SlowMist встановила, що перед крадіжкою активів у системах Bitget була зафіксована шкідлива активність, пов’язана з двома сторонніми продуктами безпеки.
Зловмисник використав zero-day в одному з продуктів, а також отримав доступ до іншої системи через облікові дані співробітника.
25 вересня 2026 року криптовалютна біржа Bitget залучила компанію SlowMist для розслідування крадіжки активів із гарячих гаманців. Станом на 29 вересня фахівці виявили шкідливу активність, пов’язану з двома сторонніми продуктами безпеки, які у звіті позначені як Product A і Product B.
SlowMist встановила, що найраніша виявлена шкідлива активність відбулася 31 серпня на одному з вузлів Product A. Сервіс був скомпрометований через zero-day вразливість. Після цього зловмисник запустив прихований скрипт у процесі сервісу, виконав команду для читання змінної середовища з паролем до бази даних і підключився до неї.
Схожу активність із прихованими скриптами дослідники зафіксували ще на двох вузлах Product A — 23 та 25 вересня. У звіті зазначено, що середовища цих сервісів були скомпрометовані ще до початку виведення активів.
Вранці 25 вересня атакувальник також отримав доступ до платформи керування Product B, використовуючи обліковий запис внутрішнього співробітника. Він тричі намагався впровадити системні команди у параметри завдань Product B, щоб записати шкідливі файли.
Після цього через кінцеву точку виконання команд у вебінтерфейсі платформи зловмисник намагався змінити конфігурацію сервера, записати файл для ретрансляції комунікацій, а також завантажити й зібрати шкідливі програмні файли пакетами.
Одним із ключових результатів розслідування стало відновлення видалених атакувальником файлів. Серед них SlowMist виявила спеціально створений інструмент для виведення активів, адаптований під логіку системи гаманців.
Інструмент підробляв параметри контролю ризиків, формував запити на виведення та запускав відповідну процедуру. За даними журналів хоста, шкідлива програма почала працювати та виконувати крадіжку криптовалютних активів вночі 25 вересня.
В рамках першого підтвердженого SlowMist переказу у блокчейні адреса атакувальника отримала 93 TRX. Через 11 секунд адреса в мережі Ethereum отримала 0,
84 ETH. Підтверджені перекази активів тривали близько 2 годин 52 хвилин і відбувалися у кількох блокчейнах.
Після початку переказів зловмисник також намагався безпосередньо змінювати записи про виведення у базі даних гаманця та запускати завдання на виведення локально на хості. Логи показали, що два сфабриковані ордери на виведення біткоїна потрапили в обробку, однак завершилися помилками.
Після цього атакувальник переглядав логи, перевіряв статус ордерів і робив нові спроби виведення.
У звіті SlowMist не вказано загальну суму викрадених активів, повний перелік токенів, назви Product A і Product B, а також особу чи групу атакувальників. Компанія також не встановила остаточний первинний вектор компрометації всієї системи.
Окремо SlowMist зазначила, що на момент підготовки звіту розслідування того, як атакувальник переміщався між залученими системами, ще тривало.
Детальніше про злом Bitget — в матеріалі:
