Криптоборсата Bitget разкри днес, че атакуващите, които откраднаха 387,5 милиона долара миналата седмица, са пробили системите ѝ, след като са се възползвали от уязвимост от тип нулев ден в продукти за сигурност на външен доставчик.

Според Bitget две независими разследвания на компанията за блокчейн сигурност SlowMist и звеното за киберзащита на Google Cloud – Mandiant, показват, че авторите на заплахата са получили достъп до портфейлната среда на Bitget след компрометиране на две устройства за сигурност чрез експлойти за нулевия ден.

След пробива атакуващите са инсталирали web shell-ове на едно от хакнатите устройства и зловреден код на сървъра за обработка на транзакции от производствените портфейли на криптоборсата, както и персонализиран инструмент за изтегляне на средства, използван за стартиране на кражбата на криптовалута след полунощ на 25 септември.

„Най-ранната злонамерена дейност, установена в наличните логове, датира от 31 август. Услуга, работеща на един от възлите на Продукт А, е била засегната от уязвимост от тип нулев ден. Атакуващият е изпълнил скрит скрипт под процеса на услугата, задействал е команда за прочитане на системната променлива, съдържаща паролата за базата данни, и се е свързал с базата данни. Подобна активност със скрит скрипт е наблюдавана на два други възела на 23 и 25 септември“, съобщиха от SlowMist.

„Форензик констатациите показват, че на 24 септември 2026 г. злонамерен субект е получил неоторизиран привилегирован достъп до устройствата за сигурност A и B на външния доставчик на Bitget. Киберпрестъпникът е внедрил web shell на устройството за сигурност B и е установил Command-and-Control (C2) връзка. Използвайки постоянния си достъп до устройството B, той се е придвижил странично (laterally) до сървъра за портфейлни задачи на Bitget и е внедрил зловредни пакети“, добавиха от Mandiant.

От SlowMist допълват, че най-ранният трансфер на открадната криптовалута е извършен на 25 септември в 02:31 ч. (UTC+8), а последният – в 05:23 ч., като атаката е продължила близо 3 часа в множество блокчейн мрежи.

Bitget преустанови всички тегления в четвъртък, след като откри множество неоторизирани трансфери от своите горещи и топли криптопортфейли и установи, че атакуващите са откраднали 387,5 милиона долара от тях.

Главният изпълнителен директор Грейси Чен отбеляза, че инцидентът е засегнал множество активи, включително ETH, XRP, BNB, AVAX, USDT, USDC и други токени, и е обхванал мрежите Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC и Base.

Чен също така обвини за атаката севернокорейски хакери, позовавайки се на модели на IP поведение и ончейн анализ като доказателство, и добави, че те са пробили критична бекенд система в портфейлната инфраструктура на Bitget, която по-късно е била използвана за фалшифициране на данни за транзакции, задействайки процеса на оторизация на борсата за прехвърляне на средства извън компрометираните горещи/топли портфейли.

Севернокорейските хакери стоят зад много други големи обири на криптовалути, включително хака срещу Bybit, при който откраднаха 1,5 милиарда долара от студения ETH портфейл на борсата.

След пробива Bitget стартира програма Recovery Bounty Program, която предлага възнаграждение от 5% на онези, които помогнат за възстановяването или замразяването на откраднатите при атаката средства.

Говорител на Bitget не беше открит веднага за коментар, когато от BleepingComputer се свързаха с тях по-рано днес за повече информация относно уязвимостта от тип нулев ден и компрометираните продукти за сигурност на външния доставчик.