Північнокорейська хакерська група Lazarus вкрала $1,5 млрд в ETH з біржі Bybit.
Зловмисники отримали доступ до холодного гаманця, використовуючи метод «сліпого підпису».
Bybit покрила втрати коштом кредитів і продовжує обробляти виведення коштів користувачів.
Увечері 21 лютого 2025 року криптоіндустрія зіткнулася з найбільшою за всю історію атакою на централізовану біржу. Хакери успішно зломали один із холодних гаманців платформи Bybit, що дало їм змогу отримати доступ до понад 400 000 ETH.
https://twitter.com/Bybit_Official/status/1892965292931702929
Одразу після атаки компанії довелося розв'язувати ще одну проблему — масштабний відтік коштів із біржі. Менш ніж за добу користувачі вивели активи майже на $5 млрд, що стало рекордним добовим показником в історії галузі. Команда Bybit запевняє, що всі операції проходять у нормальному режимі, а незначні затримки швидко усунули.
Попри масштаб атаки, постраждала компанія, на перший погляд, зуміла впоратися з найсерйознішим викликом за час свого існування. Редакція Incrypted зібрала найважливіше щодо хакерського рейду на біржу Bybit,
а також вивчила реакцію індустрії.
Not {Safe}
21 лютого низка ончейн-аналітиків забили на сполох, вказавши на підозрілу активність, пов'язану з одним із гаманців Bybit. Серед них був відомий криптодетектив ZachXBT, який повідомив про переказ 401 346 ETH на невідому адресу. Його заяви незабаром підтвердили інші експерти та моніторингові платформи.
Через 30 хвилин після появи чуток про злом платформи на зв'язок вийшов CEO Bybit Бен Чжоу. Він заявив, що біржа дійсно зазнала хакерської атаки. За його словами, під удар потрапив один із холодних гаманців, на якому перебували значні обсяги Ethereum.
https://twitter.com/benbybit/status/1892963530422505586
Інцидент стався в той момент, коли розробники біржі займалися «рутинним переказом коштів» компанії, про який команда оголосила заздалегідь.
При цьому глава Bybit запевнив, що інші холодні гаманці платформи захищені, а користувачі зможуть безперешкодно виводити свої активи за необхідності. Компанія зафіксувала понад 350 000 заявок на виведення коштів за 10 годин після злому. До ранку 22 лютого 99,994% з них встигли обробити,
а близько 2100 запитів залишалися в очікуванні.
«На жаль, транзакцію було змінено за допомогою складної атаки, яка змінила логіку смартконтракту і замаскувала інтерфейс підпису, що дало змогу зловмиснику отримати контроль над Ethereum-гаманцем», — заявили розробники.
Згідно з ранніми заявами Bybit, злом хакери могли здійснити через уразливість платформи з управління цифровими активами Safe. Однак команда проєкту заперечує це і стверджує, що не виявила доказів компрометації свого інтерфейсу. При цьому розробники повідомили про тісну роботу з представниками біржі.
«Розслідування все ще триває, але за первинними оцінками це вкрай малоймовірно. Крім групи розслідування Safe, це також визнали вкрай малоймовірним команди безпеки Ethereum у спільноті ETHSecurity», — зазначили в Safe.
https://twitter.com/safe/status/1892979581130604576
Експерти з безпеки з проєкту SEAL 911 заявили, що хакери використовували метод підміни даних на рівні користувацького інтерфейсу, так званий «сліпий підпис».
Шкідливе ПЗ, впроваджене в систему, відобразило підроблені дані про транзакцію.
Таким чином особи, відповідальні за переказ, були впевнені, що відправляють кошти на потрібний їм гаманець. Насправді вони схвалили дії хакерів, які негайно здійснили виведення коштів на свою адресу.
Надалі основна частина вкрадених активів була розподілена по десятках нових гаманців і через децентралізовані біржі конвертована в Ethereum, що ускладнило відстеження коштів.
Північнокорейська вистава
Через деякий час після атаки ZachXBT заявив, що до атаки на Bybit причетні хакери з Північної Кореї. За його словами, «ниточки» ведуть до групи Lazarus, яка тісно пов'язана з урядом країни і є фігурантом великих інцидентів із крадіжкою криптоактивів.
https://twitter.com/zachxbt/status/1893211577836302365
Під час розслідування аналітики дійшли висновку, що Lazarus заздалегідь готувалася до атаки. Використання методу delegatecall у смартконтрактах Safe{Wallet} дало змогу зловмисникам виконувати чужий код, підміняючи дані для підписантів.
Експерти вважають, що хакери поступово збирали підписи, вводячи в оману співробітників Bybit через підроблені інтерфейси.
Ще одним ключовим фактором стала тактика фрагментованої атаки — Lazarus розподілили злом на кілька етапів,
щоб мінімізувати ймовірність миттєвого виявлення. Таким чином частина критично важливих даних була отримана ще до початку активної фази атаки. Перш ніж біржа зафіксувала підозрілу активність хакери вже мали повний доступ до коштів, вважають аналітики.
До того ж експерти зазначили, що зловмисники не стали відразу відправляти активи в міксери, а вважали за краще через децентралізовані біржі (DEX) поступово конвертувати токени в Ethereum. Це дає змогу припустити, що вони готувалися до тривалого процесу відмивання коштів, розраховуючи уникнути автоматичного блокування адрес, підкреслили аналітики.
Загалом хакери заволоділи 401 347 ETH, 90 376 stETH, 15 000 cmETH і 8 000 mETH. Ці активи вони консолідували в Ethereum.
Правоохоронці вважають, що групу Lazarus може очолювати людина на ім'я Пак Джин Хек (Park Jin Hyok). Наразі його розшукує ФБР, оскільки вважає програміста причетним до різних інцидентів зі зломом великих компаній і приватних осіб.
Дані щодо діяльності Пак Джин Хека. Джерело: Threading on the Edge.
Низка аналітиків, включно з експертом під ніком Odysseus і засновником проєкту DefiLlama — 0xngmi —,
вказують на схожість схеми злому з іншими атаками. Як приклад вони наводять хакерський рейд на протокол Radiant зі збитками в понад $50 млн, а також злом індійської біржі WazirX на $235 млн.
«У будь-якому разі це не розумний скрипт. Це спеціальне шкідливе ПЗ, розроблене для цього конкретного злому і цих конкретних підписантів», — підбили підсумок фахівці зі сфери кібербезпеки.
Надалі ончейн-аналітики зазначили, що Lazarus почала відмивати вкрадені активи. Вони використали централізований міксер eXch і провели через нього 5000 ETH, а потім перевели кошти в біткоїн через протокол Chainflip.
https://twitter.com/Chainflip/status/1893222347252875386
Команда Chainflip заявила, що блокує спроби хакерів перевести вкрадені в результаті злому Bybit кошти. Платформа відключила частину фронтенд-сервісів, але через 150 нод повне відключення неможливе. Chainflip впроваджує посилений скринінг для Ethereum, щоб блокувати «забруднені» депозити.
Чіп і Дейл поспішають на допомогу
Атака на біржу Bybit викликала великий ажіотаж у криптоспільноті. Компанія закликала колег по індустрії надати посильну допомогу в розслідуванні інциденту,
а також запросила кредити. Останні були необхідні для того, щоб курс Ethereum не зіткнувся з глобальним просіданням внаслідок активного виведення користувацьких коштів, зазначили експерти.
https://twitter.com/Bybit_Official/status/1893145261922283921
Великі гравці ринку надали підтримку команді платформи. За наявною інформацією, Bitget перевела на адресу Bybit близько 4000 Ethereum. Кредит також могли виділити такі компанії, як Crypto.com, Binance та інші CEX. До того ж представники багатьох платформ заявили про негайне блокування будь-яких адрес, пов'язаних із хакерською атакою на Bybit.
«Ми блокуватимемо будь-які транзакції, що надходять із незаконних адрес на біржу, після того, як їх буде перевірено. Наша команда з безпеки та дослідники наразі відстежують цю діяльність», — сказала генеральний директор Bitget Грейсі Чен.
До розслідування залучені команди безпеки великих бірж — OKX і KuCoin, а також представники згаданого проєкту Safe. Усі залучені сторони працюють над відстеженням коштів і пошуком способів їхнього повернення.
Більшість представників криптоспільноти також підтримали Bybit.
Засновник Aave Стані Кулечов зазначив, що скоординовані дії біржі та кредиторів допомогли запобігти повторенню ситуації з FTX, а експерт під ніком 0xJeff назвав реакцію Бена Чжоу «прикладом грамотного антикризового менеджменту».
https://twitter.com/Defi0xJeff/status/1893148973013319807
Поділяючи загальну думку, свої слова підтримки також висловили CEO EasyDNS Марк Джефтовіч, ведучий The Moon Show Карл Мун і керівниця глобальної підтримки венчурної фірми Dragonfly Кейсі Тейлор.
«Bybit щойно провів майстер-клас із кризових комунікацій після найбільшого злому в історії криптовалют. Ситуація все ще актуальна, але їм уже вдалося заспокоїти ринки. Це повчальний момент для всіх нас», — написала Тейлор.
На тлі інциденту курс Ethereum не показав різкого падіння. Актив зіткнувся з короткочасною корекцією, проте згодом зумів утримати рубіж на рівні вище $2700, за даними TradingView.
Годинний графік ETH/USDT на біржі Binance. Джерело: TradingView.
На момент підготовки матеріалу курс Ethereum тримається на позначці $2738. Місячне просідання становить 15,6%.
Проте експерти зазначають, що через низку інцидентів довіра до мультипідписних гаманців, особливо з архітектурою Safe, могла похитнутися. Аналітики прогнозують, що після цього інциденту багато великих гравців переглянуть свою систему безпеки, роблячи ставку на децентралізовані рішення і додаткові рівні верифікації.
Нагадаємо, ми писали, що протокол zkLend втратив $9,5 млн унаслідок злому.
