Kryptoměnová burza Bitget čelí jednomu z největších bezpečnostních incidentů letošního roku. Původně oznámená ztráta 351,6 milionu dolarů se nyní zvýšila na přibližně 387,5 milionu dolarů. Burza zároveň stále drží výběry uživatelů pozastavené. Podle Bitgetu ale nejde o další útok, který by způsobil nové škody.
Vyšší částka vznikla po důkladnějším započítání aktiv na dalších sítích, konkrétně Zcash a Tron. Samotný incident má podle burzy zůstat pod kontrolou. Případ je zajímavý především způsobem, jakým měl útok proběhnout. Nejde totiž o jednoduchý příběh ukradených privátních klíčů.
Ztráta už není 351,6 milionu dolarů
Bitget původně uvedl, že útočníci prostřednictvím neoprávněných převodů odčerpali aktiva v hodnotě přibližně 351,6 milionu dolarů. Následná revize ale částku zvýšila na zhruba 387,5 milionu dolarů.
Podle burzy nový údaj neznamená, že útočníci mezitím ukradli dalších 35,9 milionu dolarů. Jde o přesnější účetnictví transakcí, do kterého byly dodatečně zahrnuty zasažené prostředky na Zcash a Tronu. Bitget zároveň uvedl, že další neoprávněné převody už nejsou možné.
To je důležité rozlišení. Částka tedy vzrostla, ale rozsah samotného útoku se podle současného vyjádření burzy dále nerozšiřuje.
Útočníci zamířili na hot wallets
Incident byl odhalen 24. září v 18:31 UTC. Bezpečnostní systémy Bitgetu zaznamenaly neoprávněné převody z omezeného počtu hot wallets a burza následně pozastavila výběry.
Bitget tvrdí, že cold wallets nebyly zasaženy a že problém se týkal pouze části hot a warm wallet infrastruktury. Samostatný produkt Bitget Wallet, který funguje jako self-custodial peněženka, měl zůstat rovněž nedotčen.
Obchodování a vklady přitom zůstaly dostupné, zatímco výběry byly pozastaveny kvůli bezpečnostní kontrole.
Privátní klíče údajně nebyly ukradeny
Právě tady začíná být celý případ opravdu zajímavý.
Generální ředitelka Bitgetu Gracy Chen uvedla, že podle dosavadního vyšetřování útočníci nemuseli získat privátní klíče. Místo toho měli kompromitovat backendový systém používaný při zpracování transakcí a následně zmanipulovat data tak, aby neoprávněné převody vypadaly jako legitimní.
Jinými slovy. Problém nemusel být přímo v samotných kryptografických klíčích, ale v systému, který rozhoduje, která transakce může být schválena a odeslána.
Pokud se tato verze definitivně potvrdí, jde o velmi důležitou lekci pro celý sektor. Bezpečnost burzy totiž není pouze otázkou toho, kde jsou uloženy privátní klíče.
Kam peníze zmizely?
On-chain analytici po útoku zaznamenali přesuny celé řady aktiv. Mezi nimi byly například ETH, USDT, USDC, AVAX a BNB. Část ukradených kryptoměn byla následně směňována na blockchainu.
Některé prostředky se podařilo částečně zmrazit.
Circle a Tether například zablokovaly adresu spojenou s útokem, na které se nacházelo přibližně 218 tisíc USDT a 100 tisíc USDC. Celková hodnota zmrazených stablecoinů ale činila jen asi 318 tisíc dolarů, tedy naprostý zlomek celkové ztráty.
Zbytek prostředků je podstatně obtížnější zastavit. Především ether nelze jednoduše zmrazit prostřednictvím centrálního emitenta.
Podezření padá na Severní Koreu
V souvislosti s útokem se objevilo také podezření na severokorejské hackery. Gracy Chen uvedla, že předběžná analýza IP adres a dalších stop ukazuje určité vazby na infrastrukturu spojovanou se severokorejskými hackerskými skupinami.
To však zatím není totéž jako definitivní potvrzení pachatele.
Vyšetřování stále probíhá a Bitget na něm spolupracuje mimo jiné s firmami Mandiant a SlowMist a s orgány činnými v trestním řízení.
Proto bych zatím označení severokorejských hackerů za původce útoku prezentoval pouze jako podezření, nikoli jako uzavřený fakt.
Bitget tvrdí, že uživatelé o peníze nepřijdou
Pro klienty burzy je nejdůležitější otázka samozřejmě jednoduchá. Jsou jejich prostředky v bezpečí?
Bitget tvrdí, že ano. Společnost uvedla, že ztrátu pokryje z vlastních prostředků a její User Protection Fund měl v době incidentu hodnotu přes 464 milionů dolarů. To je více než původně oznámená i později revidovaná částka.
Zároveň ale stále platí, že výběry byly pozastavené. Bitget podle dostupných informací plánoval oznámit plán jejich obnovení do 26. září v 04:00 UTC.
To bude jeden z nejdůležitějších okamžiků celého případu.
Proč je tento hack důležitý?
Nejde pouze o další velkou krádež kryptoměn.
Bitget patří mezi velké globální kryptoměnové burzy a má více než 120 milionů uživatelů. Útok v řádu stovek milionů dolarů proto představuje významnou událost pro celý sektor.
Ještě důležitější je ale technická stránka případu. Pokud se potvrdí, že útočníci skutečně obešli interní autorizační proces prostřednictvím backendové infrastruktury, ukazuje to na problém, který se nedá vyřešit pouhým přesunem větší části prostředků do cold storage.
Kryptoburza musí chránit nejen klíče, ale také všechny systémy, které rozhodují o tom, kdy a kam se mohou prostředky přesunout.
Útok odhalil slabinu kryptoburz
Na tomto případu mě nejvíce zaujala právě skutečnost, že se nejedná o klasické „ukradli jsme privátní klíče a vybrali peněženku“.
Pokud se současná verze vyšetřování potvrdí, útočníci využili slabinu někde mezi blockchainem a interní infrastrukturou burzy. A to je podle mě mnohem důležitější zpráva než samotná částka 387 milionů dolarů.
Bitget má alespoň jednu významnou výhodu. Tvrdí, že jeho ochranný fond je dostatečně velký, aby ztrátu pokryl. To ale neznamená, že incident můžeme jednoduše uzavřít.
Rozhodující bude, jak přesně k útoku došlo, kdy budou obnoveny výběry a zda nezávislé vyšetřování potvrdí současnou verzi událostí.
Pro uživatele kryptoburz je to další připomínka, že „prostředky jsou na burze“ a „prostředky mám pod vlastní kontrolou“ nejsou dvě stejné věci.
Myslíte si, že po útoku za téměř 400 milionů dolarů může Bitget obnovit důvěru uživatelů, pokud všechny jejich prostředky skutečně pokryje z vlastních rezerv?
Mějte trh pod kontrolou
Sledujte bitcoin, kryptoměny, on-chain data i makroekonomiku na jednom místě
