Bitget-Hack: Zero-Day-Schwachstelle in Sicherheitsgerät mit Diebstahl von 387,5 Millionen Dollar in Verbindung gebracht

Bitget zufolge gelangten Angreifer über Sicherheitsgeräte von Drittanbietern in die Kryptowährungs-Wallet-Systeme der Börse, bevor sie 387,5 Millionen Dollar stahlen. Neue Erkenntnisse von SlowMist und Mandiant ordnen den Bitget-Hack einem länger andauernden Eindringen zu, wobei die früheste verdächtige Aktivität in Protokollen vom 31. August auftaucht.

Die Börse hat die betroffenen Produkte nicht öffentlich identifiziert. Sie erklärte jedoch, dass die Untersuchungen die Kompromittierung mit der Ausnutzung von Zero-Day-Schwachstellen in zwei Sicherheitsgeräten in Verbindung brachten.

Hinweise deuten auf Zugriff Wochen vor dem Diebstahl hin

Die Analyse von SlowMist ergab, dass ein Angreifer einen anfälligen Dienst auf einem Appliance-Knoten ausnutzte, um ein verborgenes Skript auszuführen.

Anschließend rief der Angreifer ein Datenbankpasswort aus einer Umgebungsvariable ab und nutzte es, um eine Verbindung zur Datenbank herzustellen. Ermittler beobachteten am 23. und 25. September ähnliche Skriptaktivitäten auf zwei weiteren Knoten.

Unterdessen identifizierte Mandiant am 24. September unbefugten privilegierten Zugriff auf zwei Sicherheitsgeräte von Drittanbietern. Die Erkenntnisse beschreiben, wie der Angreifer einen ersten Zugang etablierte und sich in Richtung der Wallet-Infrastruktur der Börse bewegte.

Zusammen liefern die Berichte eine klarere Abfolge der Ereignisse, die zum Diebstahl führten. Der früheste verfügbare Protokolleintrag belegt jedoch nicht zwangsläufig, wann das Eindringen begann.

Kompromittierte Geräte ermöglichten Zugang zu Wallet-Systemen

Laut Mandiant installierte der Angreifer eine Web Shell auf einem der Geräte und stellte eine Verbindung zu externer Kommandoinfrastruktur her.

Dieser dauerhafte Zugriff ermöglichte anschließend die Bewegung zum Produktionsserver für Wallet-Jobs von Bitget, auf dem der Angreifer Schadsoftware installierte.

Die Ermittler identifizierten außerdem ein speziell entwickeltes Auszahlungswerkzeug, das während des Kryptowährungsdiebstahls am 25. September eingesetzt wurde.

Bitget-CEO Gracy Chen hatte zuvor erklärt, dass die Eindringlinge Transaktionsdaten innerhalb eines kritischen Wallet-Backend-Systems manipulierten. Dadurch genehmigte der Autorisierungsprozess der Börse Überweisungen aus kompromittierten Hot und Warm Wallets.

Die Erkenntnisse beschreiben einen Angriff auf die Systeme, die Auszahlungen unterstützen, und nicht ein Versagen der zugrunde liegenden Blockchains.

Fast drei Stunden lang Überweisungen über mehrere Netzwerke

SlowMist registrierte betrügerische Überweisungen zwischen 02:31 und 05:23 Uhr UTC+8, ein Zeitraum von knapp drei Stunden.

Die Operation betraf Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC und Base. Zu den gestohlenen Vermögenswerten gehörten ETH, XRP, BNB, AVAX, USDT, USDC und weitere Token.

Nachdem Bitget unbefugte Aktivitäten entdeckt hatte, setzte die Börse Auszahlungen aus. Letztlich meldete sie Verluste in Höhe von insgesamt 387,5 Millionen Dollar.

Die jüngste Offenlegung konzentriert sich jedoch darauf, wie die Angreifer in die Infrastruktur eindrangen und sich darin bewegten. Sie nennt weder die Sicherheitsanbieter noch veröffentlicht sie Details zu den ausgenutzten Schwachstellen.

Attribution des Bitget-Hacks bleibt Einschätzung der Börse

Chen hat den Angriff mutmaßlichen nordkoreanischen Hackern zugeschrieben und dabei auf IP-Verhalten und die Analyse von Blockchain-Transaktionen verwiesen.

Diese Attribution stellt jedoch die Einschätzung von Bitget dar. Die hier beschriebenen Untersuchungsdetails liefern keine unabhängige Bestätigung der Identität der Angreifer.

Diese Unterscheidung ist wichtig, da Beweise, die ein Eindringen erklären, nicht automatisch die dafür verantwortlichen Personen identifizieren.

Wiederherstellungsprogramm bietet fünf Prozent Belohnung

Bitget hat außerdem ein Bounty-Programm für Unterstützung bei der Wiederbeschaffung oder dem Einfrieren der gestohlenen Kryptowährung eingeführt.

Das Programm bietet eine Belohnung von 5 % für qualifizierte Hilfe. Gleichzeitig lassen die nicht genannten Sicherheitsprodukte und die nicht veröffentlichten Details zu den Schwachstellen Fragen zu einer möglichen Gefährdung über die Börse hinaus offen.

Die veröffentlichten Erkenntnisse zeigen einen Weg von kompromittierten Sicherheitsgeräten zu Wallet-Operationen auf, liefern jedoch noch keine vollständige öffentliche Darstellung.