Криптобиржа Bitget подтвердила кражу криптовалюты примерно на $351,6 млн после несанкционированных переводов из части своих горячих кошельков. Атака произошла 24 сентября, вывод средств с биржи временно остановлен, а злоумышленник уже конвертировал значительную часть похищенных активов в Ethereum.
Система безопасности Bitget зафиксировала переводы в 18:31 UTC. По оценке компании, инцидент затронул около $351,6 млн, причём пострадала только часть горячего и промежуточного слоя кошельков. Холодные кошельки, где биржи обычно держат основную массу резервов вне постоянно подключённой к интернету инфраструктуры, Bitget называет неповреждёнными.
Аналитики Lookonchain проследили дальнейшее движение криптовалюты и обнаружили, что злоумышленник обменял большую часть активов, похищенных в EVM-совместимых сетях, на 67 982 ETH. На момент анализа такой объём Ethereum стоил около $183 млн.
Состав похищенного оказался заметно шире Ethereum. Более поздний разбор транзакций Lookonchain насчитал около 102,93 млн XRP стоимостью $157,48 млн, 31 890 ETH на $85,75 млн, 34,75 млн USDT, 21,05 млн USDC, 19,67 млн USDT0, 3000 XAUT, 12 719 BNB, 821 012 AVAX и 20,59 млн TRX. Если сложить оценки аналитиков по отдельным активам, сумма получается немного выше официальных $351,6 млн. Разница может объясняться временем оценки и изменением рыночных цен.
Первые оценки были значительно ниже. Bubblemaps вскоре после начала подозрительных переводов насчитала примерно $192 млн, ушедших из связанных с Bitget адресов в нескольких сетях. Позднее в поле зрения аналитиков попали дополнительные переводы, включая крупную сумму в XRP, после чего сама Bitget назвала общий масштаб инцидента.
Быстрая конвертация стейблкоинов и других токенов в ETH имеет практический смысл для атакующего. Эмитенты централизованных стейблкоинов вроде USDT и USDC способны замораживать средства на отдельных адресах, тогда как у нативного Ethereum нет компании-эмитента, которая могла бы заблокировать конкретные монеты. Переводы при этом остаются видны в публичном блокчейне и продолжают отслеживаться аналитиками.
Bitget приостановила вывод криптовалюты на время проверки безопасности. Депозиты и обычная торговля, по заявлению биржи, продолжают работать, хотя отдельный сервис Bitget Onchain также временно отключили. Компания сообщила, что передала подозрительные адреса правоохранительным органам и специалистам по анализу блокчейна.
Биржа утверждает, что клиентские средства защищены, поскольку ущерб полностью покрывает её User Protection Fund. На момент инцидента Bitget оценила фонд более чем в $464 млн. Незадолго до атаки компания также публиковала сентябрьское подтверждение резервов с совокупным коэффициентом 135% по отслеживаемым активам. Пока речь идёт именно о заявлениях самой Bitget, а не о результатах независимой проверки последствий взлома.
Причину компрометации компания официально пока не установила. Во время публичного эфира глава Bitget Грейси Чен озвучила предварительную версию, согласно которой атакующие могли скомпрометировать сторонний инструмент, связанный с серверной частью кошельковой инфраструктуры. По её словам, такой сервис мог подменять данные о переводах и передавать их системе подписи транзакций. Признаков утечки приватных ключей на текущем этапе расследования компания не видит, но Чен отдельно подчеркнула, что окончательный сценарий атаки ещё требует подтверждения.
Bitget пообещала выпустить полный отчёт с причиной взлома и описанием защитных мер в течение 24 часов после обнаружения инцидента. До публикации технического отчёта версия о компрометации цепочки поставок остаётся предварительной, а точный способ, которым злоумышленник получил возможность выводить сотни миллионов долларов из кошельковой инфраструктуры биржи, не установлен.
