Bitget sier at angripere nådde systemene for kryptovalutalommebøker gjennom sikkerhetsenheter fra tredjeparter før de stjal 387,5 millioner dollar. Nye funn fra SlowMist og Mandiant plasserer Bitget-hacket innenfor et lengre innbrudd, der den tidligste mistenkelige aktiviteten dukket opp i logger fra 31. august.
Børsen har ikke offentlig identifisert de berørte produktene. Den sier imidlertid at undersøkelsene knyttet kompromitteringen til utnyttelse av zero-day-sårbarheter som involverte to sikkerhetsenheter.
Bevis peker mot tilgang uker før tyveriet
SlowMists analyse fant at en angriper utnyttet en sårbar tjeneste på én node i en av enhetene for å kjøre et skjult skript.
Angriperen hentet deretter et databasepassord fra en miljøvariabel og brukte det til å koble seg til databasen. Etterforskerne observerte lignende skriptaktivitet på ytterligere to noder 23. og 25. september.
Samtidig identifiserte Mandiant uautorisert privilegert tilgang til to sikkerhetsenheter fra tredjeparter 24. september. Funnene beskriver hvordan angriperen etablerte et fotfeste og beveget seg mot børsens lommebokinfrastruktur.
Til sammen gir rapportene en tydeligere hendelsesrekkefølge frem mot tyveriet. Den tidligste tilgjengelige loggoppføringen fastslår likevel ikke nødvendigvis når innbruddet begynte.
Kompromitterte enheter ga en vei til lommeboksystemer
Ifølge Mandiant installerte angriperen et web shell på én av enhetene og opprettet en forbindelse til ekstern kommandoinfrastruktur.
Denne vedvarende tilgangen gjorde det deretter mulig å bevege seg til Bitgets produksjonsserver for lommebokjobber, der angriperen distribuerte skadelig programvare.
Etterforskerne identifiserte også et spesiallaget uttaksverktøy som ble brukt under kryptovalutatyveriet 25. september.
Bitget-sjef Gracy Chen har tidligere sagt at inntrengerne manipulerte transaksjonsdata inne i et kritisk backend-system for lommebøker. Som et resultat godkjente børsens autorisasjonsprosess overføringer fra kompromitterte hot- og warm wallets.
Funnene beskriver et angrep mot systemene som støtter uttak, snarere enn en svikt i de underliggende blokkjedene.
Nesten tre timer med overføringer på tvers av flere nettverk
SlowMist registrerte uredelige overføringer mellom 02:31 og 05:23 UTC+8, en periode på like under tre timer.
Operasjonen påvirket Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC og Base. Stjålne eiendeler inkluderte ETH, XRP, BNB, AVAX, USDT, USDC og andre tokens.
Etter å ha oppdaget uautorisert aktivitet stanset Bitget uttak. Børsen rapporterte til slutt tap på totalt 387,5 millioner dollar.
Den siste offentliggjøringen fokuserer imidlertid på hvordan angriperne kom seg inn i og navigerte gjennom infrastrukturen. Den navngir ikke sikkerhetsleverandørene eller gir offentlige detaljer om de utnyttede sårbarhetene.
Attribusjonen av Bitget-hacket forblir børsens vurdering
Chen har tilskrevet angrepet mistenkte nordkoreanske hackere, med henvisning til IP-atferd og analyse av blokkjedetransaksjoner.
Denne attribusjonen representerer imidlertid Bitgets vurdering. Etterforskningsdetaljene som beskrives her, gir ingen uavhengig bekreftelse på angripernes identitet.
Forskjellen er viktig fordi bevis som forklarer et innbrudd, ikke automatisk identifiserer personene som står bak.
Gjenopprettingsprogram tilbyr fem prosent belønning
Bitget har også innført et belønningsprogram for hjelp med å gjenopprette eller fryse den stjålne kryptovalutaen.
Programmet tilbyr en belønning på 5 % for kvalifisert hjelp. Samtidig etterlater de ikke-navngitte sikkerhetsproduktene og de ikke-offentliggjorte sårbarhetsdetaljene spørsmål om mulig eksponering utover børsen.
De publiserte funnene etablerer en vei fra kompromitterte sikkerhetsenheter til lommebokoperasjoner, men de gir ennå ikke en fullstendig offentlig redegjørelse.
0 responses to “Bitget-hack: Zero-day-sårbarhet i sikkerhetsenhet knyttes til tyveri på 387,5 millioner dollar”