Bitget підтвердила, що 24 вересня з гаманців біржі викрали $387,5 млн. Виведення коштів досі призупинене, а компанія заявляє, що її страховий фонд покриє збитки.
Mandiant і SlowMist проводять розслідування. Генеральна директорка Gracy Chen підозрює причетність Північної Кореї, хоча початковий вектор проникнення досі не розголошено.
То як міг статися цей злам? BeInCrypto склала хронологію на основі загальнодоступної інформації.
24 вересня, 18:31 UTC: Bitget виявляє несанкціоновані перекази
Bitget повідомляє, що її системи безпеки виявили перекази о 18:31 UTC і за лічені хвилини активували процедури реагування на надзвичайні ситуації.
Злам торкнувся частини гарячих і теплих гаманців, які забезпечують роботу біржі. За словами компанії, її офлайн-холодні гаманці залишилися в безпеці. Час виявлення не дає змоги встановити, коли саме зловмисники вперше отримали доступ.
19:57–21:06 UTC: незвичні угоди б’ють на сполох
О 19:57 аналітик DCF GOD звернув увагу на новий гаманець, який за шість хвилин витратив $19,67 млн у USDT0 на купівлю 7 111 ETH. За повідомленнями, він платив на 5% вище за ринкову ціну.
Така поведінка свідчила про те, що хтось намагався якнайшвидше перемістити кошти. Мотиви залишалися незрозумілими.
До 21:06 Bubblemaps повідомила, що приблизно $180 млн перемістилися з гаманців Bitget на спільну адресу отримувача, а потім розподілилися між кількома гаманцями.
21:30 UTC: Чен підтверджує злам
У повідомленні Чена про інцидент початкові втрати оцінили в 351,6 млн доларів і підтвердили, що виведення коштів призупинено.
Повідомлення з’явилося майже через три години після зазначеного Bitget часу виявлення. Ця затримка викликає запитання щодо реагування компанії, але не доводить, що кошти продовжували виводити протягом усього цього часу.
25 вересня, 00:43 UTC: з’являється версія про спосіб атаки
Чен повідомив, що зловмисники скомпрометували критично важливу внутрішню систему — програмне забезпечення, яке керує операціями з гаманцями.
Вони підставили неправдиві дані транзакцій і запустили процес авторизації Bitget. Простіше кажучи, система самої біржі схвалила шахрайські перекази.
За словами Чена, крадіжку приватного ключа виключили. Як зловмисники проникли у внутрішню систему та які саме перевірки не спрацювали, ще належить детально пояснити публічно.
14:03 UTC: втрати сягають 387,5 млн доларів
Bitget переглянула оцінку після того, як врахувала постраждалі активи Zcash і TRON. Компанія заявила, що збільшення суми пов’язане з повнішим підрахунком початкової крадіжки.
Компанія заявляє, що вразливість усунуто. Вона пообіцяла оголосити план щодо виведення коштів до 26 вересня, 04:00 UTC, не зобов’язуючись відновити виведення коштів до цього часу.
Чому слідчі підозрюють причетність Північної Кореї
Чен послався на поведінку IP-адрес і активність у блокчейні, характерні для північнокорейських угруповань. Деякі ознаки нагадують крадіжку з Bybit у лютому 2025 року, яку ФБР приписало Північній Кореї.
- Маніпуляції з підтвердженням транзакцій: Bitget повідомляє про надходження неправдивих інструкцій до її системи авторизації. У Bybit скомпрометований інтерфейс змусив підписантів схвалити шкідливу транзакцію. Механізми відрізнялися, але в обох випадках зловмисники скористалися процесом підтвердження.
- Швидка конвертація активів: Кошти, пов’язані з Bitget, швидко використали для купівлі ETH. ФБР задокументувало швидку конвертацію викрадених активів Bybit в інші криптовалюти.
- Розподіл коштів між гаманцями: Bubblemaps виявила кілька гаманців-одержувачів. За даними ФБР, викрадені кошти з Bybit розподілили між тисячами адрес.
- Використання THORChain: MistTrack повідомила, що кошти, пов’язані з Bitget, надходили до протоколу, і вказала на його попереднє використання для переміщення викрадених коштів Bybit.
Ці паралелі свідчать на користь подальшого розслідування. Самі по собі вони не дають змоги встановити особи зловмисників Bitget.
Джерело: BeInCrypto
