Bitget, 290 milyon dolarlık hareketten yaklaşık 30 dakika önce transferleri tespit ettiğini söylüyor

Bitget, sistemlerinin 24 Eylül'de 18.31 UTC'de, saldırganların büyük çaplı çıkışlara başlamasından yaklaşık 30 dakika önce yetkisiz cüzdan transferlerini işaretlediğini söyledi. Bitget, güvenlik ekibinin acil durum protokollerini hemen devreye aldığını belirtti. Hypernative'in yeniden kurgulamasına göre, 19.01'de sıcak cüzdanlardan 87,6 milyon dolar çıktı. Buna göre, 19.16'da ılık cüzdanlardan 202,8 milyon dolar daha çıktı. İki transfer dalgası toplam 24 saniye sürdü. Bu dalgalar, Bitget'in nihayetinde saldırganların kontrolündeki adreslere aktarıldığını söylediği 387,5 milyon doların yaklaşık dörtte üçünü oluşturdu. İşlem sıralaması, Bitget'in uyarıdan sonra ilk büyük dalgayı önlemek için yaklaşık yarım saati olduğunu düşündürdü. Ayrıca en büyük transfer dalgasından önce yaklaşık 45 dakikası olduğuna işaret etti. Hypernative, saldırganın 18.31'de yeni adreslere 0,84 ETH ve 93 TRX göndererek ele geçirilen aktarım yolunu test ettiğini söyledi. Hypernative'e göre saldırgan, 18.58'de 34,75 milyon dolar değerinde USDT aktarmadan önce yaklaşık 28 dakika bekledi. Ardından saldırgan, birden fazla blokzincirdeki boşaltma işlemlerini hızlandırdı. Bitget, soruşturmasında saldırganın cüzdan altyapısındaki bir arka uç sistemini ele geçirdiğinin tespit edildiğini söyledi. Bitget, saldırganın çekim verilerini taklit ettiğini ve borsanın yetkilendirme sürecini kandırarak transferleri onaylattığını belirtti. Özel anahtarların ele geçirilmediğini söyledi. Hypernative, işlemlerin Bitget'in kendi cüzdanları tarafından imzalandığını belirtti. İşlemler, Bitget'in altyapısından geçebilecek kadar olağan müşteri çekimlerine benziyordu. Hypernative, imzalanan her transferin bağımsız olarak saklanan bir müşteri çekim kaydıyla veya onaylanmış bir hazine işlemiyle eşleşmesini zorunlu kılacak bir kontrolün, ele geçirilmiş bir arka uç hizmetinin kendi yetkilendirmesini oluşturmasını önleyebileceğini söyledi. Hypernative, saldırganın isteklerinde olağandışı işlem parametreleri tespit etti. İsteklerde, Bitget'in normal çekim sürecindekilerden farklı gaz limitleri bulunduğunu belirtti. Önerilen işlemleri Bitget'in normalde oluşturduğu parametrelerle karşılaştırmanın, daha büyük çekimler başlamadan önce 18.31'deki test işlemini işaretleyebileceğini söyledi. Hypernative, 19.16'da ılık cüzdanlardan beş ağ üzerinden dokuz saniye içinde 202,8 milyon dolar aktarıldığını söyledi. Kısa zaman aralıklarında farklı cüzdan kademeleri için transfer limitlerinin uygulanması, bu dalganın büyük bölümünü geciktirebilir veya engelleyebilirdi. İkincil onay şartları da dalganın büyük bölümünü geciktirebilir veya engelleyebilirdi. Hypernative, anormal transfer uyarılarının manuel müdahaleye dayanmak yerine etkilenen imzalayıcıyı otomatik olarak askıya alabileceğini söyledi. Saldırganla bağlantılı transferler, Bitget'in açıkladığı tespit saatinden neredeyse üç saat sonra, 21.23 UTC'ye kadar sürdü. Bitget, o zamandan beri güvenlik açığını giderdiğini söyledi. Kontrol altına alınmasının ardından başka yetkisiz transfer gerçekleşmediğini belirtti. Mandiant ve SlowMist, adli incelemeye katılmayı sürdürüyor. Yanıt bekleyen sorular, Bitget'in güvenlik sistemlerinin 18.31'deki uyarıyla ne yaptığı ve ele geçirilen imzalama yolunun iki büyük dalgada yaklaşık 290 milyon doların çıkmasına yetecek kadar uzun süre neden etkin kaldığı.