暗号資産取引所Bitgetは、9月24日に最初に確認されたセキュリティインシデントを受けて、段階的な出金サービスの再開を開始しました。9月28日08:00 UTCにBitcoinおよびBSCネットワークでBTC出金が再開されています。公式声明の中で、Gracy Chen CEOはインシデントで約3億8,800万ドル相当の資産が流出したことを確認する一方、ユーザーのアカウント残高には影響がないと強調しました。

同取引所によると、攻撃者はBitgetのインフラに組み込まれたサードパーティ製セキュリティ製品の脆弱性を突いて、高権限の内部認証情報を取得しました。その認証情報を使ってウォレットシステムに対して不正な出金コマンドが発行され、既存のリスク管理を回避する異常な送金が発生したといいます。Bitgetは、秘密鍵は漏洩しておらず、コールドウォレットにも影響がないと発表しました。この区別、すなわち鍵そのものではなく認証情報とコマンド経路が侵害されたという点は、インシデントが取引所のオンラインウォレットインフラの一部に留まり、コールドストレージが攻撃者の手の届かない場所にあったことを理解する上で重要です。

この侵害は、Bitgetの8年間の運営において初めてとなる同種のセキュリティインシデントです。一部の資産を対象とする不正な送金は9月24日18:31 UTC頃に始まり、取引所のホットウォレットおよびウォームウォレットインフラの一部から複数のブロックチェーンにわたって移動しました。影響を受けたシステムは隔離され、脆弱性は修正され、封じ込め後は新たな不正送金は確認されていないと同社は述べています。Bitgetはその後、サードパーティ製品に対するより厳格な評価基準とデプロイ管理、強化された内部アクセス制御、出金の独立検証、異常ティビティ検知の改善により、出金インフラ全体の管理を強化しました。これらの施策は、サードパーティソフトウェアの監督から、攻撃者が悪用した内部認証情報と出金承認まで、同社が説明した攻撃チェーンの各段階に対応するものです。

3億8,800万ドルという数値は、インシデントに関連する取引の最新の照合および分類を反映したものであり、封じ込め後の追加損失を表すものではないと同社は説明しています。Bitgetは包括的な準備金証明（Proof of Reserves）比率127%を報告しており、専用のユーザー保護基金は現在4億6,400万ドルを超えています。これらの開示は、インシデントを通じて無事であったと報告されているユーザー残高を支える同社の体制を示すものです。

段階的な出金スケジュールと復旧の取り組み

現在のスケジュールでは、ETH出金は9月29日にEthereum、BSC、Arbitrum、Base、Optimismで再開されます。USDT出金は9月30日にEthereum、BSC、Solana、Tronで再開され、その他の対応トークン、法定通貨、P2Pサービスは10月2日に再開予定です。出金の利用可能状況はプラットフォーム上で直接確認できます。9月28日09:00 UTC時点で、同取引所は9,585人のユーザーから合計4,098.03574 BTCの出金を処理しており、運用は正常と報告されています。

調査面では、サイバーセキュリティ企業のMandiantとSlowMistが独立したフォレンジック調査を引き続き支援しており、攻撃ベクトルの検証、封じ込めおよび修復措置の妥当性確認、オンチェーントレースの支援を行っています。Bitgetはまた、法執行機関、取引所、ブロックチェーンプロジェクト、オンチェーンセキュリティ専門家と連携しています。影響を受けた一部の資産は業界全体の協力を通じてすでに凍結されており、同取引所は回収活動を支援するため、特定された攻撃者アドレスとトレースデータを公開しています。公式セキュリティ報告書は今週中に完成する見込みで、フォレンジック調査の結果を会社の公式説明として取りまとめることになります。

出金再開と並行して、Bitgetは期間限定の2つのプログラムを導入しました。Bitget Alliance Programは対象ユーザーがプラットフォーム上の取引活動で発生する手数料を分享できるもので、Project Stand Togetherは対象のプロフェッショナルクライアントおよびマーケットメイカーに一時的な手数料割引と拡張されたPROレベルの保護を提供するものです。

出典：Metaverse Post