Представители криптобиржи Bitget раскрыли новые детали недавней кибератаки, в результате которой злоумышленники похитили активы на сумму 387,5 млн долларов США. По данным компании, атакующие проникли во внутреннюю инфраструктуру биржи через 0-day-уязвимость в стороннем ИБ-продукте и получили учетные данные с высокими привилегиями.
Глава Bitget Грейси Чен (Gracy Chen) сообщила, что неназванная уязвимость открыла атакующим доступ к внутренней системе управления биржи. Уже оттуда хакеры отправляли поддельные команды на вывод средств в бэкенд-сервисы инфраструктуры кошельков, где эти запросы в итоге воспринимались как легитимные.
При этом название уязвимого продукта в Bitget не раскрыли. Также пока неизвестно, выпустили ли его разработчики исправление.
По словам Чен, атакующие использовали валидные учетные данные и маскировали активность под обычные административные операции, одновременно удаляя следы своих действий. В результате им удалось обойти защитные механизмы и вывести средства из части горячих и теплых кошельков Bitget. Холодные кошельки не пострадали, а приватные ключи, как подчеркивают в компании, скомпрометированы не были.
Также выяснилось, что атака началась 24 сентября в 18:31 UTC, когда злоумышленники провели две небольшие тестовые транзакции. Суммы оказались ниже порога срабатывания системы контроля рисков, поэтому транзакции не привлекли внимания. Примерно через полчаса начался основной вывод средств.
После обнаружения взлома специалисты Bitget изолировали затронутые системы, отозвали и перевыпустили внутренние учетные данные, а уязвимые функции отключили. Также в компании ужесточили правила внутреннего доступа, добавили независимые проверки для операций вывода и усилили мониторинг подозрительной активности.
Напомним, что первоначально ущерб оценивался в 351,6 млн долларов США, однако после дополнительного ончейн-анализа и классификации транзакций сумму увеличили до 387,5 млн долларов США. Атака затронула Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC, Base и другие сети, а среди похищенных хакерами активов были ETH, XRP, BNB, AVAX, USDT и USDC.
В настоящее время представители Bitget уже опубликовали основные адреса, на которые поступили похищенные средства:
- Ethereum и EVM-сети: 0x770b10b273fc44fe9197d6bf20f145c2e98463ee;
- XRP: rwNhefsz1UQEusxhCvHip3RANinWi4CTck;
- Zcash: t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG;
- TRON: TBWNguTTgezw9dVorX441C6nDrZpRxYwKD.
Также в компании запустили публичный дашборд для отслеживания движения украденных средств и попросили криптобиржи, эмитентов стейблкоинов, мосты, кастодиальные сервисы и других участников отрасли отслеживать адреса, связанные с этой атакой.
Ранее эту атаку уже связывали с северокорейскими хакерами, а теперь аналитики TRM Labs обнаружили новые пересечения между похищенными активами и кошельками, которые ранее использовались для отмывания средств после атак злоумышленников из КНДР. По мнению специалистов, следы указывают на группировку TraderTraitor, хотя окончательную атрибуцию пока установить не удалось.
Отдельно исследователи предупреждают, что проверять только прямые поступления с известных адресов злоумышленников недостаточно. Похищенные активы уже переводят через блокчейн-мосты и сервисы обмена между разными сетями, поэтому на биржи средства могут поступать не напрямую, а через цепочки промежуточных кошельков. Поэтому в TRM Labs рекомендуют отслеживать такие цепочки переводов тоже.
28 сентября 2026 года в Bitget сообщили, что возобновляют вывод средств. Вывод ETH в сетях Ethereum, BSC, Arbitrum, Base и Optimism планируется открыть 29 сентября, вывод USDT в Ethereum, BSC, Solana и Tron возобновится 30 сентября, а остальные токены, фиатные средства и P2P-операции должны стать доступны после 2 октября.
В компании утверждают, что во время атаки балансы пользователей не пострадали, и весь финансовый ущерб покроет защитный фонд (Protection Fund) биржи.
Кроме того, ранее в Bitget запустили программу вознаграждений за помощь в возврате похищенных активов. В компании обещают выплатить 5% от суммы средств, которые удастся заморозить или вернуть благодаря предоставленной информации или другим действиям участников расследования.
