Giełda kryptowalut Bitget rozpoczęła etapowe przywracanie usług wypłat po incydencie bezpieczeństwa, który po raz pierwszy zidentyfikowano 24 września; wypłaty Bitcoinów zostały wznowione 28 września o 08:00 UTC w sieciach Bitcoin i BSC. W oficjalnym oświadczeniu CEO Gracy Chen potwierdziła, że podczas incydentu przetransferowano aktywa o wartości około 388 mln USD, podkreślając jednocześnie, że salda kont użytkowników pozostały nietknięte.

Według giełdy atakujący wykorzystał podatność w zewnętrznym produkcie bezpieczeństwa zintegrowanym z infrastrukturą Bitget, aby uzyskać wysokiego szczebla wewnętrzne poświadczenia. Poświadczenia te zostały następnie użyte do wystawienia fałszywych poleceń wypłat do systemu portfeli, generując nieprawidłowe transfery omijające istniejące kontrole ryzyka. Bitget oświadczył, że klucze prywatne nie zostały skompromitowane, a portfele zimne nie zostały objęte incydentem. Toróżnienie – kompromitacja poświadczeń i ścieżek poleceń, a nie materiału kluczy – jest kluczowe dla zrozumienia, dlaczego incydent pozostał ograniczony do części internetowej infrastruktury portfelowej giełdy, podczas gdy jej zimne przechowywanie pozostało poza zasięgiem atakującego.

Naruszenie stanowi pierwszy incydent bezpieczeństwa tego rodzaju w ośmioletniej historii działalności Bitget. Nieuprawnione transfery dotyczące niektórych aktywów rozpoczęły się około 18:31 UTC 24 września, przemieszczając się przez wiele blockchainów z części infrastruktury portfeli gorących i ciepłych giełdy. Dotknięte systemy zostały odizolowane, podatność usunięto, a firma oświadczyła, że po opanowaniu sytuacji nie zidentyfikowano dalszych nieuprawnionych transferów. Bitget od tego czasu wzmocnił swoją infrastrukturę wypłat poprzez bardziej rygorystyczne kryteria oceny i kontrole wdrażania dla produktów stron trzecich, silniejsze wewnętrzne kontrole dostępu, niezależną weryfikację wypłat oraz ulepszone wykrywanie nietypowej aktywności – środki odpowiadające każdemu etapowi opisanego przez firmę łańcucha ataku, od nadzoru nad oprogramowaniem stron trzecich po wewnętrzne poświadczenia i zatwierdzenia wypłat, które atakujący wykorzystali.

Według firmy kwota 388 mln USD odzwierciedla najnowsze uzgodnienie i klasyfikację transakcji związanych z incydentem i nie reprezentuje dodatkowych strat po opanowaniu sytuacji. Bitget zgłasza wskaźnik kompleksowego Proof of Reserves wynoszący 127%, a jego dedykowany Fundusz Ochrony Użytkowników obecnie przekracza 464 mln USD – ujawnienia, przez które giełda sygnalizuje swoją zdolność do zagwarantowania sald użytkowników, które – jak donosi – pozostały nienaruszone przez cały czas trwania incydentu.

Etapowy harmonogram wypłat i działania naprawcze

Zgodnie z obecnym harmonogramem wypłaty ETH zost wznowione 29 września w sieciach Ethereum, BSC, Arbitrum, Base i Optimism. Wypłaty USDT nastąpią 30 września w sieciach Ethereum, BSC, Solana i Tron, a pozostałe obsługiwane tokeny, waluty fiducjarne oraz usługi P2P mają zostać ponownie uruchomione 2 października. Dostępność wypłat jest odzwierciedlana bezpośrednio na platformie. Na dzień 28 września o 09:00 UTC giełda przetworzyła wypłaty o łącznej wartości 4 098,03574 BTC od 9 585 użytkowników, przy czym operacje przebiegały normalnie.

W zakresie dochodzenia firmy zajmujące się cyberbezpieczeństwem, Mandiant i SlowMist, nadal wspierają niezależny przegląd śledczy, badając wektory ataku, weryfikując środki powstrzymania i naprawy oraz pomagając w śledzeniu on-chain. Bitget współpracuje również z organami ścigania, giełdami, projektami blockchain i specjalistami ds. bezpieczeństwa on-chain. Część dotkniętych aktywów została już zamrożona dzięki współpracy branżowej, a giełda opublikowała zidentyfikowane adresy atakujących oraz dane śledcze w celu wsparcia działań odzyskiwania. Oficjalny raport o bezpieczeństwie ma zostać ukończony w tym tygodniu, konsolidując ustalenia przeglądu śledczego w publicznym opisie incydentu przez firmę.

Równolegle ze wznowieniem wypłat Bitget wprowadził dwa programy o ograniczonym czasie trwania. Program Bitget Alliance Program pozwala uprawnionym użytkownikom partycypować w opłatach transakcyjnych generowanych poprzez aktywność handlową na platformie, natomiast Project Stand Together oferuje tymczasowe zniżki na opłaty oraz rozszerzoną ochronę klasy PRO dla uprawnionych klientów profesjonalnych i animatorów rynku.

Źródło: Metaverse Post