SlowMist, 388 milyon dolarlık Bitget hırsızlığını üçüncü taraf sıfır gün açığına bağladı

SlowMist, Bitget'ten 388 milyon dolarlık hırsızlıkla bağlantılı kayıtlara geçen en erken kötü amaçlı faaliyetin, bir saldırganın üçüncü taraf bir güvenlik ürünündeki sıfır gün açığından yararlandığı 31 Ağustos'ta gerçekleştiğini belirledi. Saldırganlar, 24 Eylül UTC'de Bitget'in sıcak cüzdanlarından fon çaldı ve varlıkları çeşitli blok zincirlerinde kontrol ettikleri adreslere aktardı. SlowMist'in soruşturmasında iki üçüncü taraf güvenlik ürünü ve bir cüzdan uygulaması sunucusuyla bağlantılı kötü amaçlı faaliyet tespit edildi. SlowMist, saldırganın bir ortam değişkeninden "Ürün A"nın parolasını aldıktan sonra gizli bir komut dosyası kullanarak ürünün veritabanına eriştiğini söyledi. SlowMist daha sonra 23 ve 25 Eylül'de iki başka düğümde benzer faaliyet tespit etti. SlowMist, saldırganın 25 Eylül'de bir iç çalışanının kimliğini kullanarak "Ürün B"nin yönetim platformuna eriştiğini belirtti. Saldırganın ardından sistem komutları enjekte etmeye, sunucu yapılandırmalarını değiştirmeye ve kötü amaçlı program dosyaları yüklemeye çalıştığını söyledi. SlowMist, cüzdan sisteminin para çekme sürecini manipüle etmek için kullanılan, silinmiş ve büyük ölçüde özelleştirilmiş bir aracı kurtardı. Araç, risk kontrol parametrelerini sahte biçimde oluşturuyor, para çekme talepleri hazırlıyor ve para çekme sürecini başlatıyordu. SlowMist'in zincir üstü doğrulamasında, bugüne kadar doğrulanan en erken transferin 25 Eylül'de UTC+8 saat dilimine göre 02.31'de gerçekleştiği ve saldırganın kontrolündeki bir adresin 93 TRX aldığı saptandı. Adres, 11 saniye sonra Ethereum ağında 0,84 Ether aldı. Derlenen transfer kayıtları, çeşitli blok zincirlerinde yaklaşık 2 saat 52 dakikaya yayıldı ve aynı gün UTC+8 saat dilimine göre 05.23'te sona erdi. Saldırgan ayrıca cüzdan veritabanındaki para çekme kayıtlarını doğrudan değiştirmeye ve ek Bitcoin çekimlerini tetiklemeye çalıştı. SlowMist, sahte iki BTC para çekme emrinin işleme alındığını ancak hata verdiğini söyledi. SlowMist'e göre saldırgan daha sonra günlük kayıtlarını inceledi, emirlerin durumunu kontrol etti ve başka girişimlerde bulundu. Bitget, 25 Eylül tarihli bir güncellemesinde yaklaşık 387,5 milyon doların çeşitli ağlarda saldırganın kontrolündeki adreslere aktarıldığını belirtti. Bitget CEO'su Gracy Chen, üçüncü taraf bir güvenlik ürünündeki açığın saldırganın yüksek düzeyli iç kimlik bilgilerini ele geçirmesine ve sahte para çekme talimatları vermesine olanak tanıdığını söyledi. Chen, Bitget'in özel anahtarlarının ve soğuk cüzdanlarının ele geçirilmediğini belirtti. SlowMist, saldırganın etkilenen sistemler arasında nasıl hareket ettiği de dahil olmak üzere soruşturmasının sürdüğünü söyledi. Bitget çalınan varlıkları kurtarmaya çalışmayı sürdürüyor. Chen, 2025'teki Bybit saldırısında kurtarılan miktarın sınırlı olmasını örnek göstererek, kaybedilen yaklaşık 388 milyon doların tamamının geri alınması konusunda pek iyimser olmadığını söyledi.