Хронология взлома Bitget: как её собственная система одобрила кражу 387 млн долларов
Bitget подтвердила, что 24 сентября злоумышленники похитили $387,5 млн из кошельков биржи. Вывод средств по-прежнему приостановлен, а компания заявляет, что фонд защиты покроет убытки.
Mandiant и SlowMist расследуют инцидент. Генеральный директор Грейси Чен подозревает причастность Северной Кореи, хотя первоначальный вектор проникновения пока не раскрыт.
Как же могла произойти эта атака? BeInCrypto составила хронологию на основе общедоступной информации.
24 сентября, 18:31 UTC: Bitget обнаруживает несанкционированные переводы
По словам Bitget, системы безопасности обнаружили переводы в 18:31 UTC и в течение нескольких минут запустили экстренные процедуры.
Взлом затронул часть горячих и тёплых кошельков, обеспечивающих работу биржи. По заявлению компании, её офлайн-кошельки для холодного хранения остались в безопасности. Время обнаружения не позволяет установить, когда злоумышленники впервые получили доступ.
19:57–21:06 UTC: необычные сделки бьют тревогу
В 19:57 аналитик DCF GOD сообщил о недавно созданном кошельке, который за шесть минут потратил $19,67 млн в USDT0 на покупку 7 111 ETH. По сообщениям, он платил на 5% выше рыночной цены.
Такое поведение указывало на то, что кто-то стремился как можно быстрее переместить средства. Мотивы оставались неясными.
К 21:06 Bubblemaps сообщила, что около $180 млн переместили из кошельков Bitget на общий адрес-получатель, после чего средства распределили по нескольким кошелькам.
21:30 UTC: Чэнь подтверждает взлом
В уведомлении о безопасности Чэнь оценил первоначальные потери в 351,6 млн долларов и подтвердил, что вывод средств приостановлен.
Уведомление появилось почти через три часа после указанного Bitget времени обнаружения. Эта задержка вызывает вопросы о действиях биржи, но не доказывает, что средства продолжали уходить на протяжении всего этого периода.
25 сентября, 00:43 UTC: появляется версия о способе атаки
Чэнь сообщил, что злоумышленники скомпрометировали критически важную внутреннюю систему — программное обеспечение, которое управляет операциями с кошельками в фоновом режиме.
Они подменили данные транзакций и запустили процесс авторизации Bitget. Проще говоря, собственная система биржи одобрила мошеннические переводы.
Чэнь сообщил, что кражу приватных ключей исключили. Как злоумышленники проникли во внутреннюю систему и какие проверки дали сбой — всё ещё требует подробного публичного объяснения.
14:03 UTC: потери достигают 387,5 млн долларов
Bitget пересмотрела оценку, включив в неё затронутые активы Zcash и TRON. Компания заявила, что увеличение суммы отражает более полный подсчёт первоначального ущерба от кражи.
Компания заявляет, что уязвимость устранена. Она пообещала объявить план возобновления вывода средств до 26 сентября, 04:00 UTC, не обещая, что к тому моменту выводы будут открыты.
Почему следователи подозревают причастность Северной Кореи
Чэнь сослался на особенности IP-адресов и активность в блокчейне, характерные для северокорейских группировок. Несколько признаков напоминают кражу с Bybit в феврале 2025 года, которую ФБР приписало Северной Корее.
- Подмена подтверждений: Bitget сообщает, что в систему авторизации поступили ложные инструкции. В случае с Bybit скомпрометированный интерфейс обманом заставил подписантов одобрить вредоносную транзакцию. Механизмы различались, но в обоих случаях злоумышленники использовали процесс подтверждения.
- Быстрая конвертация активов: Связанные с Bitget средства быстро обменяли на ETH. ФБР задокументировало быструю конвертацию украденных у Bybit активов в другие криптовалюты.
- Распределение средств по кошелькам: Bubblemaps выявила несколько кошельков-получателей. По данным ФБР, средства, похищенные у Bybit, распределили по тысячам адресов.
- Использование THORChain: MistTrack сообщила, что средства, связанные с Bitget, поступили в этот протокол, и отметила, что ранее его использовали для перевода украденных у Bybit средств.
Эти параллели дают основания для дальнейшего расследования. Сами по себе они не позволяют установить, кто атаковал Bitget.
Источник: BeInCrypto