SlowMist, Bitget hırsızlığının izini 31 Ağustos'taki sıfırıncı gün açığına çıkardı

Blokezincir güvenlik firması SlowMist, Bitget'in yaklaşık 388 milyon dolarlık kripto hırsızlığına giden saldırı zincirinin en erken izini 31 Ağustos'a kadar geri götürdü. Şirketin yayımladığı ara raporuna göre saldırgan, üçüncü taraf bir güvenlik ürününü etkileyen bir sıfırıncı gün açığını kullanarak sisteme ilk adımı attı; asıl hırsızlık ise 24 Eylül'de (UTC) borsanın sıcak cüzdanlarından gerçekleşti.

Saldırı zinciri haftalar öncesinden başladı

SlowMist'in ilerleme raporuna göre saldırgan, gizli bir betikle "Ürün A" olarak adlandırılan güvenlik ürününün veritabanına erişti; şifreyi bir ortam değişkeninden aldı. Benzer etkinlik 23 ve 25 Eylül'de iki başka düğümde de tespit edildi. Raporun tarih ve saatleri UTC+8 esasına göre veriliyor.

İlgili: Coldcard, X hesabındaki oltalama bağlantısını araştırıyor: Kullanıcılar uyarıldı

25 Eylül'de saldırgan, "Ürün B" olarak kodlanan ikinci bir güvenlik ürününün yönetim platformuna bir şirket çalışanınının kimliği üzerinden erişti. SlowMist, bu aşamada saldırganın sistem komutu enjekte etmeye, sunucu yapılandırmalarını değiştirmeye ve zararlı dosya yüklemeye çalıştığını bildirdi. Araştırmanın, saldırganın sistemler arasında nasıl hareket ettiğinin incelenmesiyle sürdüğü belirtildi.

Özel çekim aracı ve zincir üstü kanıtlar

Ekip, cüzdan sisteminin çekim sürecini manipüle etmek için kullanılan, yüksek düzeyde özelleştirilmiş ve silinmiş bir aracı kurtardı. Araç, risk kontrol parametrelerini sahte biçimde oluşturuyor ve çekim talepleri üretiyordu. Saldırgan ayrıca cüzdan veritabanındaki çekim kayıtlarını doğrudan değiştirmeye ve ek Bitcoin çekimleri tetiklemeye çalıştı; iki sahte BTC çekim emri işlemeye girdi ancak hata döndü.

Zincir üstü doğrulamaya göre bugüne kadar teyit edilen en erken transfer, 25 Eylül'de UTC+8 ile saat 02.31'de saldırgan kontrollü bir adrese giden 93 TRX oldu; 11 saniye sonra Ethereum ağında 0.84 ETH transferi izledi. Kayıtlı transferler, aynı gün 05.23'e kadar yaklaşık iki saat 52 dakikalık bir aralıkta birden çok blokezincire yayıldı.

Bitget ne diyor?

Bitget, 25 Eylül'deki güncellemesinde yaklaşık 387,5 milyon doların saldırgan kontrolündeki adreslere birden çok ağ üzerinden aktarıldığını duyurmuştu. CEO Gracy Chen, açığın üçüncü taraf bir güvenlik ürünündeki zafiyetten kaynaklandığını ve saldırganın "yüksek seviyeli dahili kimlik bilgileri" elde ederek sahte çekim komutları ürettiğini söyledi; özel anahtarların ve soğuk cüzdanların etkilenmediğini ifade etti.

Kaybın geri kazanımı konusunda Chen, Bybit'in 2025 saldırısından sonrasındaki sınırlı geri kazanımı referans göstererek tam iadenin gerçekleşmesi konusunda "çok iyimser olmadığını" belirtti. Borsa, varlıkları geri almak için çalışmalarını sürdürüyor.