Slow Mist опублікував проміжний звіт про інцидент Bitget, перші зловмисні дії можна відстежити до 31 серпня

30 вересня засновник Slow Mist Юй Сян опублікував проміжний звіт про інцидент Bitget у соціальних мережах.

У звіті йдеться, що зловмисники, ймовірно, спочатку зламали два сторонні безпекові продукти та сервери гаманців, а також запустили міжланцюгові переміщення активів за допомогою високоіндивідуалізованих інструментів для виведення коштів. Вказано, що розслідування, яке триває до 29 вересня, ще не завершено, і як зловмисники змогли здійснити конкретне проникнення між кількома системами, ще належить підтвердити.

Розслідування показало, що перші зловмисні дії можна відстежити до 31 серпня. Тоді на одному з вузлів сервера стороннього безпекового продукту A існувала нульова вразливість, зловмисники запустили прихований скрипт під час процесу обслуговування, намагаючись прочитати паролі бази даних, змінні середовища та підключитися до бази даних. 23 та 25 вересня на інших двох вузлах також було зафіксовано подібну активність прихованих скриптів, що означає, що відповідне середовище обслуговування, ймовірно, було зламане до виведення активів.

25 вересня вночі зловмисники, ймовірно, підробили обліковий запис внутрішнього співробітника для входу в платформу управління безпекового продукту B, і з 00:07 кілька разів у параметрах завдання вставляли системні команди, намагаючись записати шкідливі файли. Після цього зловмисники також намагалися подати код через веб-вхід платформи, намагаючись змінити конфігурацію сервера, записати файли комунікаційного реле та поетапно завантажити та зібрати шкідливу програму.

Зазначено, що з видалених зловмисниками файлів вдалося відновити набір індивідуалізованих інструментів, розроблених для логіки виведення гаманця. Цей інструмент підробляє параметри виведення, формує запити на виведення та викликає процес виведення. Журнал хосту показує, що відповідна шкідлива програма почала працювати 25 вересня о 01:49.

Записи в ланцюгу показують, що перший підтверджений вивід стався 25 вересня о 02:31, зловмисник спочатку отримав 93 TRX, а через 11 секунд отримав 0.84 ETH; відповідні переміщення тривали до 05:23 того ж дня, тривалість становила приблизно 2 години 52 хвилини, охоплюючи кілька блокчейн-мереж. Після початку відтоку коштів зловмисники також намагалися безпосередньо змінити записи виведення в базі даних гаманця та викликати місцеві завдання на виведення; у журналах залишилися записи про дві підроблені BTC-замовлення, які викликали помилку після обробки, відповідні спроби відбулися після 05:22.

Це розкриття вказує на те, що шлях атаки може охоплювати сторонні безпекові послуги, платформи управління, сервери гаманців та процеси виведення коштів. Особа зловмисника ще не розкрита, і не вказано остаточний масштаб збитків та обсяг постраждалих систем.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.