Bitget siger, at angribere nåede virksomhedens systemer til kryptovaluta-wallets gennem sikkerhedsenheder fra tredjeparter, før de stjal 387,5 millioner dollar. Nye resultater fra SlowMist og Mandiant placerer Bitget-hacket i et længere indbrud, hvor den tidligste mistænkelige aktivitet optræder i logs fra den 31. august.
Børsen har ikke offentligt identificeret de berørte produkter. Den siger dog, at undersøgelserne forbandt kompromitteringen med udnyttelse af zero-day-sårbarheder, der involverede to sikkerhedsenheder.
Beviser peger på adgang uger før tyveriet
SlowMists analyse viste, at en angriber udnyttede en sårbar tjeneste på én node i en af enhederne til at køre et skjult script.
Angriberen hentede derefter en databaseadgangskode fra en miljøvariabel og brugte den til at oprette forbindelse til databasen. Efterforskerne observerede lignende scriptaktivitet på yderligere to noder den 23. og 25. september.
Samtidig identificerede Mandiant uautoriseret privilegeret adgang til to sikkerhedsenheder fra tredjeparter den 24. september. Resultaterne beskriver, hvordan angriberen etablerede et fodfæste og bevægede sig mod børsens wallet-infrastruktur.
Tilsammen giver rapporterne en tydeligere rækkefølge af begivenhederne frem mod tyveriet. Den tidligste tilgængelige logpost fastslår dog ikke nødvendigvis, hvornår indbruddet begyndte.
Kompromitterede enheder gav en vej til wallet-systemer
Ifølge Mandiant installerede angriberen et web shell på én af enhederne og etablerede en forbindelse til ekstern kommandoinfrastruktur.
Denne vedvarende adgang gjorde det efterfølgende muligt at bevæge sig til Bitgets produktionsserver til wallet-jobs, hvor angriberen installerede skadelig software.
Efterforskerne identificerede også et specialudviklet udbetalingsværktøj, som blev brugt under kryptovalutatyveriet den 25. september.
Bitget-CEO Gracy Chen har tidligere sagt, at angriberne manipulerede transaktionsdata inde i et kritisk backend-system til wallets. Som følge heraf godkendte børsens autorisationsproces overførsler fra kompromitterede hot og warm wallets.
Resultaterne beskriver et angreb mod de systemer, der understøtter udbetalinger, snarere end en fejl i de underliggende blockchains.
Næsten tre timers overførsler på tværs af flere netværk
SlowMist registrerede svigagtige overførsler mellem 02:31 og 05:23 UTC+8, en periode på knap tre timer.
Operationen påvirkede Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC og Base. De stjålne aktiver omfattede ETH, XRP, BNB, AVAX, USDT, USDC og andre tokens.
Efter at have opdaget uautoriseret aktivitet suspenderede Bitget udbetalinger. Børsen rapporterede i sidste ende tab på i alt 387,5 millioner dollar.
Den seneste offentliggørelse fokuserer dog på, hvordan angriberne kom ind i og navigerede gennem infrastrukturen. Den navngiver ikke sikkerhedsleverandørerne eller giver offentlige detaljer om de udnyttede sårbarheder.
Attribueringen af Bitget-hacket forbliver børsens vurdering
Chen har tilskrevet angrebet mistænkte nordkoreanske hackere med henvisning til IP-adfærd og analyse af blockchain-transaktioner.
Denne attribuering repræsenterer dog Bitgets vurdering. De efterforskningsdetaljer, der beskrives her, giver ikke en uafhængig bekræftelse af angribernes identitet.
Forskellen er vigtig, fordi beviser, der forklarer et indbrud, ikke automatisk identificerer de personer, der står bag.
Gendannelsesprogram tilbyder en belønning på fem procent
Bitget har også indført et bounty-program for hjælp med at gendanne eller fryse den stjålne kryptovaluta.
Programmet tilbyder en belønning på 5 % for kvalificeret hjælp. Samtidig efterlader de ikke-navngivne sikkerhedsprodukter og de ikke-offentliggjorte sårbarhedsdetaljer spørgsmål om mulig eksponering ud over børsen.
De offentliggjorte resultater fastslår en vej fra kompromitterede sikkerhedsenheder til wallet-operationer, men de giver endnu ikke en fuldstændig offentlig redegørelse.
0 svar til “Bitget-hack: Zero-day-sårbarhed i sikkerhedsenhed forbindes med tyveri på 387,5 millioner dollar”