Bitget säger att angripare nådde dess system för kryptovalutaplånböcker via säkerhetsenheter från tredje part innan de stal 387,5 miljoner dollar. Nya resultat från SlowMist och Mandiant placerar Bitget-hacket inom ett längre intrång, där den tidigaste misstänkta aktiviteten syns i loggar från den 31 augusti.
Börsen har inte offentligt identifierat de berörda produkterna. Den säger dock att utredningarna kopplade intrånget till utnyttjande av zero-day-sårbarheter som involverade två säkerhetsenheter.
Bevis pekar på åtkomst veckor före stölden
SlowMists analys visade att en angripare utnyttjade en sårbar tjänst på en nod i en av enheterna för att köra ett dolt skript.
Angriparen hämtade därefter ett databaslösenord från en miljövariabel och använde det för att ansluta till databasen. Utredarna observerade liknande skriptaktivitet på ytterligare två noder den 23 och 25 september.
Samtidigt identifierade Mandiant obehörig privilegierad åtkomst till två säkerhetsenheter från tredje part den 24 september. Resultaten beskriver hur angriparen etablerade ett fotfäste och rörde sig mot börsens plånboksinfrastruktur.
Tillsammans ger rapporterna en tydligare tidslinje över händelserna som ledde fram till stölden. Den tidigaste tillgängliga loggposten fastställer dock inte nödvändigtvis när intrånget började.
Komprometterade enheter gav en väg till plånbokssystem
Enligt Mandiant installerade angriparen ett web shell på en av enheterna och upprättade en anslutning till extern kommandoinfrastruktur.
Denna beständiga åtkomst gjorde det därefter möjligt att röra sig till Bitgets produktionsserver för plånboksjobb, där angriparen distribuerade skadlig programvara.
Utredarna identifierade också ett specialanpassat uttagsverktyg som användes under kryptovalutastölden den 25 september.
Bitgets vd Gracy Chen har tidigare sagt att inkräktarna manipulerade transaktionsdata i ett kritiskt backend-system för plånböcker. Som ett resultat godkände börsens auktoriseringsprocess överföringar från komprometterade hot- och warm wallets.
Resultaten beskriver en attack mot systemen som stöder uttag, snarare än ett fel i de underliggande blockkedjorna.
Nästan tre timmar av överföringar över flera nätverk
SlowMist registrerade bedrägliga överföringar mellan 02:31 och 05:23 UTC+8, en period på strax under tre timmar.
Operationen påverkade Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC och Base. De stulna tillgångarna inkluderade ETH, XRP, BNB, AVAX, USDT, USDC och andra tokens.
Efter att ha upptäckt obehörig aktivitet stoppade Bitget uttag. Börsen rapporterade slutligen förluster på totalt 387,5 miljoner dollar.
Den senaste redogörelsen fokuserar dock på hur angriparna tog sig in i och navigerade genom infrastrukturen. Den namnger inte säkerhetsleverantörerna och ger inga offentliga detaljer om de utnyttjade sårbarheterna.
Attributionen av Bitget-hacket förblir börsens bedömning
Chen har tillskrivit attacken misstänkta nordkoreanska hackare med hänvisning till IP-beteende och analys av blockkedjetransaktioner.
Denna attribution representerar dock Bitgets bedömning. Utredningsdetaljerna som beskrivs här ger ingen oberoende bekräftelse på angriparnas identitet.
Skillnaden är viktig eftersom bevis som förklarar ett intrång inte automatiskt identifierar personerna bakom det.
Återställningsprogram erbjuder fem procents belöning
Bitget har också infört ett belöningsprogram för hjälp med att återfå eller frysa den stulna kryptovalutan.
Programmet erbjuder en belöning på 5 % för kvalificerad hjälp. Samtidigt lämnar de icke namngivna säkerhetsprodukterna och de ej offentliggjorda sårbarhetsdetaljerna frågor om möjlig exponering utanför börsen.
De publicerade resultaten fastställer en väg från komprometterade säkerhetsenheter till plånboksoperationer, men de ger ännu inte en fullständig offentlig redogörelse.
0 svar till ”Bitget-hack: Zero-day-sårbarhet i säkerhetsenhet kopplas till stöld på 387,5 miljoner dollar”