تفاصيل الاختراق والوصول الأولي

أفادت شركة Bitget بأن التحقيقات المستقلة التي أجرتها شركة الأمان البلوك تشيني SlowMist وذراع الدفاع السيبراني في Google Cloud وهي Mandiant، أظهرت أن الفاعلين التهديديين حصلوا على وصول غير مصرح به إلى بيئة محافظ المنصة. وقع الاختراق بعد استغلال ثغرات صفرية في جهازين أمنيين تابعين لطرف ثالث، مما سمح للمهاجمين بالتحرك داخل البنية التحتية الحساسة للمنصة.

آلية التنفيذ والوصول إلى الخوادم

وفقاً للتقارير الفنية، بدأ النشاط الخبيث في 31 أغسطس، حيث استغل المهاجم ثغرة صفرية في خدمة تعمل على أحد عقد المنتج الأمني. قام المهاجم بتشغيل سكربت مخفي تحت عملية الخدمة، وقام بقراءة متغيرات البيئة التي تحتوي على كلمة مرور قاعدة البيانات، ثم اتصل بها. رصدت فرق الأمن نشاطاً مشابهاً على عقدتين أخريين في 23 و25 سبتمبر. كما أكدت Mandiant أن الفاعل نشر Web Shell على الجهاز الأمني B وأقام اتصالاً بأمر وتحكم (C2)، ثم تحرك جانبياً للوصول إلى خادم عملات المحافظ الإنتاجية ونشر حزم خبيثة.

عملية السرقة وتفاصيل التحويل

بعد تأمين الوصول، قام المهاجمون بإسقاط Web Shells على أحد الأجهزة المخترقة وبرمجيات خبيثة على خادم عملات المحافظ الإنتاجية، بالإضافة إلى أداة سحب مخصصة. بدأت عملية السرقة الفعلية في الساعة 02:31 بتوقيت UTC+8 في 25 سبتمبر، واستمرت حتى 05:23، مما يعني أن الهجوم استمر لثلاث ساعات تقريباً عبر سلاسل بلوك تشين متعددة. أدت هذه العمليات إلى استنزاف الأموال من محافظ الساخنة والدافئة.

ردود الفعل واتهامات بيونغ يانغ

علقت الرئيسة التنفيذية للمنصة Gracy Chen على الحادث، مشيرة إلى أن الأصول المتأثرة شملت ETH وXRP وBNB وAVAX وUSDT وUSDC، عبر سلاسل Ethereum وXRP Ledger وArbitrum وAvalanche وOptimism وBSC وBase. ونسبت Chen الهجوم إلى مخترقين كوريين شماليين، مستشهدة بأنماط سلوك عناوين IP والتحليلات على سلسلة الكتل كدليل. وأضافت أن المهاجمين اخترقوا نظاماً خلفياً حرجاً في بنية المحافظ، واستخدموه لتزوير بيانات المعاملات وتحفيز عملية التفويض لسحب الأموال.

سجل المخترقين الكوريين الشماليين

تأتي هذه الحادثة ضمن نمط متكرر من الهجمات الكبرى التي تنسب إلى مجموعات قرصنة كورية شمالية. فقد كانت هذه المجموعات مسؤولة عن سرقات ضخمة أخرى، أبرزها اختراق Bybit الذي سرق فيه المهاجمون 1.5 مليار دولار من محفظة ETH الباردة للمنصة. تشير هذه الحوادث المتكررة إلى استهداف متزايد لمنصات تداول العملات الرقمية التي تمتلك سيولة عالية.

إجراءات الاستجابة والمكافآت

بعد اكتشاف عمليات تحويل غير مصرح بها متعددة، علقت Bitget جميع عمليات السحب مؤقتاً. ومنذ حدوث الاختراق، أطلقت المنصة برنامج مكافآت لاسترداد الأموال (Recovery Bounty Program)، الذي يقدم مكافآت بنسبة 5% لأولئك الذين يساعدون في استرداد أو تجميد الأموال المسروقة. ولم يتسن الحصول على تعليق فوري من متحدث باسم Bitget حول تفاصيل الثغرة الصفرية أو المنتجات الأمنية المحددة التي تم اختراقها.

المصادر

• BleepingComputerBitget hacked via zero-day in third-party security products