شركة Slow Mist تصدر تقريرًا مرحليًا حول حادثة Bitget، حيث يمكن تتبع الأنشطة الضارة إلى 31 أغسطس

في 30 سبتمبر، نشر المؤسس يوسيان لشركة Slow Mist تقريرًا مرحليًا حول حادثة Bitget على وسائل التواصل الاجتماعي.

ذكر التقرير أن المهاجمين قد قاموا باختراق منتجين أمان تابعين لجهات خارجية ومحطة أعمال المحفظة، وبدؤوا في نقل الأصول عبر سلسلة باستخدام أدوات سحب مخصصة للغاية. وأشار إلى أن التحقيق، الذي لا يزال جاريًا حتى 29 سبتمبر، لم يؤكد بعد كيفية تنفيذ المهاجمين للاختراقات المحددة عبر أنظمة متعددة.

أظهر التحقيق أن أول نشاط ضار يمكن تتبعه إلى 31 أغسطس. في ذلك الوقت، كان هناك ثغرة صفرية في خادم عقدة لأحد منتجات الأمان التابعة لجهة خارجية A، حيث قام المهاجمون بتشغيل سكربت مخفي تحت عملية الخدمة، محاولين قراءة كلمات مرور قاعدة البيانات والمتغيرات البيئية والاتصال بقاعدة البيانات. في 23 و25 سبتمبر، ظهرت أنشطة مشابهة لسكربتات مخفية على عقدتين أخريين، مما يعني أن بيئة الخدمة ذات الصلة قد تكون تعرضت للاختراق قبل تحويل الأصول.

في الساعات الأولى من 25 سبتمبر، يُشتبه في أن المهاجمين قد انتحلوا حساب موظف داخلي للدخول إلى منصة إدارة المنتج الأمني B، وبدؤوا في 00:07 بتكرار دمج أوامر النظام في معلمات المهام، محاولين كتابة ملفات ضارة. بعد ذلك، قام المهاجمون بتقديم الشيفرة عبر مدخل التنفيذ على الويب للمنصة، في محاولة لتعديل تكوين الخادم، وكتابة ملفات الترحيل، وتحميل وتجميع البرامج الضارة على دفعات.

تم استرداد مجموعة من الأدوات المخصصة التي تم تطويرها لاستهداف منطق سحب المحفظة من الملفات التي حذفها المهاجمون. ستقوم هذه الأداة بتزوير معلمات السحب، وبناء طلبات السحب، واستدعاء عملية السحب. تظهر سجلات الخادم أن البرنامج الضار ذي الصلة بدأ العمل في 25 سبتمبر في الساعة 01:49.

تظهر السجلات على السلسلة أن أول عملية تحويل تم التحقق منها حدثت في 25 سبتمبر في الساعة 02:31، حيث استلم عنوان المهاجم 93 عملة TRX، وبعد 11 ثانية استلم 0.84 عملة ETH؛ واستمرت التحويلات ذات الصلة حتى الساعة 05:23 من نفس اليوم، واستغرقت حوالي ساعتين و52 دقيقة، وشملت عدة شبكات بلوكتشين. بعد بدء تدفق الأموال، حاول المهاجمون أيضًا تعديل سجلات السحب في قاعدة بيانات المحفظة مباشرة، واستدعاء مهام السحب المحلية؛ وترك السجل سجلين لطلبات BTC مزورة تعرضت لخطأ بعد معالجة الأعمال، وقد حدثت المحاولات ذات الصلة بعد الساعة 05:22.

تشير هذه الإفصاحات إلى أن مسار الهجوم قد يغطي خدمات الأمان التابعة لجهات خارجية، ومنصات الإدارة، ومحطات المحافظ، وعمليات سحب الأموال. لم يتم الكشف عن هوية المهاجمين، كما لم يتم توضيح نطاق الخسائر النهائية ونطاق الأنظمة المتأثرة.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.