SlowMist collega l’attività dell’hack di Bitget a un exploit zero-day del 31 agosto

SlowMist ha fatto risalire al 31 agosto la prima attività malevola registrata collegata al furto di 388 milioni di dollari ai danni di Bitget, quando un aggressore ha sfruttato una vulnerabilità zero-day che interessava un prodotto di sicurezza di terze parti.

Gli aggressori hanno sottratto i fondi dagli hot wallet di Bitget il 24 settembre (UTC), trasferendo gli asset verso indirizzi sotto il loro controllo su diverse blockchain. L’indagine di SlowMist ha individuato attività malevole che coinvolgevano due prodotti di sicurezza di terze parti e l’host di un’applicazione wallet.

Secondo un rapporto sullo stato di avanzamento di SlowMist, l’aggressore ha usato uno script nascosto per accedere al database di quello che SlowMist ha definito “Prodotto A”, dopo aver recuperato la password da una variabile d’ambiente. Un’attività simile è stata successivamente rilevata su altri due nodi il 23 e il 25 settembre. Le date e gli orari nel rapporto sono in UTC+8.

Il 25 settembre, l’aggressore ha inoltre effettuato l’accesso alla piattaforma di gestione di un secondo prodotto di sicurezza, che SlowMist ha definito “Prodotto B”, usando l’identità di un dipendente interno. SlowMist ha affermato che l’aggressore ha quindi tentato di iniettare comandi di sistema, modificare le configurazioni del server e caricare file di programmi malevoli. 

SlowMist ha affermato che la sua indagine è ancora in corso e che sta tuttora esaminando come l’aggressore si sia spostato tra i sistemi interessati. 

L’aggressore ha usato uno strumento personalizzato per i prelievi

La società di sicurezza ha dichiarato di aver recuperato uno strumento eliminato e altamente personalizzato, usato per manipolare il processo di prelievo del sistema wallet. Lo strumento falsificava i parametri di controllo del rischio, costruiva richieste di prelievo e richiamava il processo di prelievo.

La verifica on-chain di SlowMist ha rilevato che il primo trasferimento verificato fino a quel momento risaliva alle 2:31 (UTC+8) del 25 settembre, quando un indirizzo controllato dall’aggressore ha ricevuto 93 TRX, seguito 11 secondi dopo da 0,84 Ether su Ethereum. I registri dei trasferimenti compilati coprivano circa due ore e 52 minuti su più blockchain, fino alle 5:23 di quel giorno.

L’aggressore ha inoltre tentato di modificare direttamente i registri dei prelievi nel database del wallet e di avviare ulteriori prelievi di Bitcoin. SlowMist ha dichiarato che due ordini di prelievo BTC contraffatti sono entrati in fase di elaborazione ma hanno restituito errori; dopodiché l’aggressore ha esaminato i log, verificato lo stato degli ordini e compiuto ulteriori tentativi.

Correlato: Il CEO di Bitget sospetta che dietro l’hack da 352 milioni di dollari ci sia la Corea del Nord, citando gli indizi degli IP

In un aggiornamento del 25 settembre, Bitget ha dichiarato che circa 387,5 milioni di dollari erano stati trasferiti verso indirizzi controllati dall’aggressore su diverse reti. 

La CEO di Bitget Gracy Chen ha in seguito dichiarato a Cointelegraph che la violazione derivava da una vulnerabilità in un prodotto di sicurezza di terze parti, che aveva permesso all’aggressore di ottenere “credenziali interne di alto livello” e impartire comandi di prelievo fraudolenti. Ha affermato che le chiavi private e i cold wallet di Bitget non erano stati compromessi.

Bitget sta ancora cercando di recuperare gli asset rubati. Parlando a Chain Reaction di Cointelegraph, Chen ha detto di essere «non molto ottimista» riguardo al recupero completo dei circa 388 milioni di dollari persi, indicando come termine di paragone il recupero limitato dall’attacco hacker del 2025 ai danni di Bybit.

Magazine: La stagione delle altcoin è in arrivo — e questa volta i trader sono più selettivi