SlowMist enthüllt Angriffsmethode bei Bitget-Hack

Das Sicherheitsunternehmen SlowMist hat die ersten Ergebnisse seiner Untersuchung des Hacks auf die Krypto-Börse Bitget vom 25. September veröffentlicht. Der Angreifer nutzte eine Zero-Day-Schwachstelle in einem externen Sicherheitsprodukt, verschaffte sich über die Identität eines internen Mitarbeiters Zugang zu einer Verwaltungsplattform und setzte ein maßgeschneidertes Hilfsprogramm ein, um Kryptowährungen abzuziehen. Die Überweisungen liefen über mehrere Blockchains und erstreckten sich über einen Zeitraum von fast drei Stunden.

In Kürze:

• SlowMist identifiziert eine Zero-Day-Schwachstelle in einem externen Sicherheitsprodukt als Teil des Angriffs auf Bitget.
• Der Angreifer verwendete ein angepasstes Programm, das auf die Auszahlungsfunktion von Bitget zugeschnitten war.
• Die Überweisungen begannen um 02:31 Uhr am 25. September und dauerten etwa zwei Stunden und 52 Minuten.

Zero-Day-Lücke bereits seit dem 31. August aktiv

Aus den Protokolldateien geht hervor, dass die erste bösartige Aktivität bereits am 31. August stattfand. Ein Dienst auf einem der Knoten eines externen Sicherheitsprodukts wurde von einer Zero-Day-Schwachstelle getroffen. Eine Zero-Day-Lücke ist ein Fehler, den der Hersteller noch nicht gepatcht hat. Der Angreifer führte über ein verborgenes Skript einen Befehl aus, um Datenbankpasswörter zu ermitteln und eine Verbindung zur Datenbank herzustellen. Am 23. und 25. September war auf zwei weiteren Knoten ähnliche Aktivität zu beobachten.

Am frühen Morgen des 25. September meldete sich der Angreifer mit der Identität eines internen Mitarbeiters auf der Verwaltungsplattform eines zweiten externen Sicherheitsprodukts an. Ab 00:07 Uhr unternahm der Angreifer drei aufeinanderfolgende Versuche, schädliche Befehle in die Aufgabenparameter dieser Plattform einzuschleusen, um bösartige Dateien zu schreiben und eine Kommunikations-Pipe-Datei anzulegen.

Angepasstes Programm startete den Diebstahl um 01:49 Uhr

Eine auffällige Entdeckung ist ein stark angepasstes Programm, das der Angreifer gelöscht hatte, das SlowMist aber nachvollziehen konnte. Das Programm war speziell für die Auszahlungslogik des Bitget-Wallet-Systems entwickelt worden: Es fälschte Risikomanagement-Parameter, stellte Auszahlungsanfragen zusammen und aktivierte den Auszahlungsprozess. Laut den Protokolldateien begann das Programm um 01:49 Uhr am 25. September tatsächlich damit, Krypto abzuziehen.

Auf der Blockchain ist die erste bestätigte Überweisung um 02:31:00 Uhr verzeichnet, als die Adresse des Angreifers 93 TRX erhielt. Elf Sekunden später erhielt eine Ethereum-Adresse 0,84 ETH. Die Überweisungen liefen bis 05:23:11 Uhr weiter und fanden über mehrere Blockchains statt. Zuvor hatte der Broker Chainflip bereits abgelehnt, gestohlene Bitget-Guthaben weiterzuleiten.

Nach den Überweisungen versuchte der Angreifer außerdem, Auszahlungseinträge in der Wallet-Datenbank direkt zu ändern und neue Auszahlungsaufträge zu aktivieren. Protokolle zeigen, dass zwei gefälschte Bitcoin-Auszahlungsaufträge in Bearbeitung gingen, aber Fehler verursachten. Danach prüfte der Angreifer die Protokolle und den Auftragsstatus und unternahm weitere Versuche. Diese Aktivität fand nach 05:22 Uhr statt.

Bitget teilt mit, die Ergebnisse von SlowMist als Teil des Angriffspfads zu erkennen, den das Unternehmen bereits zuvor veröffentlicht hatte. Das Sicherheitsunternehmen gibt an, die Untersuchung fortzusetzen, insbesondere dazu, wie der Angreifer sich zwischen den beteiligten Systemen bewegt hat. Zuvor hatte NEAR Intents bereits 50 Millionen Dollar verdächtiger Geldströme blockiert nach dem Hack.