SlowMist: Augusztus 31-én kezdődött a Bitget hackelési tevékenysége
-
Írta
Nekrošius Gintautas - Frissítve 2026-09-30 18:05:55
A SlowMist a Bitget hackelésével kapcsolatos kezdeti rosszindulatú tevékenységet augusztus 31-re vezette vissza, amikor egy támadó kihasznált egy zero-day sebezhetőséget egy harmadik féltől származó biztonsági termékben, ami végül 388 millió dolláros lopást eredményezett. Ez a dátum jelöli a Bitget hackelési tevékenységének kezdetét.
A támadók szeptember 24-én (UTC) hajtották végre a lopást a Bitget hot walletjeiből, és az eszközöket a különböző blokkláncokon lévő, általuk ellenőrzött címekre utalták át. A SlowMist vizsgálata két különböző harmadik féltől származó biztonsági termékkel és egy pénztárcaalkalmazás-hoszttal kapcsolatos rosszindulatú tevékenységeket azonosított.
Tartalomjegyzék
A támadó kihasználási módszerei
A SlowMist előrehaladási jelentése szerint a támadó egy rejtett szkriptet használt, hogy hozzáférjen egy termék adatbázisához, amelyet a SlowMist „A terméknek” nevezett, miután annak jelszavát egy környezeti változóból szerezte meg. Hasonló tevékenységet észleltek később két további csomóponton szeptember 23-án és szeptember 25-én. Minden jelentett dátum és idő UTC+8 időzónában van megadva.
Szeptember 25-én a támadó hozzáférhetett egy második biztonsági termék, a SlowMist által „B terméknek” nevezett termék felügyeleti platformjához is, egy belső alkalmazottat megszemélyesítve. A SlowMist jelentése szerint a támadó ezután megpróbált rendszerparancsokat injektálni, szerverkonfigurációkat módosítani és rosszindulatú programfájlokat feltölteni. A SlowMist jelezte, hogy a Bitget hackelési tevékenységével kapcsolatos vizsgálata folyamatban van, és folyamatosan vizsgálják, hogyan mozgott a támadó a kompromittált rendszerek között.
A visszavonási folyamat manipulálása
A biztonsági cég kijelentette, hogy visszaszerzett egy nagymértékben testreszabott eszközt, amelyet töröltek, és amelyet a pénztárcarendszer visszavonási folyamatának manipulálására használtak. Ezt az eszközt a kockázatellenőrzési paraméterek hamisítására, visszavonási kérelmek felépítésére és a visszavonási folyamat elindítására tervezték.
A SlowMist láncon belüli ellenőrzése a legkorábbi megerősített átutalást szeptember 25-én, UTC+8 idő szerint hajnali 2:31-re tette, amikor egy támadó által ellenőrzött címre 93 TRX érkezett. Ezt 11 másodperccel később 0,84 Ether követte az Ethereum hálózaton. Az összeállított átutalási nyilvántartások körülbelül két óra 52 percet öleltek fel több blokkláncon keresztül, és ugyanazon a napon hajnali 5:23-kor fejeződtek be.
A támadó megpróbálta közvetlenül módosítani a visszavonási nyilvántartásokat a pénztárca adatbázisában, és további Bitcoin-kifizetéseket indítani. A SlowMist megjegyezte, hogy két hamisított BTC visszavonási megbízás feldolgozásra került, de hibákba ütközött. Ezt követően a támadó átnézte a naplókat, ellenőrizte a megrendelések állapotát, és további kísérleteket tett.
A Bitget válasza és helyreállítási erőfeszítései
Szeptember 25-i frissítésében a Bitget megerősítette, hogy körülbelül 387,5 millió dollárt utaltak át a támadó által ellenőrzött címekre több hálózaton keresztül.
A Bitget vezérigazgatója, Gracy Chen később kijelentette, hogy a jogsértés egy harmadik féltől származó biztonsági termék sebezhetőségéből eredt, amely lehetővé tette a támadó számára, hogy „magas szintű belső hitelesítő adatokat” szerezzen, és csalárd visszavonási parancsokat adjon ki. Megerősítette, hogy a Bitget privát kulcsai és hideg pénztárcái nem sérültek.
A Bitget folytatja az ellopott eszközök visszaszerzésére irányuló erőfeszítéseket. Chen korlátozott optimizmust fejezett ki a körülbelül 388 millió dolláros veszteség teljes visszaszerzésével kapcsolatban, egy korábbi hackelésből származó korlátozott visszaszerzésre hivatkozva összehasonlítási alapként.
