Bitget: Напаѓач искористил пропуст во безбедносен производ од трета страна за кражба на 388 милиони долари

Напаѓачот кој украл околу 388 милиони долари од берзата за криптовалути Bitget добил пристап преку ранливост во безбедносен производ од трета страна што го користела берзата, соопшти Bitget во понеделникот.

Напаѓачот ја искористил ранливоста за да добие пристап до интерни акредитиви со високо ниво на привилегии, а потоа, на 24 септември, ги искористил за да испрати лажни наредби за повлекување средства до системот за паричници на Bitget.

Берзите ги чуваат повеќето средства на клиентите во офлајн „ладни“ паричници (cold wallets), а „жешките“ и „топлите“ паричници (hot и warm wallets) се користат за обработка на повлекувања. Трансферите од овие паричници сепак мора да бидат одобрени пред да бидат потпишани. Украдените средства потекнувале од дел од hot и warm паричниците на Bitget, додека cold паричниците не биле засегнати.

Bitget минатата недела соопшти дека критичен backend систем во нејзината инфраструктура за паричници бил компромитиран и бил искористен за фалсификување на податоци за трансакциите и активирање на процесот на одобрување. Тогаш компанијата не соопшти како напаѓачот добил пристап.

Извршната директорка на Bitget, Gracy Chen, го опиша нападот во понеделникот за време на livestream, во интервју за The Block, како и во изјави за Cointelegraph. Ранливоста му овозможила на напаѓачот пристап до интерен систем за управување. Оттаму, напаѓачот внел лажни наредби за повлекување во backend сервисите поврзани со паричниците, каде што тие биле третирани како легитимни.

На 24 септември, напаѓачот прво направил два мали тест-трансфери во 18:31 часот UTC. Тие останале под прагот на системот за контрола на ризикот на Bitget и не предизвикале никакво предупредување.

Поголемите трансфери започнале околу 30 минути подоцна, а системот за паричници на Bitget ги извршил, заобиколувајќи ги контролите за ризик.

„Во текот на нападот, тие користеа легитимни акредитиви. Ја прикриваа својата активност како рутински административни операции, додека ги отстрануваа трагите од своите активности“, изјави Chen, според извештајот на U.Today.

Според Bitget, не биле компромитирани приватни клучеви. Компанијата наведува дека ова е заклучок врз основа на досегашната истрага.

Chen не го именувала производот во своите изјави во понеделникот. Според The Block, таа ја опишала ранливоста како zero-day, термин кој се користи за ранливост што напаѓачите ја искористуваат пред производителот да има достапна исправка.

Bitget го известила производителот, ги изолирала засегнатите системи, ги отповикала и повторно ги издала интерните акредитиви и ја исклучила засегнатата функционалност додека се работи на отстранување на ранливоста, објави Crypto Briefing. Bitget не соопшти дали производителот веќе објавил исправка.

Овој опис на нападот доаѓа од Bitget. Безбедносните компании Mandiant и SlowMist ја поддржуваат истрагата, а Bitget очекува оваа недела да објави официјален извештај за инцидентот.

Bitget оттогаш го ограничи интерниот пристап, воведе независни проверки на повлекувањата и го зголеми надзорот за невообичаена активност. Компанијата планира да го преиспита начинот на кој ги проценува и имплементира безбедносните производи од трети страни.

Салдата на корисничките сметки не биле засегнати, соопштува берзата. Загубата ќе биде покриена од нејзиниот Protection Fund, резервен фонд наменет за безбедносни инциденти од ваков тип.

Повлекувањата на Bitcoin повторно биле овозможени во понеделникот, а останатите средства треба да следуваат постепено до 2 октомври. Корисниците не треба да преземаат никакви активности.

Bitget, која минатата недела посочи на севернокорејски хакери, и понатаму се сомнева дека станува збор за „истата група луѓе“, изјавила Chen за The Block. Таа одбила да го именува групата сè додека не биде објавен извештајот за инцидентот.

TRM Labs, компанија за blockchain аналитика, минатата недела соопшти дека пронашла преклопувања меѓу украдените средства и паричници користени за перење средства од претходни севернокорејски кражби. Овие преклопувања упатувале кон севернокорејската група TraderTraitor, но TRM не направила конечна атрибуција.

Bitget ги објави главните адреси на кои биле префрлени украдените средства, заедно со dashboard за следење во живо. Компанијата ги повика берзите, издавачите на stablecoin-и, bridge сервисите, custodians и другите инфраструктурни провајдери да ги следат овие адреси и да ги пријават своите наоди преку нејзиниот портал за враќање на средствата.

Адресите што Bitget ги објави на 25 септември се:

• Ethereum и EVM мрежи: 0x770b10b273fc44fe9197d6bf20f145c2e98463ee
• XRP: rwNhefsz1UQEusxhCvHip3RANinWi4CTck
• Zcash: t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG
• TRON: TBWNguTTgezw9dVorX441C6nDrZpRxYwKD

TRM Labs минатата недела ги советувала берзите да ги проверуваат дојдовните депозити во однос на адресите на напаѓачите што ги идентификувала, како и средствата кои потекнуваат од тие адреси преку неколку посреднички паричници, наместо да се проверуваат само директните трансфери.

Украдените средства се префрлале преку bridge сервиси и cross-chain swap сервиси, поради што било поверојатно депозитите да пристигнат индиректно.

Извори:

• The Hacker News – Bitget Says Attacker Exploited Third-Party Security Product Flaw to Steal $388M The Hacker News