Атакуващият, който открадна около 388 милиона долара от криптоборсата Bitget, е получил достъп чрез уязвимост в продукт за сигурност на трета страна, използван от борсата, съобщиха от Bitget в понеделник.

Киберпрестъпникът е експлоатирал уязвимостта, за да придобие вътрешни идентификационни данни от високо ниво, а след това, на 24 септември, ги е използвал, за да изпрати фалшиви команди за теглене към системата от портфейли на Bitget.

Борсите съхраняват по-голямата част от средствата на клиентите в офлайн студени портфейли (cold wallets) и използват горещи и топли портфейли за обработка на тегленията. Трансферите от тези портфейли все пак трябва да бъдат одобрени, преди да бъдат подписани. Откраднатите средства са дошли от част от горещите и топлите портфейли на Bitget, докато нейните студени портфейли не са били засегнати.

От Bitget заявиха миналата седмица, че критична бекенд система в нейната инфраструктура от портфейли е била компрометирана и използвана за подправяне на данни за транзакции и задействане на процеса по тяхното одобрение. Тогава компанията не разкри как атакуващият е осъществил пробива.

Главният изпълнителен директор на Bitget, Грейси Чен, описа атаката в понеделник по време на излъчване на живо, в интервю за The Block и в коментари за Cointelegraph. Уязвимостта е дала на киберпрестъпника достъп до вътрешна система за управление. Оттам атакуващият е инжектирал фалшиви команди за теглене в бекенд услугите, свързани с портфейлите, където те са били третирани като легитимни.

На 24 септември атакуващият първоначално е извършил два малки тестови трансфера в 18:31 UTC. Те са останали под прага на контрол на риска на Bitget и не са предизвикали тревога.

По-големите трансфери са започнали около 30 минути по-късно и системата за портфейли на Bitget ги е изпълнила, заобикаляйки контрола на риска.

„През цялото време те използваха легитимни идентификационни данни. Те маскираха дейността си като рутинни административни операции, докато премахваха следите от действията си“, заявява Чен според доклад на U.Today.

Никакви частни ключове не са били компрометирани според Bitget, като компанията твърди, че констатацията се базира на разследването до момента.

Чен не е назовала името на продукта в цитираните нейни коментари в понеделник. Според The Block тя е описала дефекта като уязвимост от тип нулев ден (zero-day) — термин за уязвимост, която атакуващите експлоатират, преди нейният производител да е издал корекция за сигурност.

Bitget е уведомила доставчика, изолирала е засегнатите системи, отменила е и е преиздала вътрешните идентификационни данни и е изключила засегнатата функционалност, докато уязвимостта се отстранява, съобщава Crypto Briefing. Bitget не разкрива дали доставчикът вече е пуснал корекция за сигурност.

Това описание на атаката идва от Bitget. Фирмите за киберсигурност Mandiant и SlowMist подпомагат разследването, като Bitget очаква да публикува официален доклад за инцидента тази седмица.

Оттогава Bitget е ограничила вътрешния достъп, добавила е независими проверки при тегления и е увеличила мониторинга за необичайна дейност. Компанията планира да преразгледа начина, по който оценява и внедрява продукти за сигурност на трети страни.

Балансите по сметките на клиентите не са засегнати, твърдят от борсата. Неговият Protection Fund — резерв, заделен за подобни инциденти със сигурността — ще покрие загубите.

Тегленията на Bitcoin бяха възстановени в понеделник, а останалите активи са планирани да последват поетапно до 2 октомври. Потребителите не е необходимо да предприемат никакви действия.

От Bitget, които миналата седмица посочиха севернокорейски хакери, все още подозират „същата група от хора“, каза Чен пред The Block. Тя отказа да назове групата, докато не бъде публикуван докладът за инцидента на компанията.

TRM Labs, фирма за анализ на блокчейн, заяви миналата седмица, че е открила съвпадения между откраднатите средства и портфейли, използвани за изпиране на предишни севернокорейски кражби. Тези съвпадения сочат към севернокорейската група TraderTraitor, но TRM все още не е направила категорично атрибутиране.

Bitget публикува основните адреси, които са получили откраднатите средства, заедно с табло за проследяване на живо. Тя поиска от борси, издатели на стабилни монети (stablecoins), мостове (bridges), попечители (custodians) и други доставчици на инфраструктура да наблюдават тези адреси и да съобщават за констатациите си чрез нейния портал за възстановяване.

Адресите, които Bitget посочи на 25 септември, бяха:

  • Ethereum and EVM networks: 0x770b10b273fc44fe9197d6bf20f145c2e98463ee
  • XRP: rwNhefsz1UQEusxhCvHip3RANinWi4CTck
  • Zcash: t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG
  • TRON: TBWNguTTgezw9dVorX441C6nDrZpRxYwKD

Миналата седмица TRM Labs посъветва борсите да проверяват входящите депозити спрямо адресите на атакуващия, които е маркирала, както и спрямо средства, произхождащи от тези адреси през няколко междинни портфейла, вместо само при директни трансфери.

Приходите са се придвижвали през мостове и услуги за междинна обмяна на криптовалути (cross-chain swap), така че е било по-вероятно депозитите да пристигат индиректно.