Cronologia dell’hack di Bitget: come il suo sistema ha approvato un furto da 387 milioni di dollari
Bitget ha confermato che il 24 settembre gli aggressori hanno sottratto 387,5 milioni di dollari dai portafogli dell’exchange. I prelievi sono ancora sospesi, mentre la società afferma che il suo fondo di protezione copre la perdita.
Mandiant e SlowMist stanno indagando. La CEO Gracy Chen sospetta un coinvolgimento nordcoreano, anche se il punto di accesso iniziale non è stato reso noto.
Quindi, come potrebbe essere avvenuto l’attacco? BeInCrypto ha ricostruito una cronologia basata sulle informazioni disponibili al pubblico.
24 settembre, 18:31 UTC: Bitget rileva trasferimenti non autorizzati
Bitget afferma che i suoi sistemi di sicurezza hanno rilevato i trasferimenti alle 18:31 UTC e attivato le procedure di emergenza nel giro di pochi minuti.
La violazione ha interessato alcuni dei suoi portafogli caldi e tiepidi, utilizzati per le operazioni dell’exchange. Secondo la società, i portafogli freddi offline sono rimasti al sicuro. L’orario del rilevamento non permette di stabilire quando gli aggressori abbiano ottenuto l’accesso per la prima volta.
19:57–21:06 UTC: operazioni insolite fanno scattare l’allarme
Alle 19:57, l’analista DCF GOD ha segnalato un nuovo portafoglio che ha speso 19,67 milioni di dollari in USDT0 per acquistare 7.111 ETH in sei minuti. Secondo quanto riportato, ha pagato fino al 5% in più rispetto ai prezzi di mercato.
Questo comportamento suggeriva che qualcuno avesse dato priorità al trasferimento rapido dei fondi. Il motivo restava poco chiaro.
Alle 21:06, Bubblemaps ha segnalato che circa 180 milioni di dollari erano stati trasferiti dai portafogli di Bitget a un unico indirizzo ricevente, per poi essere suddivisi tra diversi portafogli.
21:30 UTC: Chen conferma la violazione
L’avviso di sicurezza di Chen ha stimato inizialmente la perdita in 351,6 milioni di dollari e ha confermato che i prelievi erano stati sospesi.
L’avviso è stato pubblicato quasi tre ore dopo l’orario di rilevamento dichiarato da Bitget. Questo intervallo lascia aperti interrogativi sulla risposta, ma non dimostra che i fondi abbiano continuato a defluire per tutto quel periodo.
25 settembre, 00:43 UTC: emerge il metodo sospettato
Chen ha dichiarato che gli aggressori hanno compromesso un sistema backend critico, ovvero un software che gestisce le operazioni dei wallet in background.
Hanno fornito dati di transazione falsi e attivato il processo di autorizzazione di Bitget. In parole semplici, il sistema dell’exchange ha approvato trasferimenti fraudolenti.
Chen ha dichiarato che il furto delle chiavi private è stato escluso. Le modalità con cui gli aggressori sono entrati nel backend e i controlli che hanno fallito richiedono ancora una spiegazione pubblica dettagliata.
14:03 UTC: la perdita sale a 387,5 milioni di dollari
Bitget ha rivisto la stima dopo aver incluso gli asset Zcash e TRON interessati. Ha dichiarato che l’aumento riflette un calcolo più completo del furto iniziale.
L’azienda afferma di aver corretto la vulnerabilità. Ha promesso di annunciare un piano per i prelievi entro il 26 settembre alle 04:00 UTC, senza impegnarsi a riaprirli in quel momento.
Perché gli investigatori sospettano un coinvolgimento nordcoreano
Chen ha citato comportamenti degli indirizzi IP e attività sulla blockchain compatibili con quelli di gruppi nordcoreani. Diversi elementi ricordano il furto ai danni di Bybit del febbraio 2025, attribuito alla Corea del Nord dall’FBI.
- Approvazioni manipolate: Bitget descrive false istruzioni che hanno raggiunto il suo sistema di autorizzazione. Nel caso di Bybit, un’interfaccia compromessa ha indotto i firmatari ad approvare una transazione dannosa. I meccanismi sono diversi, ma entrambi hanno sfruttato il processo di approvazione.
- Conversione rapida degli asset: I fondi collegati a Bitget sono stati rapidamente utilizzati per acquistare ETH. L’FBI ha documentato la rapida conversione in altre criptovalute degli asset rubati a Bybit.
- Fondi suddivisi tra diversi wallet: Bubblemaps ha individuato diversi wallet destinatari. Secondo l’FBI, i proventi del furto ai danni di Bybit sono stati distribuiti su migliaia di indirizzi.
- Uso di THORChain: MistTrack ha segnalato che i proventi di Bitget sono confluiti nel protocollo e ha individuato un precedente utilizzo dello stesso per trasferire i fondi rubati a Bybit.
Queste analogie giustificano ulteriori indagini. Da sole, non identificano gli autori dell’attacco a Bitget.
Fonte: BeInCrypto