SlowMist связала кражу 388 млн долларов у Bitget с эксплуатацией сторонней уязвимости нулевого дня

SlowMist проследила самые ранние зарегистрированные вредоносные действия, связанные с кражей 388 млн долларов у Bitget, до 31 августа: тогда злоумышленник воспользовался уязвимостью нулевого дня в стороннем продукте безопасности. 24 сентября по UTC злоумышленники похитили средства с горячих кошельков Bitget и перевели активы на подконтрольные им адреса в нескольких блокчейнах. Расследование SlowMist выявило вредоносную активность, связанную с двумя сторонними продуктами безопасности и хостом приложения кошелька. По данным SlowMist, злоумышленник использовал скрытый скрипт для доступа к базе данных «Product A», предварительно получив пароль из переменной среды. Позднее SlowMist обнаружила аналогичную активность на двух других узлах — 23 и 25 сентября. SlowMist сообщила, что 25 сентября злоумышленник получил доступ к платформе управления «Product B», воспользовавшись учетной записью внутреннего сотрудника. Затем, по данным SlowMist, он попытался внедрить системные команды, изменить конфигурации серверов и загрузить вредоносные программные файлы. SlowMist восстановила удаленный, сильно модифицированный инструмент, использовавшийся для управления процессом вывода средств из системы кошелька. Инструмент подделывал параметры контроля рисков, формировал запросы на вывод и запускал процедуру вывода средств. Проверка ончейн-данных, проведенная SlowMist, установила, что самый ранний на данный момент подтвержденный перевод состоялся 25 сентября в 2:31 по UTC+8: подконтрольный злоумышленнику адрес получил 93 TRX. Через 11 секунд адрес получил 0,84 эфира в сети Ethereum. Собранные записи о переводах охватывали около 2 часов 52 минут в нескольких блокчейнах и завершались в 5:23 по UTC+8 того же дня. Злоумышленник также пытался напрямую изменить записи о выводах в базе данных кошелька и инициировать дополнительные выводы Bitcoin. По данным SlowMist, две поддельные заявки на вывод BTC поступили в обработку, но завершились ошибками. Затем злоумышленник изучал журналы, проверял статус заявок и предпринимал новые попытки. В обновлении от 25 сентября Bitget сообщила, что около 387,5 млн долларов были переведены на подконтрольные злоумышленнику адреса в нескольких сетях. Генеральный директор Bitget Грейси Чэнь заявила, что уязвимость в стороннем продукте безопасности позволила злоумышленнику получить внутренние учетные данные высокого уровня и отдавать мошеннические команды на вывод средств. По словам Чэнь, приватные ключи и холодные кошельки Bitget не были скомпрометированы. SlowMist сообщила, что расследование продолжается, в том числе выясняется, как злоумышленник перемещался между затронутыми системами. Bitget всё еще пытается вернуть похищенные активы. Чэнь сказала, что не слишком оптимистично настроена в отношении полного возврата примерно 388 млн долларов, сославшись на ограниченный объем средств, возвращенных после взлома Bybit в 2025 году.