Oś czasu włamania na Bitget: jak własny system zatwierdził kradzież 387 mln USD

Bitget potwierdził, iż atakujący ukradli 387,5 mln USD z jego portfeli giełdowych 24 września. Wypłaty przez cały czas pozostają zawieszone, a firma twierdzi, iż jej fundusz ochronny pokryje stratę.

Mandiant i SlowMist prowadzą śledztwo. CEO Gracy Chen podejrzewa udział Korei Północnej, choć początkowy punkt wejścia pozostaje nieujawniony.

Zatem jak doszło do tego włamania? BeInCrypto przygotowało oś czasu w podstawie publicznych informacji.

24 września, 18:31 UTC: Bitget wykrywa nieautoryzowane transfery

Bitget podaje, iż jego systemy bezpieczeństwa wykryły transfery o 18:31 UTC i w ciągu kilku minut uruchomiły procedury awaryjne.

Naruszenie dotyczyło części gorących i ciepłych portfeli obsługujących operacje giełdy. Firma zapewnia, iż portfele zimne, offline, pozostały bezpieczne. Chwila wykrycia nie oznacza jeszcze, kiedy atakujący uzyskali dostęp.

19:57–21:06 UTC: Nietypowe transakcje wzbudzają alarm

O godzinie 19:57 analityk DCF GOD zauważył, iż nowy portfel wydał 19,67 mln USD w USDT0 na zakup 7111 ETH w sześć minut. Podobno płacił choćby do 5% powyżej ceny rynkowej.

Zachowanie sugerowało, iż ktoś priorytetowo przenosił środki bardzo szybko. Motyw przez cały czas pozostawał niejasny.

Do 21:06 Bubblemaps poinformował o przepływie około 180 mln USD z portfeli Bitget na wspólny adres odbiorczy, a następnie podziale środków na kilka portfeli.

21:30 UTC: Chen potwierdza włamanie

Komunikat bezpieczeństwa Chen określił początkową stratę na 351,6 mln USD i potwierdził wstrzymanie wypłat.

Informacja pojawiła się prawie trzy godziny po deklarowanym czasie wykrycia Bitget. Ta luka rodzi pytania o reakcję, ale nie oznacza, iż środki opuszczały giełdę w tym czasie.

25 września, 00:43 UTC: Pojawia się podejrzewana metoda ataku

Chen stwierdziła, iż atakujący przejęli krytyczny system zaplecza — oprogramowanie zarządzające portfelami w tle.

Przekazali fałszywe dane transakcyjne i uruchomili proces autoryzacji Bitget. W uproszczeniu: system sam zatwierdził fałszywe transfery.

Chen zadeklarowała, iż nie doszło do kradzieży klucza prywatnego. przez cały czas trzeba wyjaśnić publicznie, jak atakujący dostali się do zaplecza i które zabezpieczenia zawiodły.

14:03 UTC: Strata sięga 387,5 mln USD

Bitget skorygował szacunkową stratę po uwzględnieniu zasobów Zcash oraz TRON. Firma twierdzi, iż wzrost wynika z pełniejszego ujęcia pierwotnej kradzieży.

Firma informuje, iż luka została naprawiona. Zapowiada ogłoszenie planu wypłat do 26 września, godz. 04:00 UTC, nie zobowiązując się jednak do wznowienia wypłat w tym terminie.

Dlaczego śledczy podejrzewają udział Korei Północnej

Chen wskazała, iż zachowanie IP i aktywność w blockchain przypominają działania północnokoreańskich grup. Wiele cech jest podobnych do kradzieży z Bybit w lutym 2025 roku, którą FBI przypisało Korei Północnej.

• Manipulowanie zatwierdzeniami: Bitget opisuje fałszywe instrukcje przekazane do systemu autoryzacji. W Bybit skompromitowany interfejs nakłonił sygnatariuszy do zatwierdzenia złośliwej transakcji. Mechanizmy są inne, ale oba przypadki wykorzystały proces zatwierdzania.
• Szybka konwersja aktywów: Środki powiązane z Bitget gwałtownie kupowały ETH. FBI udokumentowało szybką konwersję skradzionych aktywów z Bybit na inne kryptowaluty.
• Podział środków na wiele portfeli: Bubblemaps wskazał kilka portfeli odbiorczych. Według FBI środki z Bybit trafiły na tysiące adresów.
• Wykorzystanie THORChain: MistTrack zgłosił transfer środków Bitget do tego protokołu i zidentyfikował wcześniejsze użycie do przenoszenia środków z Bybit.

Te podobieństwa uzasadniają dalsze dochodzenie. Nie pozwalają jednak samodzielnie wskazać sprawców kradzieży z Bitget.

BeInCrypto Polska - Oś czasu włamania na Bitget: jak własny system zatwierdził kradzież 387 mln USD