Bitget potwierdził, że 24 września atakujący ukradli z portfeli giełdy 387,5 mln dolarów. Wypłaty nadal są wstrzymane, a firma twierdzi, że fundusz ochronny pokrywa straty.
Mandiant i SlowMist prowadzą dochodzenie. Dyrektor generalna Gracy Chen podejrzewa udział Korei Północnej, choć początkowy wektor ataku nie został ujawniony.
Jak więc mogło dojść do włamania? BeInCrypto opracowało oś czasu na podstawie publicznie dostępnych informacji.
24 września, 18:31 UTC: Bitget wykrywa nieautoryzowane przelewy
Bitget twierdzi, że jego systemy bezpieczeństwa wykryły przelewy o 18:31 UTC i w ciągu kilku minut uruchomiły procedury awaryjne.
Atak objął część gorących i ciepłych portfeli, które obsługują operacje giełdy. Według firmy jej offline’owe zimne portfele pozostały bezpieczne. Godzina wykrycia nie wskazuje, kiedy atakujący po raz pierwszy uzyskali dostęp.
19:57–21:06 UTC: nietypowe transakcje wzbudzają alarm
O 19:57 analityk DCF GOD zwrócił uwagę na nowy portfel, z którego w ciągu sześciu minut wydano 19,67 mln USDT0 na zakup 7111 ETH. Według doniesień zapłacono nawet o 5% powyżej cen rynkowych.
To zachowanie sugerowało, że ktoś przedkładał szybkie przeniesienie środków nad wszystko inne. Motyw nadal pozostawał niejasny.
O 21:06 Bubblemaps poinformował, że około 180 mln dolarów przeszło z portfeli Bitget na wspólny adres odbiorczy, a następnie zostało rozdzielone między kilka portfeli.
21:30 UTC: Chen potwierdza naruszenie bezpieczeństwa
W komunikacie dotyczącym bezpieczeństwa Chen oszacował początkowe straty na 351,6 mln USD i potwierdził wstrzymanie wypłat.
Komunikat pojawił się niemal trzy godziny po podanym przez Bitget czasie wykrycia incydentu. Ta przerwa rodzi pytania o reakcję giełdy, ale nie dowodzi, że środki były wyprowadzane przez cały ten czas.
25 września, 00:43 UTC: Pojawia się podejrzenie co do metody ataku
Chen powiedział, że napastnicy przejęli kontrolę nad krytycznym systemem backendowym, czyli oprogramowaniem zarządzającym operacjami portfeli w tle.
Podali fałszywe dane transakcji i uruchomili proces autoryzacji Bitget. Mówiąc prościej, system giełdy zatwierdził oszukańcze transfery.
Chen powiedział, że wykluczono kradzież kluczy prywatnych. To, w jaki sposób napastnicy uzyskali dostęp do backendu i które zabezpieczenia zawiodły, nadal wymaga szczegółowych publicznych wyjaśnień.
14:03 UTC: Straty sięgają 387,5 mln USD
Bitget skorygował szacunki po uwzględnieniu aktywów Zcash i TRON, których dotyczył incydent. Giełda poinformowała, że wzrost wynika z pełniejszego rozliczenia pierwotnej kradzieży.
Firma twierdzi, że luka została usunięta. Zapowiedziała ogłoszenie planu wypłat do 26 września, godz. 04:00 UTC, nie zobowiązując się jednak do ich wznowienia w tym terminie.
Dlaczego śledczy podejrzewają udział Korei Północnej
Chen wskazał na zachowania adresów IP i aktywność w blockchainie charakterystyczne dla grup z Korei Północnej. Kilka elementów przypomina kradzież z giełdy Bybit z lutego 2025 r., którą FBI przypisało Korei Północnej.
- Zmanipulowane zatwierdzenia: Bitget opisuje fałszywe instrukcje docierające do jego systemu autoryzacji. W przypadku Bybit przejęty interfejs nakłonił osoby zatwierdzające transakcje do zaakceptowania złośliwej transakcji. Mechanizmy były różne, ale w obu przypadkach wykorzystano proces zatwierdzania.
- Szybka konwersja aktywów: Środki powiązane z Bitgetem szybko wykorzystano do zakupu ETH. FBI udokumentowało szybką konwersję skradzionych aktywów z Bybit na inne kryptowaluty.
- Rozdzielanie środków między portfele: Bubblemaps zidentyfikowało kilka portfeli odbiorczych. Według FBI środki pochodzące z kradzieży na Bybit rozdzielono między tysiące adresów.
- Korzystanie z THORChain: MistTrack poinformował, że środki pochodzące z Bitget trafiły do tego protokołu, i wskazał, że wcześniej wykorzystano go do transferu skradzionych środków z Bybit.
Te podobieństwa uzasadniają dalsze dochodzenie. Same w sobie nie pozwalają jednak ustalić, kto zaatakował Bitget.
Źródło: BeInCrypto
