Slow Mist опубликовала промежуточный отчет по инциденту с Bitget, первые злонамеренные действия можно проследить с 31 августа

30 сентября основатель Slow Mist Юй Сян опубликовал промежуточный отчет по инциденту с Bitget в социальных сетях.

В отчете говорится, что злоумышленники, вероятно, сначала взломали два сторонних продукта безопасности и серверы кошельков, а затем инициировали межсетевые переводы активов с помощью высоко настроенных инструментов для вывода средств. Указано, что расследование, завершившееся 29 сентября, все еще продолжается, и как злоумышленники смогли осуществить конкретное проникновение между несколькими системами, еще предстоит подтвердить.

Расследование показало, что первые злонамеренные действия можно проследить с 31 августа. В то время на одном из узлов сервера стороннего продукта безопасности A существовала уязвимость нулевого дня, злоумышленники запускали скрытые скрипты в процессе обслуживания, пытаясь получить доступ к паролям баз данных, переменным окружения и подключиться к базе данных. 23 и 25 сентября на двух других узлах также были зафиксированы аналогичные действия скрытых скриптов, что означает, что соответствующая среда обслуживания могла быть скомпрометирована до вывода активов.

25 сентября в 01:00 злоумышленники, предположительно, использовали учетную запись внутреннего сотрудника для входа в управляющую платформу продукта безопасности B и с 00:07 многократно вставляли системные команды в параметры задач, пытаясь записать вредоносные файлы. Затем злоумышленники также отправили код через веб-вход платформы, пытаясь изменить конфигурацию сервера, записать файлы для связи и поэтапно загрузить и собрать вредоносные программы.

Указано, что из файлов, удаленных злоумышленниками, была восстановлена набор инструментов, разработанных для логики вывода средств кошелька. Этот инструмент подделывал параметры вывода, формировал запросы на вывод и вызывал процесс вывода средств. Логи хостинга показывают, что соответствующая вредоносная программа начала работать 25 сентября в 01:49.

Записи в блокчейне показывают, что первая подтвержденная транзакция произошла 25 сентября в 02:31, адрес злоумышленника сначала получил 93 TRX, а через 11 секунд — 0.84 ETH; соответствующие переводы продолжались до 05:23 того же дня, продолжительность составила около 2 часов 52 минуты и затронули несколько блокчейн-сетей. После начала оттока средств злоумышленники также пытались напрямую изменить записи о выводе средств в базе данных кошелька и вызвать локальные задачи на вывод; в логах остались записи о двух поддельных заказах BTC, которые выдали ошибку после обработки, соответствующие попытки произошли после 05:22.

Эти раскрытия показывают, что путь атаки может охватывать сторонние службы безопасности, управляющие платформы, хосты кошельков и процессы вывода средств. Личность злоумышленников еще не раскрыта, и не указаны окончательные масштабы убытков и затронутые системы.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.