Bitget povezao krađu 388 miliona dolara sa propustom dobavljača
Kripto-berza Bitget saopštila je da je napadač, koristeći ranjivost u bezbednosnom proizvodu treće strane, ukrao oko 388 miliona dolara iz dela njenih toplih i toplih-posrednih novčanika. Napad se dogodio 24. septembra, dok hladni novčanici nisu bili pogođeni, a berza navodi da stanja korisničkih računa nisu pretrpela posledice.
Pristup preko internog sistema upravljanja
Ranjivost je, prema opisu kompanije, napadaču omogućila pristup internom sistemu upravljanja i pribavljanje privilegovanih akreditiva. Zatim su u pozadinske servise povezane sa novčanicima ubačeni lažni nalozi za isplatu, koje je sistem tretirao kao legitimne.
Bitget navodi da su prve dve, male testne transakcije poslate 24. septembra u 18.31 UTC. One su ostale ispod praga za kontrolu rizika i nisu pokrenule upozorenje. Veći transferi počeli su približno 30 minuta kasnije, a sistem novčanika ih je izvršio uz zaobilaženje kontrola rizika.
Izvršna direktorka Gracy Chen opisala je propust kao zero-day ranjivost, odnosno propust iskorišćen pre nego što njegov proizvođač ima dostupnu ispravku. Kompanija za sada ne imenuje proizvod ni njegovog dobavljača, niti je objavila da li je zakrpa već izdata.
Odgovor na incident i kontinuitet usluge
Bitget kaže da privatni ključevi nisu kompromitovani, na osnovu dosadašnje istrage. Pogođeni sistemi su izolovani, interni akreditivi opozvani i ponovo izdati, a funkcionalnost vezana za ranjivost privremeno je isključena. Kompanija je dodatno ograničila interni pristup, uvela nezavisne provere isplata i pojačala nadzor neuobičajenih aktivnosti.
U istrazi učestvuju Mandiant i SlowMist, dok Bitget očekuje formalni izveštaj o incidentu tokom ove sedmice. Berza navodi da će gubitak pokriti njen Protection Fund. Isplate bitkoina ponovo su otvorene u ponedeljak, a ostala sredstva treba da budu dostupna postepeno do 2. oktobra.
Praćenje sredstava kroz više mreža
Bitget je objavio glavne adrese na koje su sredstva prebačena i zatražio od berzi, izdavalaca stabilnih kriptovaluta, mostova, kastodijana i drugih infrastrukturnih aktera da ih nadziru. TRM Labs je ukazao da provere ne treba ograničiti na direktne transfere, jer se sredstva kreću preko mostova i servisa za međulančane zamene, pa depoziti mogu stići posredno.
TRM Labs je pronašao preklapanja sa novčanicima korišćenim za pranje ranijih krađa povezanih sa Severnom Korejom i naveo grupu TraderTraitor, ali bez konačne atribucije. Bitget takođe sumnja na istu grupu, ali identitet napadača ne želi da potvrdi pre objavljivanja izveštaja.
Za poslovne sisteme ključna pouka je da privilegovani pristup dobavljačkog proizvoda ne sme sam po sebi biti dovoljan za izvršenje finansijski osetljivih radnji. Segmentacija pristupa, nezavisno odobravanje naloga i nadzor testnih transakcija ostaju neophodni čak i kada se koriste etablirana bezbednosna rešenja.