Bursa de criptomonede Bitget a dezvăluit că atacatorul care a furat 387,5 milioane de dolari din portofelele sale a pătruns în sisteme exploatând vulnerabilități zero-day în dispozitive de securitate terțe.
Atacatorul a avut acces la sisteme timp de aproape patru săptămâni înainte de furt, potrivit investigațiilor efectuate de firma de securitate blockchain SlowMist și de divizia de apărare cibernetică a Google Cloud, Mandiant.
24 de zile în rețea
Primele urme de activitate malițioasă din jurnalele disponibile datează din 31 august, când un script ascuns a fost rulat pentru a citi parolele bazei de date.
Serviciul compromis rula pe un nod al primului produs de securitate și era afectat de o vulnerabilitate zero-day, potrivit SlowMist. Activitate similară a apărut pe alte două noduri pe 23 și 25 septembrie.
Pe 24 septembrie, atacatorul a obținut acces privilegiat neautorizat la ambele dispozitive de securitate, a instalat un web shell pe unul dintre ele și a stabilit o conexiune de comandă și control, a constatat Mandiant [PDF].
De acolo s-a deplasat lateral către mediul de portofele și serverul de producție al bursei Bitget, unde a instalat pachete malițioase.
Trei ore de transferuri
Furtul a fost declanșat cu un instrument personalizat de retragere, recuperat de investigatori. Primul transfer ilicit a avut loc pe 24 septembrie la 18:31 UTC, iar ultimul la 21:23 UTC, pe mai multe rețele blockchain, arată raportul SlowMist [PDF].
Atacatorul compromisese un sistem backend critic, pe care l-a folosit pentru a falsifica date de tranzacții și a declanșa astfel procesul de autorizare al bursei, a spus Gracy Chen, directoarea executivă a Bitget.
Printre activele afectate se numără ETH, XRP, BNB, AVAX, USDT și USDC, pe rețele precum Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC și Base.
Bitget a estimat inițial pierderile la 351,6 milioane de dolari, apoi a revizuit cifra la 387,5 milioane, după urmărirea transferurilor pe toate rețelele.
Bursa a suspendat toate retragerile după ce a detectat transferurile neautorizate. Retragerile de bitcoin a fost reluate pe 28 septembrie, iar celelalte active a fost redeschise treptat.
Chen a atribuit atacul unor hackeri nord-coreeni, invocând tipare ale adreselor IP și analize on-chain.
Atribuirea nu a fost confirmată independent. Hackerii din Coreea de Nord au mai fost implicați în atacuri majore asupra burselor crypto, inclusiv hack-ul Bybit, în care au fost furate 1,5 miliarde de dolari.
În urma acestui incident, Bitget a lansat un program de recompense care oferă 5% celor care ajută la recuperarea sau înghețarea fondurilor furate.
