячих и тёплых кошельков; холодные не пострадали.

Как развивалась атака

Генеральный директор Bitget Грейси Чен рассказала о случившемся в прямом эфире и в интервью изданиям The Block и Cointelegraph. Уязвимость открыла атакующему доступ к внутренней системе управления, откуда он внедрил мошеннические команды на вывод в бэкенд-сервисы кошельков — и они были восприняты как легитимные.

24 сентября в 18:31 UTC злоумышленник сделал два небольших тестовых перевода. Они не превысили порог риск-контроля и не вызвали тревоги. Примерно через полчаса начались крупные переводы, и система кошельков исполнила их в обход защитных механизмов.

«Всё это время использовались легитимные учётные данные. Свою активность они маскировали под рутинные административные операции и заметали следы», — сказала Чен. Приватные ключи, по данным расследования, скомпрометированы не были.

Чен не назвала продукт, но, по словам The Block, описала уязвимость как zero-day — ошибку, которую атакующие используют раньше, чем производитель выпустит исправление.

Реакция и последствия

Bitget уведомила поставщика, изолировала затронутые системы, отозвала и перевыпустила внутренние учётные данные и отключила уязвимую функциональность. Выпустил ли вендор патч, компания не сообщила. Расследованию помогают фирмы Mandiant и SlowMist, формальный отчёт об инциденте Bitget рассчитывает опубликовать на этой неделе.

Баланс клиентов не пострадал: убытки покроет Фонд защиты — резерв на подобные случаи. Вывод биткоина возобновился в понедельник, остальные активы откроют поэтапно до 2 октября; от пользователей никаких действий не требуется.

Bitget по-прежнему подозревает «ту же группу людей», на которую указывала неделей ранее, — северокорейских хакеров. Называть группу до публикации отчёта Чен отказалась. Аналитическая фирма TRM Labs ранее нашла пересечения украденных средств с кошельками, через которые отмывались прежние северокорейские кражи, и указала на группу TraderTraitor, не делая, впрочем, твёрдой атрибуции.

Биржа опубликовала основные адреса, на которые ушли деньги, и запустила панель отслеживания в реальном времени. Она просит биржи, эмитентов стейблкоинов, мосты и кастодианы следить за этими адресами. TRM Labs советует проверять входящие депозиты не только на прямые переводы с адресов злоумышленника, но и на средства, прошедшие через промежуточные кошельки, мосты и кросс-чейн-сервисы.

Источник: The Hacker News