SlowMist truy vết vụ hack Bitget từ lỗ hổng zero-day ngày 31/8

SlowMist đã truy vết hoạt động độc hại sớm nhất được ghi nhận liên quan đến vụ trộm 388 triệu USD của Bitget vào ngày 31 tháng 8, khi một kẻ tấn công khai thác lỗ hổng zero-day ảnh hưởng đến một sản phẩm bảo mật của bên thứ ba.

Những kẻ tấn công đã đánh cắp tiền từ các ví nóng của Bitget vào ngày 24 tháng 9 (UTC), chuyển tài sản đến các địa chỉ mà chúng kiểm soát trên nhiều chuỗi khối. Cuộc điều tra của SlowMist đã xác định hoạt động độc hại liên quan đến hai sản phẩm bảo mật của bên thứ ba và một máy chủ ứng dụng ví.

Theo một báo cáo tiến độ của SlowMist, kẻ tấn công đã sử dụng một tập lệnh ẩn để truy cập vào cơ sở dữ liệu của cái mà SlowMist gọi là “Sản phẩm A”, sau khi lấy được mật khẩu từ một biến môi trường. Hoạt động tương tự sau đó đã được phát hiện trên hai nút khác vào ngày 23 tháng 9 và 25 tháng 9. Các ngày và giờ trong báo cáo là theo múi giờ UTC+8.

Vào ngày 25 tháng 9, kẻ tấn công cũng đã truy cập vào nền tảng quản lý của một sản phẩm bảo mật thứ hai, mà SlowMist gọi là “Sản phẩm B”, bằng cách sử dụng danh tính của một nhân viên nội bộ. SlowMist cho biết kẻ tấn công sau đó đã cố gắng chèn các lệnh hệ thống, thay đổi cấu hình máy chủ và tải lên các tệp chương trình độc hại.