Agora · Seguranca
SlowMist e Mandiant ligam hack da Bitget a zero-day desde 31 de agosto
Relatórios provisórios da SlowMist e da Mandiant dizem que atacantes exploraram falha zero-day em produtos de segurança de terceiros e tiveram acesso semanas antes do roubo de cerca de US$ 387,5 milhões na Bitget.
A Bitget divulgou achados provisórios das investigações da SlowMist e da Mandiant, do Google Cloud, sobre o ataque de 24 de setembro. As firmas dizem que os invasores não roubaram chaves privadas: comprometeram produtos de segurança de terceiros, em um caso via vulnerabilidade zero-day, entraram no ambiente de carteiras e usaram uma ferramenta customizada de saques que o sistema da corretora aceitou como válido.
Segundo a SlowMist, a atividade maliciosa mais antiga nos logs data de 31 de agosto, em um nó do que a firma chama de "Produto A". Em 24 de setembro, o invasor também acessou a plataforma de gestão de um segundo produto ("Produto B") com identidade de funcionário interno, tentou injetar comandos e alterou configurações. A SlowMist recuperou uma ferramenta apagada que forjava parâmetros de risco e disparava o processo de saque.
As transferências on-chain verificadas começaram por volta das 18h31 UTC de 24 de setembro (2h31 UTC+8 de 25 de setembro) com 93 TRX, seguidas 11 segundos depois por 0,84 ETH, e duraram cerca de 2 horas e 52 minutos em várias redes. Tentativas posteriores de saques falsos em bitcoin falharam. A Bitget estima o prejuízo em cerca de US$ 387,5 milhões; carteiras frias e o Bitget Wallet de autocustódia não teriam sido afetados, segundo a corretora e as investigações.