Slow Mist Mengumumkan Laporan Investigasi Tahap Bitget, Aktivitas Jahat Pertama Dapat Dilacak Hingga 31 Agustus

Pada 30 September, pendiri Slow Mist, Yu Xian, merilis laporan investigasi tahap Bitget di media sosial.

Laporan tersebut menyatakan bahwa para penyerang diduga telah mengakses dua produk keamanan pihak ketiga dan server utama dompet, serta meluncurkan transfer aset lintas rantai melalui alat penarikan yang sangat disesuaikan. Investigasi yang berlangsung hingga 29 September masih terus dilakukan, dan cara penyerang menyelesaikan infiltrasi di berbagai sistem masih perlu dikonfirmasi lebih lanjut.

Investigasi menunjukkan bahwa aktivitas jahat pertama dapat dilacak hingga 31 Agustus. Pada saat itu, salah satu server node dari produk keamanan pihak ketiga A memiliki kerentanan zero-day, di mana penyerang menjalankan skrip tersembunyi di bawah proses layanan, mencoba membaca kata sandi basis data, variabel lingkungan, dan menghubungkan ke basis data. Pada 23 dan 25 September, dua node lainnya juga menunjukkan aktivitas skrip tersembunyi serupa, yang berarti bahwa lingkungan layanan terkait mungkin telah terinfeksi sebelum aset ditransfer.

Pada dini hari 25 September, penyerang diduga menyamar sebagai akun karyawan internal untuk masuk ke platform manajemen produk keamanan B, dan mulai dari 00:07 melakukan beberapa kali penyambungan perintah sistem dalam parameter tugas, mencoba menulis file jahat. Selanjutnya, penyerang juga mengirimkan kode melalui pintu masuk eksekusi Web platform, berusaha mengubah konfigurasi server, menulis file relay komunikasi, dan mengunggah serta merakit program jahat secara bertahap.

Dari file yang dihapus oleh penyerang, ditemukan satu set alat yang disesuaikan untuk logika penarikan dompet. Alat ini akan memalsukan parameter penarikan, membangun permintaan penarikan, dan memanggil proses penarikan. Log server menunjukkan bahwa program jahat terkait mulai berjalan pada 25 September pukul 01:49.

Catatan di blockchain menunjukkan bahwa transaksi pertama yang telah diverifikasi terjadi pada 25 September pukul 02:31, di mana alamat penyerang pertama kali menerima 93 TRX, dan 11 detik kemudian menerima 0,84 ETH; transfer terkait berlanjut hingga pukul 05:23 pada hari yang sama, berlangsung sekitar 2 jam 52 menit, melibatkan beberapa jaringan blockchain. Setelah dana mulai mengalir keluar, penyerang juga mencoba untuk langsung mengubah catatan penarikan di basis data dompet, dan memanggil tugas penarikan lokal; log menyimpan dua catatan pesanan BTC palsu yang mengalami kesalahan setelah diproses, dengan upaya terkait terjadi setelah pukul 05:22.

Pengungkapan ini menunjukkan bahwa jalur serangan mungkin mencakup layanan keamanan pihak ketiga, platform manajemen, server dompet, dan proses bisnis penarikan. Identitas penyerang belum diumumkan, dan belum ada penjelasan mengenai skala kerugian akhir serta ruang lingkup sistem yang terpengaruh.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.